網路威脅觀測月報｜2026年1月

Cowrie蜜罐分析報告

 一、總體數據分析

本報告彙整自Cowrie蜜罐(Honeypot)系統之監測日誌，總結觀測期間的主要惡意活動。

• 總攻擊量(TotalEvents)：2,539,556次
  
• 不重複攻擊來源IP(UniqueIPs)：38,885個

數據分析重點：

本月記錄之總攻擊次數為250萬次。經分析發現，平均每個攻擊來源IP發動了約65次連線嘗試，將近4萬個獨立IP參與攻擊。

二、帳號密碼爆力破解統計

透過統計攻擊者嘗試登入時採用的帳號密碼組合，可歸納出目前的字典攻擊偏好。

前10大常用嘗試密碼：

分析重點：

• 最常見密碼為「123456」，其嘗試次數遠超其他組合，證實攻擊者優先針對最低成本的漏洞進行暴力破解。
  
• 前十名中出現「P@ssw0rd」，顯示攻擊程式已針對基本的密碼複雜度要求(含大小寫、符號)進行調整。

除了密碼外，統計攻擊者嘗試登入的帳號名稱，可以發現其鎖定的目標不限於一般系統帳號，更延伸至特定的資料庫與開發環境。

前10大攻擊目標帳號：

三、攻擊來源IP軌跡分析

本月觀測到全球多個來源IP的惡意連線，其中以下10個IP位址的活動最為密集：

前10大攻擊來源IP：

 
分析重點：高風險IP指標(IoC)：位居首位的130.12.181.24較多，單一IP貢獻了總量近17%的攻擊。

四、攻擊通訊協定分佈(ProtocolDistribution)

通訊協定使用統計：

分析重點：近九成的攻擊透過SSH進行。觀測發現，攻擊者頻繁使用root、postgres或oracle等常見服務名稱作為登入帳號。這證實了攻擊者傾向於針對「預設帳號」或「易猜測帳號」進行破解。

五、惡意指令行為分析

當攻擊者成功觸發互動後，通常會立即執行自動化指令。以下為本月排名前5大之惡意指令分析：

分析重點：偵察為首要任務：前五名中有四項指令屬於系統資訊收集。顯示攻擊者在取得Shell後，首要動作是進行精準偵察，以利後續的權限提升或橫向移動。

Dionaea蜜罐分析報告

一、惡意樣本捕獲總覽

本月Dionaea蜜罐系統共捕獲多組惡意檔案樣本，透過MD5雜湊值(Hash)比對，可識別出當前網路空間中活動最頻繁的惡意軟體家族。

前5大惡意樣本MD5排名：

二、惡意樣本(ae12bb54af31227017feffd9598a6f5e)分析

1、樣本基本資訊

• 檔案格式：Win32DLL
  
• 資安廠商標記：根據VirusTotal交叉比對，72家資安廠商中有68家(94%)標記為惡意。
  
• 威脅分類：多數廠商將其標記為Ransomware/WannaCry。

2、攻擊行為與動態分析

• 侵入途徑：所有攻擊行為均透過SMB協定(TCP445)觸發。
  
• 流量統計與來源分析：觸發次數262次，不重複IP數量54個。

防護建議

一、SSH

1、威脅觀測：監測期間記錄到超過250萬次爆破嘗試，其中以root、admin等預設帳號為主要標的，且常見弱密碼(如123456)之觸發次數極高。

2、防護策略：

• 帳號去標籤化：避免使用系統預設帳號名稱。
  
• 強化驗證機制：避免使用過於簡單易猜測之密碼。
  
• 存取來源限制：嚴格實施IP白名單制度，僅允許指定之固定IP進行遠端連線，大幅縮減攻擊面。

二、SMB

1、威脅觀測：偵測到大量SMB漏洞之連線，攻擊來源呈現分散特徵，顯示受感染節點分布廣泛。

2、防護策略：

• 外部存取隔離：防火牆加入TCP445埠口，禁止與外網連線。
  
• 安全通訊架構：若具備遠端存取需求，建議透過VPN進行連線以免服務直接暴露於外部網路。
  
• 修補管理：落實系統更新，修補已知協定漏洞以阻斷勒索軟體之橫向移動路徑。
  
  

資料來源：
本文統計來自TWNIC自建蜜罐環境(Cowrie、Dionaea)於2025/12/16-2026/1/15期間觀測到的外部互動事件與惡意樣本，彙整服務類型、來源落點、登入嘗試與惡意程式行為輪廓，著重呈現活動型態與趨勢。資料反映的是本觀測點在網際網路上可見的行為；來源位址可能為代理、雲端或已遭入侵主機，因此不宜據以推定實際行為者之真實身分或國別。