Passiv OT/ICS-honeypot · aggregerad mätdata

Vad söker internet
efter just nu?

Anonymiserad statistik från ett passivt system som emulerar industriella styrsystem, nätverkskameror, VPN-portaler och DevOps-tjänster.

Uppstart: 2025-08-01 · Senast aggregerat: 2026-07-01 · Källa: passiv HTTP-sensor

55 368

förfrågningar sedan start

Unika IP-adresser 6 316

Aktiva endpoints 3 919

Inloggningsförsök 557

Denna timme

139

Idag

Inloggn. idag

Portscanning creds

Uppdateras om 30s

Polling · var 30:e sekund

Nyckeltal

Totalt antal förfrågningar

55 368

+2 197 senaste 7 dagarna

Unika IP-adresser

6 316

+449 senaste 7 dagarna

Emulerade tjänster

3 919

aktiva endpoints

Inloggningsförsök

557

+0 senaste 7 dagarna

High-signal events

112

Sofistikerade riktade attacker

Sanerade events

1 281

XSS, SQLi och path traversal-försök

AI-agentprober

MCP-endpoints sondrade senaste 7 dagarna

Exkl. egna IP-adresser och kända skanningssystem.

Aktivitet & geografisk fördelning

Daglig aktivitet · sista 28 dagarna

Lägre

Högre

Timvis aktivitet · sista 7 dagarna

Lägre aktivitet

Högre aktivitet · Timme (UTC) · senaste 7 dagarna

Geografisk fördelning · top 8

US USA

13 422

NL Nederländerna

7 661

SE Sverige

7 510

DE Tyskland

4 378

GB Storbritannien

2 585

FR Frankrike

2 149

CN Kina

1 197

IN Indien

1 001

Kategorier & endpoints

Riktade systemförsök — fördelning per systemkategori

Kommunal dokumentportal

888 1.6%

SCADA & styrsystem

191 0.3%

Fibernät & transmission

156 0.3%

OT tidsserie-API

113 0.2%

VPN-portal

108 0.2%

Fastighetssystem (BMS)

93 0.2%

Övervakningskameror

71 0.1%

Passersystem

37 0.1%

Nätverksövervakning

23 0%

VA & fjärrvärme-SCADA

18 0%

Civilberedskapsplaner

12 0%

Kommunal dokumentportal

4 0%

intrusion_alarm

2 0%

Reservkraft & generatorer

1 0%

Kopplade CVE:er — kända sårbarheter i exponerade systemtyper

10.0 CVE-2019-7256 RCE (CVSS 10) — Linear eMerge E3 passersystem

10.0 CVE-2023-20198 Auth bypass (CVSS 10) — Cisco IOS XE

9.9 CVE-2023-44373 RCE — Siemens RUGGEDCOM APE1808

9.8 CVE-2024-9003 Auth bypass — Schneider Electric Easergy P5 BMS

9.8 CVE-2021-36260 Command injection — Hikvision IP-kameror

9.8 CVE-2023-27350 Auth bypass & RCE — PaperCut (VA-verk)

Protokollscanning — fördelning per systemkategori

Protokollscanning

13 579 24.5%

Kopplade CVE:er — kända sårbarheter i exponerade systemtyper

7.5 CVE-2023-27321 DoS — OPC UA Foundation SDK via crafted message

7.4 CVE-2022-44725 Memory corruption — OPC UA SDK (Unified Automation)

Generisk massscanning — fördelning per systemkategori

Generisk webbscanning

37 129 67.1%

Credential-stöld

1 558 2.8%

DevOps & API-sondning

847 1.5%

none

266 0.5%

unknown

207 0.4%

ai_agent

40 0.1%

Kataloggenomgång

23 0%

ups

1 0%

civil_readiness

1 0%

Kopplade CVE:er — kända sårbarheter i exponerade systemtyper

10.0 CVE-2024-3400 RCE (CVSS 10) — Palo Alto PAN-OS GlobalProtect

8.1 CVE-2024-6387 RCE — OpenSSH regreSSHion

Mest efterfrågade endpoints

root_probe

8 326

ssdp

6 385

ssh_banner

5 278

favicon_ico

1 945

sdk_weblanguage

1 478

raw_file_env

707

raw_file_git_config

500

robots_txt

483

cgi_bin_luci_stok_locale

435

sitemap_xml

428

Senaste aktivitet

LIVE

Tid UTC	Land	Endpoint	Kategori	Metod
2 h sedan	HU	root_probe	generic_scan	GET
2 h sedan	BE	root_probe	generic_scan	GET
3 h sedan	US	root_probe	generic_scan	GET
3 h sedan	TH	root_probe	generic_scan	GET
3 h sedan	IE	root_probe	generic_scan	HEAD
4 h sedan	NL	sdk_weblanguage	generic_scan	GET
4 h sedan	BR	sdk_weblanguage	generic_scan	GET
5 h sedan	BE	root_probe	generic_scan	GET

