SentinelBrief
← Alert queue

14.255.187.76

Sensor
hp-use-01
Source
cowrie
Status
triaged
Event time
Received

Verdict

S4successful_intrusionConfidence 97%Escalate: yes

Reasoning

The session shows a successful SSH login to the honeypot using root/password, which constitutes a foothold. Per the rubric, any successful login is at least severity 4 and falls under successful_intrusion unless there is evidence of malware delivery or persistence. Retrieved session commands show no post-login commands, downloads, or uploads, so there is no evidence to raise this to severity 5.

Recommended action

Escalate as a confirmed honeypot compromise event; retain session artifacts and monitor for repeat access from this source, but no malware/persistence follow-up is indicated from this session alone.

Routing

Primary model
gpt-4o-mini
Final model
gpt-5.4
Escalated to strong model
yes
Prompt version
triage-v4
Input tokens
4,661
Output tokens
285
Cost
$0.006293
Latency
4,405 ms
Verdict at
2026-09-14 09:48:24Z

Tool trace

  1. 0. get_session_commands· 0 ms

    Arguments
    {
  "session_id": "22f290c9ac86"
}
    Result
    {
  "commands": [],
  "downloads": [],
  "session_id": "22f290c9ac86",
  "command_count": 0,
  "download_count": 0,
  "clipped_commands": 0,
  "commands_truncated": false,
  "downloads_truncated": false
}
Raw session JSON
{
  "events": [
    {
      "url": null,
      "uuid": "28d6f35e-aed5-11f1-a29a-0242ac120002",
      "input": null,
      "dst_ip": "172.18.0.2",
      "sensor": "hp-use-01",
      "shasum": null,
      "src_ip": "14.255.187.76",
      "eventid": "cowrie.session.connect",
      "message": "New connection: 14.255.187.76:53515 (172.18.0.2:2222) [session: 22f290c9ac86]",
      "outfile": null,
      "session": "22f290c9ac86",
      "version": null,
      "dst_port": 2222,
      "password": null,
      "protocol": "ssh",
      "src_port": 53515,
      "username": null,
      "timestamp": "2026-09-14T09:48:05.483388Z",
      "duration_ms": null
    },
    {
      "url": null,
      "uuid": "28d6f35e-aed5-11f1-a29a-0242ac120002",
      "input": null,
      "dst_ip": "172.18.0.2",
      "sensor": "hp-use-01",
      "shasum": null,
      "src_ip": "14.255.187.76",
      "eventid": "cowrie.client.version",
      "message": "Remote SSH version: SSH-2.0-PuTTY_Release_0.70",
      "outfile": null,
      "session": "22f290c9ac86",
      "version": "SSH-2.0-PuTTY_Release_0.70",
      "dst_port": 2222,
      "password": null,
      "protocol": "ssh",
      "src_port": 53515,
      "username": null,
      "timestamp": "2026-09-14T09:48:05.484668Z",
      "duration_ms": null
    },
    {
      "url": null,
      "uuid": "28d6f35e-aed5-11f1-a29a-0242ac120002",
      "encCS": [
        "aes256-ctr",
        "aes256-cbc",
        "rijndael-cbc@lysator.liu.se",
