לכידות honeypot
מצאי דגימות נוזקה
נוזקות שנלכדו ברשת ה-honeypot של Kinryū Labs, הוכנסו להסגר וגובבו. ערכי הגיבוב מודפסים במלואם משום שזה מה שמגן משווה מולו; תשתית התוקפים מנוטרלת. רוב המשפחות משותפות עם חוקרים ומגינים שמבקשים אותן. אחת מהן משוכפלת למאגר ציבורי המכיל אקספלויט local-root עובד. לכל לכידה יש עמוד משלה, והמעמיקות שבהן מקשרות אל דוח מלא.
ניתוחים
24
11 משפחות
עם ניתוח מלא
5
דוח מקושר
לכידות
828
345 ערכי SHA-256 ייחודיים
חדשות (VT = 0)
130+
כולל מסגרת ה-godhive
וקטורי מסירה
8
Docker, Jenkins, Redis…
mozi 4
- mozi C2 verifiedProtocol documented
2e4506802aedea2e…Runs as a ddos-bot/worm; the entry vector is not established by static analysis October 24, 2026 - mozi (botv2) C2 verifiedProtocol documented
12013662c71da69d…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 30, 2026 - mozi C2 verifiedProtocol documented
f6c97b1e2ed02578…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 13, 2026 - mozi C2 verifiedProtocol documented
4293c1d8574dc87c…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 9, 2026
unclassified 10
- X86 PE32 executable for MS Windows 4.00 (GUI) worm (807126cbae47) C2 verifiedProtocol documented
807126cbae47c03c…Runs as a worm/cryptominer; the entry vector is not established by static analysis October 24, 2026 - X86_64 ELF 64-bit LSB pie executable ddos-bot (ada33a0316d3) C2 verifiedProtocol documented
ada33a0316d364d1…Runs as a ddos-bot/worm; the entry vector is not established by static analysis October 12, 2026 - Arm ELF 32-bit LSB executable ddos-bot (1fc37d38754d) C2 verifiedProtocol documented
1fc37d38754d3991…Runs as a ddos-bot/worm; the entry vector is not established by static analysis October 11, 2026 - Mips ELF 32-bit MSB executable ddos-bot (9200aac4a356) C2 verifiedProtocol documented
9200aac4a3561902…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 30, 2026 - Arm ELF 32-bit LSB executable ddos-bot (9e6da804ae9c) C2 verifiedProtocol documented
9e6da804ae9ca0a0…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 29, 2026 - Arm ELF 32-bit LSB executable ddos-bot (34186fba4b5a) C2 verifiedProtocol documented
34186fba4b5a9c64…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 28, 2026 - X86_64 ELF 64-bit LSB pie executable ddos-bot (3261921456e3) C2 verifiedProtocol documented
3261921456e347fb…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 27, 2026 - X86_64 ELF 64-bit LSB pie executable ddos-bot (7d7210719451) C2 verifiedProtocol documented
7d7210719451068d…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 27, 2026 - X86 ELF 32-bit LSB executable ddos-bot (59bdafde8769) C2 verifiedProtocol documented
59bdafde87693987…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 22, 2026 - POSIX shell script loader (42f1363b2247) C2 recovered
42f1363b224766f6…Runs as a loader/dropper; the entry vector is not established by static analysis September 20, 2026
redtail 1
- redtail C2 verified
7c6c19b6e9343c77…Runs as a dropper/loader; the entry vector is not established by static analysis September 20, 2026
nsminer 1
- nsminer C2 recoveredProtocol documented
7126b9932dc0cdfe…Runs as a cryptominer/dropper; the entry vector is not established by static analysis September 18, 2026
mirai 2
- mirai C2 verifiedProtocol documented
d8712c619b951fc2…Runs as a ddos-bot; the entry vector is not established by static analysis September 14, 2026 - mirai (pboc) C2 verifiedProtocol documented
c9727a1237b59d53…Runs as a ddos-bot/worm; the entry vector is not established by static analysis September 10, 2026
atomic-mirai 1
- atomic-mirai C2 recovered
42f1363b224766f6…Runs as a loader/dropper; the entry vector is not established by static analysis September 7, 2026
godhive 1
- godhive Novel, not on VTC2 live
4194f2337c2b261e…Exposed Docker API July 15, 2026
Go DDoS botnet 1
- Go DDoS botnet VT 40/74C2 live
6da756970a411dad…Jenkins Script Console RCE July 1, 2026
rootpacket 1
- rootpacket VT 29/74CVE-2026-31431
e2d0dab6b29df89d…Docker API → privileged-container host escape June 15, 2026
kworker 1
- kworker VT 37/74
7420e819e6cf6d76…Exposed Redis (cron injection) June 10, 2026
RedTail 1
- RedTail Known family
59c29436755b0778…Exposed Docker API June 5, 2026
אין לכידות התואמות לסינון זה.
לכידות של נוזקות גנריות
הרשת מושכת גם נפח קבוע של נוזקות גנריות, שמוכנסות להסגר ומגובבות עם הלכידה. הן מקוטלגות ונשארות שם; אף אחת מהן אינה חדשנית דייה כדי להצדיק ניתוח מלא.
- וריאנטים של Mirai / Gafgyt. קבצי ELF למספר ארכיטקטורות המוטלים דרך כוח גס על Telnet, הנפח הדומיננטי. 11–14 קבצים בינאריים לארכיטקטורות שונות בכל גל של מערכה.
- דרופרים של DDoS דרך Jenkins. RCE ב-Groovy דרך ה-Script Console; לואדר bins.sh בתוספת מטעני ELF/PE לפי ארכיטקטורה. חופף לבוטנט ה-DDoS ב-Go שלמעלה.
- מטעני ESXi OpenSLP. ניסיונות ניצול של CVE-2021-21974 על גבי UDP/TCP 427; בעיקר מטעני פרוטוקול קטנים.
- מודולי Redis זדוניים. מודולי .so מסוג דלת אחורית / לואדר הנטענים באמצעות MODULE LOAD.
בקשת דגימה
כמה משפחות משוכפלות ל-GitHub הציבורי שלנו ומקשרות ישירות לשם. לגבי השאר, כתבו אל [email protected] וציינו מי אתם ולמה אתם צריכים את הדגימה. כל מה שבעמוד זה הוא נוזקה פעילה, ואחד המאגרים מכיל אקספלויט local-root עובד, לכן הריצו כל פריט רק ב-VM חד-פעמי ללא נתיב לרשת שאתם משתמשים בה.