Metod · User-agent · Svarskod

HTTP-metod

GET

37 539

CONNECT

13 579

POST

2 953

HEAD

535

OPTIONS

106

PUT

PROPFIND

TRACE

MNBX

POQB

LINY

VVZU

VQYU

GKNX

APVL

PWGB

ZHNZ

RNLI

WTFI

IRSZ

DSLW

UGNB

VUEA

SUQF

KEAN

Topp User-Agents

browser

25 923

security_scanner

3 036

curl

2 969

l9explore/1.2.2

1 963

no_agent

1 907

go_http

1 859

HTTP-svarskod

200 OK

41 633

13 579

404 Not Found

156

Credential-försök · inloggningsförsök per system och användarnamn

Mest provade användarnamn

root

117

admin

ZAP (scanner)

Poot

user

Pdmin

operator (OT)

test

default

guest

administrator

vstarcam2015

Inloggningsförsök per honeypot-tjänst

Passersystem

114

Fibernät & nätverks…

Process-SCADA (Siemen…

VPN-gateway (Ivanti)

Oklassificerat

Driftportal

IP-kameror (Hikvision…

Fastighetsautomation …

Säkerhetsaccess

Civilberedskapsportal

Angriparmönster · återkommande aktörer och multi-endpoint-försök

6 482

Unika externa IP:er

Återkommande aktörer · >1 besök

Riktade aktörer · 2+ distinkta endpoints

#	Förfrågningar	Endpoint-grupper	Tjänstetyper	OT-fokus
1	436	5	4	OT-riktad
2	76	5	4	OT-riktad
3	294	4	4	OT-riktad
4	176	4	3	OT-riktad
5	170	4	4	OT-riktad
6	165	4	4	OT-riktad
7	45	4	4	OT-riktad
8	40	4	4	OT-riktad
9	1 727	3	3	OT-riktad
10	1 425	3	3	OT-riktad
11	1 413	3	3	OT-riktad
12	1 222	3	3	OT-riktad

Exponeringstid · hur lång tid det tog innan varje tjänst hittades

Tid till första scan · per exponerad tjänst sedan 2026-03-08

VPN-gateway (Ivanti) +18h 5min

Passersystem +18h 47min

DevOps / CI-API +1 dagar

Credential-stöld +1 dagar

Fibernät & nätverkshårdvara +4 dagar

Säkerhetsaccess +5 dagar

ai_agent +69 dagar

Tid efter att portarna öppnades tills första extern förfrågan registrerades per tjänstetyp

Vill du veta mer?

Detaljerad analys �� angriparprofiler, ISP-data, credential-trender — finns på begäran för säkerhetsforskare och branschkollegor.

Kontakta oss ›

Geografisk tidslinje · daglig aktivitet per ursprungsland · senaste 7 dagarna

Datum	NL Nederländerna	US USA	DE Tyskland	BR Brasilien	RO Rumänien	HK Hongkong	Totalt
2026-07-03	81	22	·	7	·	1	139
2026-07-02	143	93	4	9	19	12	330
2026-07-01	55	45	36	12	18	21	272
2026-06-30	178	97	4	8	18	15	385
2026-06-29	103	56	65	28	20	20	361
2026-06-28	109	50	36	11	·	6	262
2026-06-27	219	81	4	21	·	·	352
2026-06-26	14	16	15	3	18	·	96

Enbart extern trafik. Mörk cell = hög aktivitet från landet. Egna IP-adresser exkluderade.