        "aes192-ctr",
        "aes192-cbc",
        "aes128-ctr",
        "aes128-cbc",
        "chacha20-poly1305@openssh.com",
        "blowfish-ctr",
        "blowfish-cbc",
        "3des-ctr",
        "3des-cbc",
        "arcfour256",
        "arcfour128"
      ],
      "hassh": "0425c279610910d2d9aef3b285e59b86",
      "input": null,
      "macCS": [
        "hmac-sha2-256",
        "hmac-sha1",
        "hmac-sha1-96",
        "hmac-md5",
        "hmac-sha2-256-etm@openssh.com",
        "hmac-sha1-etm@openssh.com",
        "hmac-sha1-96-etm@openssh.com",
        "hmac-md5-etm@openssh.com"
      ],
      "compCS": [
        "none",
        "zlib"
      ],
      "dst_ip": "172.18.0.2",
      "langCS": [
        ""
      ],
      "sensor": "hp-use-01",
      "shasum": null,
      "src_ip": "14.255.187.76",
      "eventid": "cowrie.client.kex",
      "kexAlgs": [
        "curve25519-sha256@libssh.org",
        "ecdh-sha2-nistp256",
        "ecdh-sha2-nistp384",
        "ecdh-sha2-nistp521",
        "diffie-hellman-group-exchange-sha256",
        "diffie-hellman-group-exchange-sha1",
        "diffie-hellman-group14-sha1",
        "rsa2048-sha256",
        "rsa1024-sha1",
        "diffie-hellman-group1-sha1"
      ],
      "keyAlgs": [
        "ssh-ed25519",
        "ecdsa-sha2-nistp256",
        "ecdsa-sha2-nistp384",
        "ecdsa-sha2-nistp521",
        "ssh-rsa",
        "ssh-dss"
      ],
      "message": "SSH client hassh fingerprint: 0425c279610910d2d9aef3b285e59b86",
      "outfile": null,
      "session": "22f290c9ac86",
      "version": null,
      "dst_port": 2222,
      "password": null,
      "protocol": "ssh",
      "src_port": 53515,
      "username": null,
      "timestamp": "2026-09-14T09:48:05.801011Z",
      "duration_ms": null,
      "hasshAlgorithms": "curve25519-sha256@libssh.org,ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256,diffie-hellman-group-exchange-sha1,diffie-hellman-group14-sha1,rsa2048-sha256,rsa1024-sha1,diffie-hellman-group1-sha1;aes256-ctr,aes256-cbc,rijndael-cbc@lysator.liu.se,aes192-ctr,aes192-cbc,aes128-ctr,aes128-cbc,chacha20-poly1305@openssh.com,blowfish-ctr,blowfish-cbc,3des-ctr,3des-cbc,arcfour256,arcfour128;hmac-sha2-256,hmac-sha1,hmac-sha1-96,hmac-md5,hmac-sha2-256-etm@openssh.com,hmac-sha1-etm@openssh.com,hmac-sha1-96-etm@openssh.com,hmac-md5-etm@openssh.com;none,zlib"
    },
    {
      "url": null,
      "uuid": "28d6f35e-aed5-11f1-a29a-0242ac120002",
      "input": null,
      "dst_ip": "172.18.0.2",
      "sensor": "hp-use-01",
      "shasum": null,
      "src_ip": "14.255.187.76",
      "eventid": "cowrie.login.success",
      "message": "login attempt [root/password] succeeded",
      "outfile": null,
      "session": "22f290c9ac86",
      "version": null,
