نمونه‌های ضبط‌شدهٔ هانی‌پات
فهرست نمونه‌های بدافزار
بدافزارهایی که در شبکهٔ هانی‌پات Kinryū Labs به دام افتاده‌اند، قرنطینه و هش شده‌اند. هش‌ها به‌صورت کامل چاپ می‌شوند، چون مدافع همین را تطبیق می‌دهد؛ زیرساخت مهاجم خنثی‌شده (defanged) است. بیشتر خانواده‌ها با پژوهشگران و مدافعانی که درخواست کنند به اشتراک گذاشته می‌شوند. یکی از آن‌ها در یک مخزن عمومی آینه‌سازی شده که اکسپلویت کارای local-root دارد. هر نمونه صفحهٔ خودش را دارد و نمونه‌های عمیق‌تر به یک گزارش کامل پیوند دارند.
نوشته‌ها
24
11 خانواده
با واکاوی کامل
5
گزارش پیوندشده
نمونه‌های ضبط‌شده
828
345 هش SHA-256 یکتا
نوظهور (VT = 0)
130+
شامل چارچوب godhive
بردارهای تحویل
8
Docker، Jenkins، Redis…
mozi 4
- mozi C2 verifiedProtocol documented
2e4506802aedea2e…Runs as a ddos-bot/worm; the entry vector is not established by static analysis October 24, 2026 - mozi (botv2) C2 verifiedProtocol documented
12013662c71da69d…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 30, 2026 - mozi C2 verifiedProtocol documented
f6c97b1e2ed02578…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 13, 2026 - mozi C2 verifiedProtocol documented
4293c1d8574dc87c…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 9, 2026
unclassified 10
- X86 PE32 executable for MS Windows 4.00 (GUI) worm (807126cbae47) C2 verifiedProtocol documented
807126cbae47c03c…Runs as a worm/cryptominer; the entry vector is not established by static analysis October 24, 2026 - X86_64 ELF 64-bit LSB pie executable ddos-bot (ada33a0316d3) C2 verifiedProtocol documented
ada33a0316d364d1…Runs as a ddos-bot/worm; the entry vector is not established by static analysis October 12, 2026 - Arm ELF 32-bit LSB executable ddos-bot (1fc37d38754d) C2 verifiedProtocol documented
1fc37d38754d3991…Runs as a ddos-bot/worm; the entry vector is not established by static analysis October 11, 2026 - Mips ELF 32-bit MSB executable ddos-bot (9200aac4a356) C2 verifiedProtocol documented
9200aac4a3561902…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 30, 2026 - Arm ELF 32-bit LSB executable ddos-bot (9e6da804ae9c) C2 verifiedProtocol documented
9e6da804ae9ca0a0…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 29, 2026 - Arm ELF 32-bit LSB executable ddos-bot (34186fba4b5a) C2 verifiedProtocol documented
34186fba4b5a9c64…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 28, 2026 - X86_64 ELF 64-bit LSB pie executable ddos-bot (3261921456e3) C2 verifiedProtocol documented
3261921456e347fb…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 27, 2026 - X86_64 ELF 64-bit LSB pie executable ddos-bot (7d7210719451) C2 verifiedProtocol documented
7d7210719451068d…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 27, 2026 - X86 ELF 32-bit LSB executable ddos-bot (59bdafde8769) C2 verifiedProtocol documented
59bdafde87693987…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 22, 2026 - POSIX shell script loader (42f1363b2247) C2 recovered
42f1363b224766f6…Runs as a loader/dropper; the entry vector is not established by static analysis September 20, 2026
redtail 1
- redtail C2 verified
7c6c19b6e9343c77…Runs as a dropper/loader; the entry vector is not established by static analysis September 20, 2026
nsminer 1
- nsminer C2 recoveredProtocol documented
7126b9932dc0cdfe…Runs as a cryptominer/dropper; the entry vector is not established by static analysis September 18, 2026
mirai 2
- mirai C2 verifiedProtocol documented
d8712c619b951fc2…Runs as a ddos-bot; the entry vector is not established by static analysis September 14, 2026 - mirai (pboc) C2 verifiedProtocol documented
c9727a1237b59d53…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 10, 2026
atomic-mirai 1
- atomic-mirai C2 recovered
42f1363b224766f6…Runs as a loader/dropper; the entry vector is not established by static analysis September 7, 2026
godhive 1
- godhive Novel, not on VTC2 live
4194f2337c2b261e…Exposed Docker API July 15, 2026
Go DDoS botnet 1
- Go DDoS botnet VT 40/74C2 live
6da756970a411dad…Jenkins Script Console RCE July 1, 2026
rootpacket 1
- rootpacket VT 29/74CVE-2026-31431
e2d0dab6b29df89d…Docker API → privileged-container host escape June 15, 2026
kworker 1
- kworker VT 37/74
7420e819e6cf6d76…Exposed Redis (cron injection) June 10, 2026
RedTail 1
- RedTail Known family
59c29436755b0778…Exposed Docker API June 5, 2026
هیچ نمونهای با این فیلتر مطابقت ندارد.
بدافزارهای رایج
شبکه حجم ثابتی از بدافزار رایج را هم جذب می‌کند که هنگام ضبط قرنطینه و هش می‌شود. فهرست می‌شود و همان‌جا می‌ماند؛ هیچ‌کدام به اندازه‌ای نو نیست که واکاوی جداگانه‌ای بطلبد.
- گونه‌های Mirai / Gafgyt. باینری‌های ELF چندمعماری که با brute-force روی Telnet رها می‌شوند و بیشترین حجم را دارند. 11 تا 14 باینری برای معماری‌های مختلف در هر موج کمپین.
- دراپرهای DDoS روی Jenkins. اجرای کد از راه دور (RCE) با Groovy از طریق Script Console؛ یک لودر bins.sh به‌همراه پی‌لودهای ELF/PE مخصوص هر معماری. با بات‌نت DDoS مبتنی بر Go در بالا همپوشانی دارد.
- پی‌لودهای OpenSLP برای ESXi. تلاش‌های اکسپلویت CVE-2021-21974 روی UDP/TCP 427؛ عمدتاً پی‌لودهای پروتکلی کوچک.
- ماژول‌های مخرب Redis. ماژول‌های .so از نوع بک‌دور / لودر که با MODULE LOAD بارگذاری می‌شوند.
درخواست نمونه
چند خانواده در GitHub عمومی ما آینه‌سازی شده‌اند و مستقیم به آنجا پیوند دارند. برای بقیه، به [email protected] ایمیل بزنید و بگویید که هستید و برای چه کاری به آن نیاز دارید. همهٔ موارد این صفحه بدافزار واقعی و کارا هستند و یکی از مخزن‌ها اکسپلویت کارای local-root دارد، پس هر کدام را فقط در یک VM یک‌بارمصرف اجرا کنید که هیچ مسیری به شبکه‌ای که استفاده می‌کنید نداشته باشد.