Protokollscanning

OT-protokoll rankade per träffräkning

#	Protokoll	Totalt	Andel	Idag
1	SSDP/UPnP :1900	6 385	47%	—
2	SSH Banner :2222	5 278	38.9%	—
3	Telnet :23	285	2.1%	—
4	Hikvision SDK :8000	252	1.9%	—
5	OPC-UA :4840	141	1%	—
6	Siemens S7comm :10102	138	1%	—
7	Niagara Fox :1911	135	1%	—
8	DNP3 :20000	112	0.8%	—
9	Modbus TCP :15502	105	0.8%	—
10	EtherNet/IP :44818	101	0.7%	—
11	iec104	91	0.7%	—
12	SIP :5060	90	0.7%	—
13	Dahua TCP :37777	86	0.6%	—
14	SNMP :161	78	0.6%	—
15	RTSP :554	76	0.6%	—
16	MQTT :1883	74	0.5%	—
17	GE SRTP :18245	58	0.4%	—
18	MELSEC SLMP :5007	52	0.4%	—
19	bacnet	41	0.3%	—
20	FTP :21	1	0%	—

Alla träffar sedan start. "Idag" = antal förfrågningar innevarande dag UTC. Egna IP-adresser exkluderade.

Angreppstyper förklarade

Vad händer egentligen

Credential stuffing

0 unika IP:n / 7 d

Automatiserade Telnet-anslutningar som systematiskt provar inloggningsuppgifter från läckta databaser. Målet är att ta över routrar och IoT-enheter för att bygga ut botnät.

CVE-riktad scanning

0 distinkta protokoll

Förfrågningar som matchar kända CVE-signaturer — angriparen söker efter en specifik sårbarhet i industriella styrsystem, kameror eller nätverksutrustning.

Kamouflerad trafik

0 förfrågningar

OT-protokollförfrågningar med webbläsar-useragent (Mozilla/Chrome/Safari). Avsikten är att undgå signatursbaserade detekteringssystem som filtrerar bort tydlig scanneridentitet.

Räkningar avser observationer i honeypot-data. Siffrorna speglar angriparmönster, inte faktiska intrång.

Trender

Requests per dag de senaste 30 och 90 dagarna

Senaste 30 dagarna

Senaste 90 dagarna

Kvartalstrender

Nyckel-KPI:er per kvartal — eskalering över tid

Kvartal	Requests	Unika IP	High-signal	Credential-försök	Residential IP
2026-Q1	18 256	2 551	112	470	—

Kvartal med noll requests exkluderas. Δ = förändring mot föregående kvartal i tabellen.

Angreppsdjup · resursmål, beteendesignaturer och ursprung

Vad angriparna söker

50 961

Protokoll (TCP/UDP raw)

1 764

Inloggningssidor

1 612

Dokumentfiler

853

API-endpoints

155

Okänt

23

Katalogstrukturer

Beteendesignaturer

29 464

Kataloggissning

18 369

Mänskligt webbläsarbeteende

12 515

Sårbarhetsskanning

11 094

Konfigurationssökning

10 105

Automatiserad scanning

3 701

Massscanning

2 297

API-sondning

1 907

Ingen User-Agent

1 142

Backupsökning

445

known_scanner

436

OT-riktad

286

Credential-försök

Angriparnas nätoperatörer

3 163

Google LLC

3 159

Digitalocean, LLC

2 408

TECHOFF SRV LIMITED

2 291

Secure Internet LLC uk

2 236

Censys, Inc.

Säkerhetsforskare

1 489

FBW NETWORKS SAS

1 457

Pfcloud UG

1 305

Feo Prest SRL

1 138

Microsoft Corporation

1 019

DEDIK SERVICES LIMITED

Inga IP-adresser visas. ASN-data via passiv geo-enrichning.

Vad söker internet efter just nu?

Nyckeltal

Aktivitet & geografisk fördelning

Kategorier & endpoints

Senaste aktivitet

Metod · User-agent · Svarskod

Credential-försök · inloggningsförsök per system och användarnamn

Angriparmönster · återkommande aktörer och multi-endpoint-försök

Exponeringstid · hur lång tid det tog innan varje tjänst hittades

Geografisk tidslinje · daglig aktivitet per ursprungsland · senaste 7 dagarna

Protokollscanning

Angreppstyper förklarade

Trender

Kvartalstrender

Angreppsdjup · resursmål, beteendesignaturer och ursprung

AI-agentscanning · MCP-protokollsondring och kända aktörer

Vad söker internet
efter just nu?