      "dst_port": 2222,
      "password": "password",
      "protocol": "ssh",
      "src_port": 53515,
      "username": "root",
      "timestamp": "2026-09-14T09:48:07.878873Z",
      "duration_ms": null
    },
    {
      "url": null,
      "uuid": "28d6f35e-aed5-11f1-a29a-0242ac120002",
      "input": null,
      "dst_ip": "159.65.2.87",
      "sensor": "hp-use-01",
      "shasum": null,
      "src_ip": "14.255.187.76",
      "eventid": "cowrie.direct-tcpip.request",
      "message": "direct-tcp connection request to 159.65.2.87:80 from 0.0.0.0:0",
      "orig_ip": "0.0.0.0",
      "outfile": null,
      "session": "22f290c9ac86",
      "version": null,
      "dst_port": 80,
      "password": null,
      "protocol": "ssh",
      "src_port": 53515,
      "username": null,
      "orig_port": 0,
      "timestamp": "2026-09-14T09:48:15.492294Z",
      "duration_ms": null
    },
    {
      "url": null,
      "ja4h": "po11nn10enus_0af5a74ca4c0_000000000000_000000000000",
      "uuid": "28d6f35e-aed5-11f1-a29a-0242ac120002",
      "input": null,
      "dst_ip": "159.65.2.87",
      "sensor": "hp-use-01",
      "shasum": null,
      "src_ip": "14.255.187.76",
      "eventid": "cowrie.direct-tcpip.ja4h",
      "message": "JA4H fingerprint for forwarded HTTP to 159.65.2.87:80: po11nn10enus_0af5a74ca4c0_000000000000_000000000000",
      "outfile": null,
      "session": "22f290c9ac86",
      "version": null,
      "dst_port": 80,
      "password": null,
      "protocol": "ssh",
      "src_port": 53515,
      "username": null,
      "timestamp": "2026-09-14T09:48:16.043315Z",
      "duration_ms": null
    },
    {
      "id": 0,
      "url": null,
      "data": "b'POST /bot/statistic HTTP/1.1\\r\\nHost: api.9hits.com\\r\\nAccept-Language: en-US\\r\\nAccept-Encoding: gzip, deflate\\r\\nContent-Type: application/x-www-form-urlencoded\\r\\nOrigin: http://api.9hits.com\\r\\nUser-Agent: Mozilla/5.0 (iPhone; CPU iPhone OS 14_5_1 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/14.5.1 Mobile/18E212 Safari/604.1\\r\\nConnection: keep-alive\\r\\nContent-Length: 1142\\r\\nPragma: no-cache\\r\\nCache-Control: no-cache\\r\\n\\r\\n_=amVxNFloRXEzV1Z5NC8zMQ%3D%3DJrSwjXMzwItCN0NcSMYqy8wiuqyRJEaEbDpK5K4OQ0didzxs%2FCKU%2FWzzBtuV5iK7IbAtf3eY2BIUZfLRELPlsdKRPPdx03S7EK0Rkk%2FXCG4zHl%2BvYSUzsLmGOKw7e%2BlpVEG%2B9rjjT5M4g34upfpsPGdHxQL8Lrvdctl2wAPuf5REsaSuy6A1r0ziGYMyG%2BFMiwUNKR1LZxTAVNt4XtDWAhJxFSX%2FkT4T48JHpDgnNdOzPEzBcSwrax9BGCdFF9aIlbKUUlg2PDSklwC1Aq93xgXzvZV91acjfOgMpKdVk83y3EONFmYgMSDxNrHjK8KtISwGisLN61OXqJX0oYxCKS8ODTK0euwGRsM3yzxrU6HOWOY3ilohRBFaFNn5St0cvZUI6Mis%2B19Hvj5Vr2faG9JkgThfqe%2BaPxgr5na%2Bsvdwr%2BJghXx2OJ2t0bNcLDUl6l4f00HZJYRO%2BcCouH3%2Bc9B0LXXs%2BHq49R1hPKHKEkaiU4OeR6Z3nf8XK9ZMiDRtjT56ZTRtPkrnGAQd%2Brv4l21wWHV%2BcbmgBlWC20QTRxzDvk%2BIFd7ep0UfHJG31mmLNFdDXxehUpAf1