Passiv OT/ICS-honeypot · aggregerad mätdata

Vad söker internet
efter just nu?

Anonymiserad statistik från ett passivt system som emulerar industriella styrsystem, nätverkskameror, VPN-portaler och DevOps-tjänster.

Uppstart: 2025-08-01 · Senast aggregerat: 2026-07-12 · Källa: passiv HTTP-sensor

60 326

förfrågningar sedan start

Unika IP-adresser 6 823

Aktiva endpoints 4 193

Inloggningsförsök 557

Denna timme

216

Idag

Inloggn. idag

Portscanning creds

Uppdateras om 30s

Polling · var 30:e sekund

Nyckeltal

Totalt antal förfrågningar

60 326

+2 653 senaste 7 dagarna

Unika IP-adresser

6 823

+519 senaste 7 dagarna

Emulerade tjänster

4 193

aktiva endpoints

Inloggningsförsök

557

+0 senaste 7 dagarna

High-signal events

112

Sofistikerade riktade attacker

Sanerade events

1 350

XSS, SQLi och path traversal-försök

AI-agentprober

MCP-endpoints sondrade senaste 7 dagarna

Exkl. egna IP-adresser och kända skanningssystem.

Aktivitet & geografisk fördelning

Daglig aktivitet · sista 28 dagarna

Lägre

Högre

Timvis aktivitet · sista 7 dagarna

Lägre aktivitet

Högre aktivitet · Timme (UTC) · senaste 7 dagarna

Geografisk fördelning · top 8

US USA

14 531

NL Nederländerna

9 355

SE Sverige

7 572

DE Tyskland

4 567

GB Storbritannien

2 653

FR Frankrike

2 233

CN Kina

1 241

IN Indien

1 016

Kategorier & endpoints

Riktade systemförsök — fördelning per systemkategori

Kommunal dokumentportal

1 012 1.7%

SCADA & styrsystem

191 0.3%

Fibernät & transmission

156 0.3%

OT tidsserie-API

115 0.2%

VPN-portal

113 0.2%

Fastighetssystem (BMS)

93 0.2%

Övervakningskameror

71 0.1%

Passersystem

39 0.1%

Nätverksövervakning

23 0%

VA & fjärrvärme-SCADA

18 0%

Civilberedskapsplaner

12 0%

Kommunal dokumentportal

4 0%

intrusion_alarm

2 0%

Reservkraft & generatorer

1 0%

Kopplade CVE:er — kända sårbarheter i exponerade systemtyper

10.0 CVE-2019-7256 RCE (CVSS 10) — Linear eMerge E3 passersystem

10.0 CVE-2023-20198 Auth bypass (CVSS 10) — Cisco IOS XE

9.9 CVE-2023-44373 RCE — Siemens RUGGEDCOM APE1808

9.8 CVE-2024-9003 Auth bypass — Schneider Electric Easergy P5 BMS

9.8 CVE-2021-36260 Command injection — Hikvision IP-kameror

9.8 CVE-2023-27350 Auth bypass & RCE — PaperCut (VA-verk)

Protokollscanning — fördelning per systemkategori

Protokollscanning

13 579 22.5%

Kopplade CVE:er — kända sårbarheter i exponerade systemtyper

7.5 CVE-2023-27321 DoS — OPC UA Foundation SDK via crafted message

7.4 CVE-2022-44725 Memory corruption — OPC UA SDK (Unified Automation)

Generisk massscanning — fördelning per systemkategori

Generisk webbscanning

41 687 69.1%

Credential-stöld

1 747 2.9%

DevOps & API-sondning

913 1.5%

none

266 0.4%

unknown

208 0.3%

ai_agent

51 0.1%

Kataloggenomgång

23 0%

ups

1 0%

civil_readiness

1 0%

Kopplade CVE:er — kända sårbarheter i exponerade systemtyper

10.0 CVE-2024-3400 RCE (CVSS 10) — Palo Alto PAN-OS GlobalProtect

8.1 CVE-2024-6387 RCE — OpenSSH regreSSHion

Mest efterfrågade endpoints

root_probe

9 231

ssdp

6 385

ssh_banner

5 278

favicon_ico

2 157

sdk_weblanguage

1 769

raw_file_env

791

raw_file_git_config

544

robots_txt

528

sitemap_xml

461

cgi_bin_luci_stok_locale

448

Senaste aktivitet

LIVE

Tid UTC	Land	Endpoint	Kategori	Metod
2 h sedan	US	root_probe	generic_scan	GET
3 h sedan	US	root_probe	generic_scan	GET
3 h sedan	TR	root_probe	generic_scan	GET
3 h sedan	NL	well_known_security_txt	devops	GET
3 h sedan	NL	sitemap_xml	devops	GET
3 h sedan	NL	root_probe	generic_scan	GET
3 h sedan	NL	robots_txt	generic_scan	GET
3 h sedan	JP	root_probe	generic_scan	GET

