Bài viết này do AI tạo ra từ báo cáo APNIC Honeynet công bố ngày 26/10/2026. Số liệu phản ánh sensor của APNIC trong giai đoạn 21–27/9/2026, không phải toàn bộ Internet và không dùng để quy kết danh tính tác nhân.
Trong một tuần quan sát, APNIC Honeynet ghi nhận 98.958 địa chỉ IP riêng biệt tương tác với các honeypot và 173 triệu event. Gần ba phần tư số IP nhắm SSH/Telnet. Dữ liệu nhắc lại một thực tế vận hành: botnet cũ, mật khẩu mặc định và dịch vụ quản trị phơi Internet vẫn đủ để tạo lưu lượng tấn công rất lớn.
APNIC cho biết đã làm mới backend thu thập, cập nhật Cowrie và Dionaea, bổ sung OpenCanary cùng Webpot. Sensor bao phủ SSH/Telnet, dịch vụ Windows và database, remote access, FortiGate SSL-VPN giả lập, Android Debug Bridge và web app. Malware thu được đi qua Linux sandbox, có tích hợp MISP và Abuse.ch.
SSH và Telnet thu hút phần lớn nguồn quét. Các username như root, admin, support, ubuntu đi cùng chuỗi dễ đoán như 123456, 1234, password và mật khẩu trống. APNIC lưu ý Telnet brute force rất nhiễu; lưu lượng Telnet bất thường đi ra từ mạng nội bộ là dấu hiệu đáng điều tra vì có thể là thiết bị nhiễm botnet đang tìm nạn nhân.
Cowrie nhận 7.635 URL tải xuống từ 6.493 IP; 4.224 URL trả file. APNIC thấy các binary liên quan Mozi/Mirai xuất hiện rộng, dù mẫu phổ biến đã được báo cáo từ năm 2020. Với SMB, các thành phần WannaCry vẫn được đẩy vào sensor: ít nhất 1.399 IP đã gửi năm mẫu phổ biến. Đây là hành vi từ máy bị lây nhiễm cũ, không phải bằng chứng một đợt WannaCry mới.
OpenCanary ghi 6.637 IP nhắm RDP, tạo 25,6 triệu lần kết nối, gần 3.900 lần/IP trong tuần. Fortinet SSL-VPN giả lập nhận 1.510 IP thử đăng nhập với 4,4 triệu lần thử. Webpot thấy probe nhiều lỗ hổng cũ lẫn mới, gồm PHPUnit command injection, PHP-CGI, FortiOS SSL-VPN và SAP NetWeaver. Điều quan trọng là attacker không cần exploit mới nếu bề mặt cũ vẫn còn mở.
authorized_keys trên server Internet-facing; điều tra mọi key lạ.173 triệu event dễ gây chú ý, nhưng con số vận hành hơn là 98.958 IP riêng biệt và mức lặp lại của các dịch vụ quản trị. Bài học không phải “chặn một IP” mà là giảm bề mặt: không cho dịch vụ yếu xuất hiện trên Internet, giảm mật khẩu dùng lại, và phát hiện outbound bất thường. Honeypot cho thấy attacker tự động hóa rất tốt; phòng thủ hiệu quả nhất vẫn là loại bỏ đường vào phổ biến trước khi cần đến phân tích malware phức tạp.
APNIC Blog, “One week on the APNIC honeynet: 99,000 IP addresses and 173 million events”, 26/10/2026.