GqnoWJmYPNndL%2Bejn60saj7q62yzYCF0f8l5%2BOaExSorfIyCHSXDPnjqAXMl5B%2FzVTLXZm2d5qKii9SIsYksq%2BA7rInJg%2BGThuow%2BIc51a5hPA6MZA2P5oZFKDAsep3fFH0Qb4ZxgBSU3o54g1f2HdJRh%2Bo8qsHBbA2Rd%2FANw1l5uBg4Mr6XYg2ZBvJNNWyjOgcj9ofQThNANsfBKuma3QwreIy0R05RG9STngr9WO%2FZVX2KdTP9GPOgKEw9C6Q18oYy3gQb0JJnxTiXLkgW0HldJ2oUpOBWQ3vF89Qo%2FXiE8x0stLynQFNrDpExpgBXpiCKMRSHGzvpAlLxa21XdG2TtPgoCUQ0QUjo3bcUSM3A1Bqhu3mfORfABTNc6VQNyos9KtpTRQ7rYEV2ISRPWLXWdUb06XEslW5IncqpEMHpNIDQZE8lACq4%2Fz02AQA4PG%2FX3edzQ%3D%3D'",
      "uuid": "28d6f35e-aed5-11f1-a29a-0242ac120002",
      "input": null,
      "dst_ip": "159.65.2.87",
      "sensor": "hp-use-01",
      "shasum": null,
      "src_ip": "14.255.187.76",
      "eventid": "cowrie.direct-tcpip.data",
      "message": "discarded direct-tcp forward request 0 to 159.65.2.87:80 with data b'POST /bot/statistic HTTP/1.1\\r\\nHost: api.9hits.com\\r\\nAccept-Language: en-US\\r\\nAccept-Encoding: gzip, deflate\\r\\nContent-Type: application/x-www-form-urlencoded\\r\\nOrigin: http://api.9hits.com\\r\\nUser-Agent: Mozilla/5.0 (iPhone; CPU iPhone OS 14_5_1 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/14.5.1 Mobile/18E212 Safari/604.1\\r\\nConnection: keep-alive\\r\\nContent-Length: 1142\\r\\nPragma: no-cache\\r\\nCache-Control: no-cache\\r\\n\\r\\n_=amVxNFloRXEzV1Z5NC8zMQ%3D%3DJrSwjXMzwItCN0NcSMYqy8wiuqyRJEaEbDpK5K4OQ0didzxs%2FCKU%2FWzzBtuV5iK7IbAtf3eY2BIUZfLRELPlsdKRPPdx03S7EK0Rkk%2FXCG4zHl%2BvYSUzsLmGOKw7e%2BlpVEG%2B9rjjT5M4g34upfpsPGdHxQL8Lrvdctl2wAPuf5REsaSuy6A1r0ziGYMyG%2BFMiwUNKR1LZxTAVNt4XtDWAhJxFSX%2FkT4T48JHpDgnNdOzPEzBcSwrax9BGCdFF9aIlbKUUlg2PDSklwC1Aq93xgXzvZV91acjfOgMpKdVk83y3EONFmYgMSDxNrHjK8KtISwGisLN61OXqJX0oYxCKS8ODTK0euwGRsM3yzxrU6HOWOY3ilohRBFaFNn5St0cvZUI6Mis%2B19Hvj5Vr2faG9JkgThfqe%2BaPxgr5na%2Bsvdwr%2BJghXx2OJ2t0bNcLDUl6l4f00HZJYRO%2BcCouH3%2Bc9B0LXXs%2BHq49R1hPKHKEkaiU4OeR6Z3nf8XK9ZMiDRtjT56ZTRtPkrnGAQd%2Brv4l21wWHV%2BcbmgBlWC20QTRxzDvk%2BIFd7ep0UfHJG31mmLNFdDXxehUpAf1GqnoWJmYPNndL%2Bejn60saj7q62yzYCF0f8l5%2BOaExSorfIyCHSXDPnjqAXMl5B%2FzVTLXZm2d5qKii9SIsYksq%2BA7rInJg%2BGThuow%2BIc51a5hPA6MZA2P5oZFKDAsep3fFH0Qb4ZxgBSU3o54g1f2HdJRh%2Bo8qsHBbA2Rd%2FANw1l5uBg4Mr6XYg2ZBvJNNWyjOgcj9ofQThNANsfBKuma3QwreIy0R05RG9STngr9WO%2FZVX2KdTP9GPOgKEw9C6Q18oYy3gQb0JJnxTiXLkgW0HldJ2oUpOBWQ3vF89Qo%2FXiE8x0stLynQFNrDpExpgBXpiCKMRSHGzvpAlLxa21XdG2TtPgoCUQ0QUjo3bcUSM3A1Bqhu3mfORfABTNc6VQNyos9KtpTRQ7rYEV2ISRPWLXWdUb06XEslW5IncqpEMHpNIDQZE8lACq4%2Fz02AQA4PG%2FX3edzQ%3D%3D'",
      "outfile": null,
      "session": "22f290c9ac86",
      "version": null,
      "dst_port": 80,
      "password": null,
      "protocol": "ssh",
      "src_port": 53515,
      "username": null,
      "timestamp": "2026-09-14T09:48:16.043642Z",
      "duration_ms": null
    },
    {
      "url": null,
      "uuid": "28d6f35e-aed5-11f1-a29a-0242ac120002",