Metod · User-agent · Svarskod

HTTP-metod

GET

42 409

CONNECT

13 579

POST

3 016

HEAD

555

OPTIONS

111

PUT

PROPFIND

TRACE

MNBX

POQB

LINY

VVZU

VQYU

GKNX

APVL

PWGB

ZHNZ

RNLI

WTFI

IRSZ

DSLW

UGNB

VUEA

SUQF

KEAN

Topp User-Agents

browser

28 974

security_scanner

3 323

curl

2 998

l9explore/1.2.2

2 339

no_agent

2 194

go_http

2 023

HTTP-svarskod

200 OK

46 586

13 579

404 Not Found

161

Credential-försök · inloggningsförsök per system och användarnamn

Mest provade användarnamn

root

117

admin

ZAP (scanner)

Poot

user

Pdmin

operator (OT)

test

default

guest

administrator

vstarcam2015

Inloggningsförsök per honeypot-tjänst

Passersystem

114

Fibernät & nätverks…

Process-SCADA (Siemen…

VPN-gateway (Ivanti)

Oklassificerat

Driftportal

IP-kameror (Hikvision…

Fastighetsautomation …

Säkerhetsaccess

Civilberedskapsportal

Angriparmönster · återkommande aktörer och multi-endpoint-försök

6 987

Unika externa IP:er

Återkommande aktörer · >1 besök

Riktade aktörer · 2+ distinkta endpoints

#	Förfrågningar	Endpoint-grupper	Tjänstetyper	OT-fokus
1	619	5	4	OT-riktad
2	76	5	4	OT-riktad
3	76	5	4	OT-riktad
4	695	4	4	OT-riktad
5	176	4	3	OT-riktad
6	171	4	4	OT-riktad
7	165	4	4	OT-riktad
8	45	4	4	OT-riktad
9	40	4	4	OT-riktad
10	1 727	3	3	OT-riktad
11	1 425	3	3	OT-riktad
12	1 413	3	3	OT-riktad

Exponeringstid · hur lång tid det tog innan varje tjänst hittades

Tid till första scan · per exponerad tjänst sedan 2026-03-08

VPN-gateway (Ivanti) +18h 5min

Passersystem +18h 47min

DevOps / CI-API +1 dagar

Credential-stöld +1 dagar

Fibernät & nätverkshårdvara +4 dagar

Säkerhetsaccess +5 dagar

ai_agent +69 dagar

Tid efter att portarna öppnades tills första extern förfrågan registrerades per tjänstetyp

Vill du veta mer?

Detaljerad analys �� angriparprofiler, ISP-data, credential-trender — finns på begäran för säkerhetsforskare och branschkollegor.

Kontakta oss ›

Geografisk tidslinje · daglig aktivitet per ursprungsland · senaste 7 dagarna

Datum	NL Nederländerna	US USA	IT Italien	CA Kanada	DE Tyskland	RO Rumänien	Totalt
2026-07-14	48	61	·	23	16	3	216
2026-07-13	62	62	·	1	47	18	237
2026-07-12	45	142	·	2	17	26	359
2026-07-11	113	55	·	·	23	·	230
2026-07-10	128	55	1	1	13	19	248
2026-07-09	97	60	183	110	1	19	573
2026-07-08	95	141	1	31	36	48	528
2026-07-07	95	8	·	·	·	·	114

Enbart extern trafik. Mörk cell = hög aktivitet från landet. Egna IP-adresser exkluderade.

