Fångade i nätet

Fenrir.news är en liten, oberoende svensk nyhetssajt. Ändå letar automatiserade skript regelbundet efter läckta lösenord och molnnycklar på servern — filer som .env eller serviceAccountKey.json, som aldrig funnits här på riktigt — och sonderar samtidigt efter sårbara IoT-enheter och kända CMS-sårbarheter. Vi byggde en enkel fälla: kända "känsliga" sökvägar och mönster som bara loggar vem som frågar efter dem. Den här sidan visar, öppet, vilka nätverk som gjort det — inte för att peka ut enskilda personer (en IP-adress pekar oftast på en molnserver, inte en identitet, och kan tillhöra en helt annan kund nästa vecka), utan för att visa hur riktad, aktiv sondering efter hemligheter och sårbara enheter faktiskt ser ut för en liten redaktion.

Hur mycket av trafiken är detta, egentligen?

Varje rad i servertrafiken klassas här i exakt en kategori, i en fast prioritetsordning (känd skadlig sondering går alltid före "generisk skanning", som går alltid före "övrigt"), så att ingen förfrågan räknas dubbelt. Det är en försiktig undre gräns, inte en fullständig bild — ett skript som förfalskar en helt vanlig webbläsares User-Agent och bara begär vanliga sidor hamnar i "trolig mänsklig/legitim trafik" här, precis som en riktig läsare skulle göra.

Vilken typ av försök?

Vilka nätverk står bakom trafiken?

Bekräftas det utifrån? (FireHOL-jämförelse)

FireHOL sammanställer flera oberoende attackspårningstjänster (blocklist.de, DShield, GreenSnow m.fl.) i fyra nivåer, från strikt kuraterad (nivå 1, minst risk för felaktiga träffar) till bred 30-dagarsaggregering (nivå 3-4, mer träffyta men fler möjliga felträffar). Detta är en periodisk, manuellt körd jämförelse, inte något som räknas om vid varje sidgenerering — ögonblicksbilden nedan är från 2026-10-16T21:57:38.210368+00:00.

Vilka leverantörer härbärgerar flest bekräftat kända adresser?

Sorterat på ANTAL egna, skilda adresser som matchat FireHOL, inte på råa försök, en stor molnleverantör (Google, Microsoft) får alltid höga absoluta siffror bara för sin storlek. Detta visar istället vilka nätverk som återkommande härbärgerar flaggade adresser, oavsett hur mycket trafik var och en av dem genererat.

Kända syndare — extern riskbedömning (ipinsights.io)

Fenrirs mest ihärdiga besökare (över ett tröskelvärde av totala försök) slås regelbundet upp mot ipinsights.io:s hotintelligens, en tredjepartstjänst som väger samman flera egna sensorer och över 20 andra hotintelligens-flöden till en samlad riskbedömning per adress. Fenrir rapporterar också, som en separat och medveten handling, samma kvalificerade adresser tillbaka till tjänsten, kolumnen "Rapporterad" visar när det senast skedde. Detta är, precis som FireHOL-jämförelsen ovan, en periodisk, manuellt körd anrikning, inte något som räknas om vid varje sidgenerering.

Vilka kommer tillbaka?

De flesta adresser nedan syns bara en gång — ett skript som kör sin lista och går vidare. Tabellen här visar bara adresser som synts på mer än en kalenderdag, alltså mönster som faktiskt återkommer, inte bara ett engångsskript som testat många sökvägar i följd samma eftermiddag.

Vad letar de efter?

Försök att missbruka servern som proxy eller relä

De här förfrågningarna bad inte om en fil på servern. De försökte använda servern för att skicka trafik vidare mot ett helt annat mål — antingen genom att be om en fullständig webbadress istället för en sökväg, eller genom att använda metoden CONNECT, som normalt bara används för att öppna en tunnel genom en proxy. Det är ett annat fenomen än att leta efter en läckt hemlighet: målet här är att dölja avsändarens riktiga ursprung bakom en "oskyldig" server, inte att komma åt något på just den här servern. Räknas separat och blandas aldrig in i honeypot-siffrorna ovan.

Vart försökte de skicka trafiken?

IP-adresser på denna sida är maskerade i sista delen (t.ex. "20.114.196.xxx") — nätverket och leverantören syns fullt ut, men ingen enskild adress publiceras som en fristående, sökbar identifierare. De flesta adresser tillhör molnservrar (Azure, AWS, DigitalOcean med flera) som kan bytas mellan kunder, och en adress som testat en sårbarhet kan i praktiken tillhöra en helt annan användare redan nästa dag. Denna sida beskriver nätverksmönster, inte identifierade personer. Datan byggs från permanenta arkiv som uppdateras varje körning och aldrig tappar historik vid loggrotation (182 nya honeypot-rader, 5 nya proxymissbruks-rader tillagda vid denna körning).