      "input": null,
      "dst_ip": "104.21.5.61",
      "sensor": "hp-use-01",
      "shasum": null,
      "src_ip": "14.255.187.76",
      "eventid": "cowrie.direct-tcpip.request",
      "message": "direct-tcp connection request to 104.21.5.61:443 from 0.0.0.0:0",
      "orig_ip": "0.0.0.0",
      "outfile": null,
      "session": "22f290c9ac86",
      "version": null,
      "dst_port": 443,
      "password": null,
      "protocol": "ssh",
      "src_port": 53515,
      "username": null,
      "orig_port": 0,
      "timestamp": "2026-09-14T09:48:16.545372Z",
      "duration_ms": null
    },
    {
      "url": null,
      "uuid": "28d6f35e-aed5-11f1-a29a-0242ac120002",
      "input": null,
      "dst_ip": "104.21.5.61",
      "sensor": "hp-use-01",
      "shasum": null,
      "src_ip": "14.255.187.76",
      "eventid": "cowrie.direct-tcpip.request",
      "message": "direct-tcp connection request to 104.21.5.61:443 from 0.0.0.0:0",
      "orig_ip": "0.0.0.0",
      "outfile": null,
      "session": "22f290c9ac86",
      "version": null,
      "dst_port": 443,
      "password": null,
      "protocol": "ssh",
      "src_port": 53515,
      "username": null,
      "orig_port": 0,
      "timestamp": "2026-09-14T09:48:16.545840Z",
      "duration_ms": null
    },
    {
      "ja4": "t12d1515h2_8daaf6152771_5563d4852cd1",
      "url": null,
      "uuid": "28d6f35e-aed5-11f1-a29a-0242ac120002",
      "input": null,
      "dst_ip": "104.21.5.61",
      "sensor": "hp-use-01",
      "shasum": null,
      "src_ip": "14.255.187.76",
      "eventid": "cowrie.direct-tcpip.ja4",
      "message": "JA4 fingerprint for forwarded TLS to 104.21.5.61:443: t12d1515h2_8daaf6152771_5563d4852cd1",
      "outfile": null,
      "session": "22f290c9ac86",
      "version": null,
      "dst_port": 443,
      "password": null,
      "protocol": "ssh",
      "src_port": 53515,
      "username": null,
      "timestamp": "2026-09-14T09:48:16.791388Z",
      "duration_ms": null
    },
    {
      "id": 2,
      "url": null,
      "data": "b'\\x16\\x03\\x01\\x02\\x00\\x01\\x00\\x01\\xfc\\x03\\x03\\xb8j\\xfae\\xdd,\\xbcO\\xbeR\\xc4:\\xa3\\xc8\\xfb\\xc1a\\xacL.\\xb4rm\\n)\\xda\\x12I\\xafL\\r\\xb7 _\\xc1\\x80E(i\\xadB\\x10a\\xaf.\\xd2)\\xfc\\xdfj\\xcc*\\x18/\\x17qufG\\x7f\\xc7\\x0c\\xd5Ru\\x00 \\x9a\\x9a\\x13\\x01\\x13\\x02\\x13\\x03\\xc0+\\xc0/\\xc0,\\xc00\\xcc\\xa9\\xcc\\xa8\\xc0\\x13\\xc0\\x14\\x00\\x9c\\x00\\x9d\\x00/\\x005\\x01\\x00\\x01\\x93\\xba\\xba\\x00\\x00\\x00\\x00\\x00\\x16\\x00\\x14\\x00\\x00\\x11link.deepmedia.vn\\x00\\x17\\x00\\x00\\xff\\x01\\x00\\x01\\x00\\x00\\n\\x00\\n\\x00\\x08\\xca\\xca\\x00\\x1d\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00\\x00#\\x00\\x00\\x00\\x10\\x00\\x0e\\x00\\x0c\\x02h2\\x08http/1.1\\x00\\x05\\x00\\x05\\x01\\x00\\x00\\x00\\x00\\x00\\r\\x00\\x12\\x00\\x10\\x04\\x03\\x08\\x04\\x04\\x01\\x05\\x03\\x08\\x05\\x05\\x01\\x08\\x06\\x06\\x01\\x00\\x12\\x00\\x00\\x003\\x00+\\x00)\\xca\\xca\\x00\\x01\\x00\\x00\\x1d\\x00 