Protokollscanning

OT-protokoll rankade per träffräkning

#	Protokoll	Totalt	Andel	Idag
1	SSDP/UPnP :1900	6 385	47%	—
2	SSH Banner :2222	5 278	38.9%	—
3	Telnet :23	285	2.1%	—
4	Hikvision SDK :8000	252	1.9%	—
5	OPC-UA :4840	141	1%	—
6	Siemens S7comm :10102	138	1%	—
7	Niagara Fox :1911	135	1%	—
8	DNP3 :20000	112	0.8%	—
9	Modbus TCP :15502	105	0.8%	—
10	EtherNet/IP :44818	101	0.7%	—
11	iec104	91	0.7%	—
12	SIP :5060	90	0.7%	—
13	Dahua TCP :37777	86	0.6%	—
14	SNMP :161	78	0.6%	—
15	RTSP :554	76	0.6%	—
16	MQTT :1883	74	0.5%	—
17	GE SRTP :18245	58	0.4%	—
18	MELSEC SLMP :5007	52	0.4%	—
19	bacnet	41	0.3%	—
20	FTP :21	1	0%	—

Alla träffar sedan start. "Idag" = antal förfrågningar innevarande dag UTC. Egna IP-adresser exkluderade.

Angreppstyper förklarade

Vad händer egentligen

Credential stuffing

0 unika IP:n / 7 d

Automatiserade Telnet-anslutningar som systematiskt provar inloggningsuppgifter från läckta databaser. Målet är att ta över routrar och IoT-enheter för att bygga ut botnät.

CVE-riktad scanning

0 distinkta protokoll

Förfrågningar som matchar kända CVE-signaturer — angriparen söker efter en specifik sårbarhet i industriella styrsystem, kameror eller nätverksutrustning.

Kamouflerad trafik

0 förfrågningar

OT-protokollförfrågningar med webbläsar-useragent (Mozilla/Chrome/Safari). Avsikten är att undgå signatursbaserade detekteringssystem som filtrerar bort tydlig scanneridentitet.

Räkningar avser observationer i honeypot-data. Siffrorna speglar angriparmönster, inte faktiska intrång.

Trender

Requests per dag de senaste 30 och 90 dagarna

Senaste 30 dagarna

Senaste 90 dagarna

Kvartalstrender

Nyckel-KPI:er per kvartal — eskalering över tid

Kvartal	Requests	Unika IP	High-signal	Credential-försök	Residential IP
2026-Q1	18 256	2 551	112	470	—

Kvartal med noll requests exkluderas. Δ = förändring mot föregående kvartal i tabellen.

Angreppsdjup · resursmål, beteendesignaturer och ursprung

Vad angriparna söker

55 519

Protokoll (TCP/UDP raw)

1 897

Inloggningssidor

1 797

Dokumentfiler

930

API-endpoints

160

Okänt

23

Katalogstrukturer

Beteendesignaturer

33 284

Kataloggissning

20 318

Mänskligt webbläsarbeteende

14 239

Sårbarhetsskanning

12 617

Konfigurationssökning

10 895

Automatiserad scanning

4 014

Massscanning

2 490

API-sondning

2 194

Ingen User-Agent

1 302

Backupsökning

479

known_scanner

444

OT-riktad

401

Bekräftad människa

Angriparnas nätoperatörer

3 726

Google LLC

3 420

Digitalocean, LLC

3 288

TECHOFF SRV LIMITED

2 450

Censys, Inc.

Säkerhetsforskare

2 291

Secure Internet LLC uk

1 521

Pfcloud UG

1 489

FBW NETWORKS SAS

1 347

Microsoft Corporation

1 341

Feo Prest SRL

1 174

Linode

Inga IP-adresser visas. ASN-data via passiv geo-enrichning.

Vad söker internet efter just nu?

Nyckeltal

Aktivitet & geografisk fördelning

Kategorier & endpoints

Senaste aktivitet

Metod · User-agent · Svarskod

Credential-försök · inloggningsförsök per system och användarnamn

Angriparmönster · återkommande aktörer och multi-endpoint-försök

Exponeringstid · hur lång tid det tog innan varje tjänst hittades

Geografisk tidslinje · daglig aktivitet per ursprungsland · senaste 7 dagarna

Protokollscanning

Angreppstyper förklarade

Trender

Kvartalstrender

Angreppsdjup · resursmål, beteendesignaturer och ursprung

AI-agentscanning · MCP-protokollsondring och kända aktörer

Vad söker internet
efter just nu?