Klassifizierter Scanner-/Bot-Traffic aus den abgewiesenen 404 (inkl. Bots und ignorierter Pfade), eingeordnet nach Angriffsmuster. Rein aus Pfad und User-Agent, kein externer Dienst.

Häufigste Ziel-Pfade

Kuratierte Fälle aus dem Honeypot (casebuilder). Die Note ist eine LLM-Einschätzung (0 = Massenrauschen, 10 = außergewöhnlich), als Hilfe bei der Auswahl. „Veröffentlichen“ zeigt den Fall anonymisiert auf dem Radar: IPs, Zugangsdaten, Tokens und Sensor-Namen werden geschwärzt. Vorher die Vorschau prüfen.

Dropper-URLs und Verteil-Hosts aus Fällen und Honeypot-Sitzungen. Malware-Familie und Status laut abuse.ch (URLhaus/ThreatFox, nur lesend), aufgefrischt im täglichen Radar-Lauf.

IPs mit gleichem Verhalten (ähnliche Pfadmenge oder gemeinsamer Dropper-Host), gebündelt von tools/campaigns.py auf dem Honeypot. Intern: enthält Angreifer-IPs.

Mitschnitt der Fake-Shell (Telnet/SSH): was der Angreifer getippt hat und was er zu sehen bekam. „Veröffentlichen“ stellt den Mitschnitt anonymisiert auf /security/sitzungen (ohne IP, mit nachgespielter Shell); die vom Angreifer probierten Zugangsdaten bleiben dort sichtbar. Identische Durchläufe sind gebündelt (×n). Die Ausgaben sind erfunden, es wurde nie etwas ausgeführt.