b\\x83[\\x19\\xc5\\xbd\\xf5B)\\xda\\x16\\xd2Sw\\xa4\\xecB^\\xb0\\xc2\\xa46\\xb4\\xa6E\\xe2\\xd3\\xe9\\xba\\t\\xf3\\x01\\x00-\\x00\\x02\\x01\\x01\\x00+\\x00\\x0b\\n\\xea\\xea\\x03\\x04\\x03\\x03\\x03\\x02\\x03\\x01\\x00\\x1b\\x00\\x03\\x02\\x00\\x02::\\x00\\x01\\x00\\x00\\x15\\x00\\xcb\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00'",
      "uuid": "28d6f35e-aed5-11f1-a29a-0242ac120002",
      "input": null,
      "dst_ip": "104.21.5.61",
      "sensor": "hp-use-01",
      "shasum": null,
      "src_ip": "14.255.187.76",
      "eventid": "cowrie.direct-tcpip.data",
      "message": "discarded direct-tcp forward request 2 to 104.21.5.61:443 with data b'\\x16\\x03\\x01\\x02\\x00\\x01\\x00\\x01\\xfc\\x03\\x03\\xb8j\\xfae\\xdd,\\xbcO\\xbeR\\xc4:\\xa3\\xc8\\xfb\\xc1a\\xacL.\\xb4rm\\n)\\xda\\x12I\\xafL\\r\\xb7 _\\xc1\\x80E(i\\xadB\\x10a\\xaf.\\xd2)\\xfc\\xdfj\\xcc*\\x18/\\x17qufG\\x7f\\xc7\\x0c\\xd5Ru\\x00 \\x9a\\x9a\\x13\\x01\\x13\\x02\\x13\\x03\\xc0+\\xc0/\\xc0,\\xc00\\xcc\\xa9\\xcc\\xa8\\xc0\\x13\\xc0\\x14\\x00\\x9c\\x00\\x9d\\x00/\\x005\\x01\\x00\\x01\\x93\\xba\\xba\\x00\\x00\\x00\\x00\\x00\\x16\\x00\\x14\\x00\\x00\\x11link.deepmedia.vn\\x00\\x17\\x00\\x00\\xff\\x01\\x00\\x01\\x00\\x00\\n\\x00\\n\\x00\\x08\\xca\\xca\\x00\\x1d\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00\\x00#\\x00\\x00\\x00\\x10\\x00\\x0e\\x00\\x0c\\x02h2\\x08http/1.1\\x00\\x05\\x00\\x05\\x01\\x00\\x00\\x00\\x00\\x00\\r\\x00\\x12\\x00\\x10\\x04\\x03\\x08\\x04\\x04\\x01\\x05\\x03\\x08\\x05\\x05\\x01\\x08\\x06\\x06\\x01\\x00\\x12\\x00\\x00\\x003\\x00+\\x00)\\xca\\xca\\x00\\x01\\x00\\x00\\x1d\\x00 b\\x83[\\x19\\xc5\\xbd\\xf5B)\\xda\\x16\\xd2Sw\\xa4\\xecB^\\xb0\\xc2\\xa46\\xb4\\xa6E\\xe2\\xd3\\xe9\\xba\\t\\xf3\\x01\\x00-\\x00\\x02\\x01\\x01\\x00+\\x00\\x0b\\n\\xea\\xea\\x03\\x04\\x03\\x03\\x03\\x02\\x03\\x01\\x00\\x1b\\x00\\x03\\x02\\x00\\x02::\\x00\\x01\\x00\\x00\\x15\\x00\\xcb\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00'",
      "outfile": null,
      "session": "22f290c9ac86",
      "version": null,
      "dst_port": 443,
      "password": null,
      "protocol": "ssh",
      "src_port": 53515,
      "username": null,
      "timestamp": "2026-09-14T09:48:16.791697Z",
      "duration_ms": null
    },
    {
      "ja4": "t12d1515h2_8daaf6152771_5563d4852cd1",
      "url": null,
      "uuid": "28d6f35e-aed5-11f1-a29a-0242ac120002",
      "input": null,
      "dst_ip": "104.21.5.61",
      "sensor": "hp-use-01",
      "shasum": null,
      "src_ip": "14.255.187.76",
      "eventid": "cowrie.direct-tcpip.ja4",
      "message": "JA4 fingerprint for forwarded TLS to 104.21.5.61:443: t12d1515h2_8daaf6152771_5563d4852cd1",
      "outfile": null,
      "session": "22f290c9ac86",
      "version": null,
      "dst_port": 443,
      "password": null,
      "protocol": "ssh",
      "src_port": 53515,
      "username": null,
      "timestamp": "2026-09-14T09:48:16.792243Z",
      "duration_ms": null
    },
    {
      "id": 1,
      "url": null,
      "data": "b'\\x16\\x03\\x01\\x02\\x00\\x01\\x00\\x01\\xfc\\x03\\x03S\\xbc\\x11\\xe2Y%C\\xc6\\x9f\\xb7z\\xbfX\\xf3\\x9cD\\xbf\\xc1%\\x14\\xc99\\x91>\\x00C.\\xb3`.\\x0c\\xc2 \\xb9\\xdb.8OKh\\x84\\x16L,\\xfeLu\\xd4\\xd3\\xe4\\x1e\\xd3+as\\xd4\\xd7QM\\xa8:\\xe3fl%\\x00 \\xca\\xca\\x13\\x01\\x13\\x02\\x13\\x03\\xc0+\\xc0/\\xc0,\\xc00\\xcc\\xa9\\xcc\\xa8\\xc0\\x13\\xc0\\x14\\x00\\x9c\\x00\\x9d\\x00/\\x005\\x01\\x00\\x01\\x93JJ\\x00\\x00\\x00\\x00\\x00\\x16\\x00\\x14\\x00\\x00\\x11link.deepmedia.vn\\x00\\x17\\x00\\x00\\xff\\x01\\x00\\x01\\x00\\x00\\n\\x00\\n\\x00\\x08jj\\x00\\x1d\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00\\x00#\\x00\\x00\\x00\\x10\\x00\\x0e\\x00\\x0c\\x02h2\\x08http/1.1\\x00\\x05\\x00\\x05\\x01\\x00\\x00\\x00\\x00\\x00\\r\\x00\\x12\\x00\\x10\\x04\\x03\\x08\\x04\\x04\\x01\\x05\\x03\\x08\\x05\\x05\\x01\\x08\\x06\\x06\\x01\\x00\\x12\\x00\\x00\\x003\\x00+\\x00)jj\\x00\\x01\\x00\\x00\\x1d\\x00 -\\xec\\xfa\\xbe\\x9dL\\xe0\\x80\\xc6\\xa5k\\xb8\\xdd\\xc1\\x8f\\xfc\\xa8\\x05\\xee\\xaeKv\\x0cL\\xc2z\\xe8\\x84\\xd6^ J\\x00-\\x00\\x02\\x01\\x01\\x00+\\x00\\x0b\\n\\x1a\\x1a\\x03\\x04\\x03\\x03\\x03\\x02\\x03\\x01\\x00\\x1b\\x00\\x03\\x02\\x00\\x02\\xda\\xda\\x00\\x01\\x00\\x00\\x15\\x00\\xcb\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00'",
      "uuid": "28d6f35e-aed5-11f1-a29a-0242ac120002",
      "input": null,
      "dst_ip": "104.21.5.61",
      "sensor": "hp-use-01",
      "shasum": null,
      "src_ip": "14.255.187.76",
      "eventid": "cowrie.direct-tcpip.data",
      "message": "discarded direct-tcp forward request 1 to 104.21.5.61:443 with data b'\\x16\\x03\\x01\\x02\\x00\\x01\\x00\\x01\\xfc\\x03\\x03S\\xbc\\x11\\xe2Y%C\\xc6\\x9f\\xb7z\\xbfX\\xf3\\x9cD\\xbf\\xc1%\\x14\\xc99\\x91>\\x00C.\\xb3`.\\x0c\\xc2 \\xb9\\xdb.8OKh\\x84\\x16L,\\xfeLu\\xd4\\xd3\\xe4\\x1e\\xd3+as\\xd4\\xd7QM\\xa8:\\xe3fl%\\x00 \\xca\\xca\\x13\\x01\\x13\\x02\\x13\\x03\\xc0+\\xc0/\\xc0,\\xc00\\xcc\\xa9\\xcc\\xa8\\xc0\\x13\\xc0\\x14\\x00\\x9c\\x00\\x9d\\x00/\\x005\\x01\\x00\\x01\\x93JJ\\x00\\x00\\x00\\x00\\x00\\x16\\x00\\x14\\x00\\x00\\x11link.deepmedia.vn\\x00\\x17\\x00\\x00\\xff\\x01\\x00\\x01\\x00\\x00\\n\\x00\\n\\x00\\x08jj\\x00\\x1d\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00\\x00#\\x00\\x00\\x00\\x10\\x00\\x0e\\x00\\x0c\\x02h2\\x08http/1.1\\x00\\x05\\x00\\x05\\x01\\x00\\x00\\x00\\x00\\x00\\r\\x00\\x12\\x00\\x10\\x04\\x03\\x08\\x04\\x04\\x01\\x05\\x03\\x08\\x05\\x05\\x01\\x08\\x06\\x06\\x01\\x00\\x12\\x00\\x00\\x003\\x00+\\x00)jj\\x00\\x01\\x00\\x00\\x1d\\x00 -\\xec\\xfa\\xbe\\x9dL\\xe0\\x80\\xc6\\xa5k\\xb8\\xdd\\xc1\\x8f\\xfc\\xa8\\x05\\xee\\xaeKv\\x0cL\\xc2z\\xe8\\x84\\xd6^ J\\x00-\\x00\\x02\\x01\\x01\\x00+\\x00\\x0b\\n\\x1a\\x1a\\x03\\x04\\x03\\x03\\x03\\x02\\x03\\x01\\x00\\x1b\\x00\\x03\\x02\\x00\\x02\\xda\\xda\\x00\\x01\\x00\\x00\\x15\\x00\\xcb\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00'",
      "outfile": null,
      "session": "22f290c9ac86",
      "version": null,
      "dst_port": 443,
      "password": null,
      "protocol": "ssh",
      "src_port": 53515,
      "username": null,
      "timestamp": "2026-09-14T09:48:16.792426Z",
      "duration_ms": null
    },
    {
      "url": null,
      "uuid": "28d6f35e-aed5-11f1-a29a-0242ac120002",
      "input": null,
      "dst_ip": "104.21.5.61",
      "sensor": "hp-use-01",
      "shasum": null,
      "src_ip": "14.255.187.76",
      "eventid": "cowrie.direct-tcpip.request",
      "message": "direct-tcp connection request to 104.21.5.61:443 from 0.0.0.0:0",
      "orig_ip": "0.0.0.0",
      "outfile": null,
      "session": "22f290c9ac86",
      "version": null,
      "dst_port": 443,
      "password": null,
      "protocol": "ssh",
      "src_port": 53515,
      "username": null,
      "orig_port": 0,
      "timestamp": "2026-09-14T09:48:17.062258Z",
      "duration_ms": null
    },
    {
      "url": null,
      "uuid": "28d6f35e-aed5-11f1-a29a-0242ac120002",
      "input": null,
      "dst_ip": "104.21.5.61",
      "sensor": "hp-use-01",
      "shasum": null,
      "src_ip": "14.255.187.76",
      "eventid": "cowrie.direct-tcpip.request",
      "message": "direct-tcp connection request to 104.21.5.61:443 from 0.0.0.0:0",
      "orig_ip": "0.0.0.0",
      "outfile": null,
      "session": "22f290c9ac86",
      "version": null,
      "dst_port": 443,
      "password": null,
      "protocol": "ssh",
      "src_port": 53515,
      "username": null,
      "orig_port": 0,
      "timestamp": "2026-09-14T09:48:17.062695Z",
      "duration_ms": null
    },
    {
      "ja4": "t12d1615h2_46e7e9700bed_cadd4ee51f0b",
      "url": null,
      "uuid": "28d6f35e-aed5-11f1-a29a-0242ac120002",
      "input": null,
      "dst_ip": "104.21.5.61",
      "sensor": "hp-use-01",
      "shasum": null,
      "src_ip": "14.255.187.76",
      "eventid": "cowrie.direct-tcpip.ja4",
      "message": "JA4 fingerprint for forwarded TLS to 104.21.5.61:443: t12d1615h2_46e7e9700bed_cadd4ee51f0b",
      "outfile": null,
      "session": "22f290c9ac86",
      "version": null,
      "dst_port": 443,
      "password": null,
      "protocol": "ssh",
      "src_port": 53515,
      "username": null,
      "timestamp": "2026-09-14T09:48:17.330407Z",
      "duration_ms": null
    },
    {
      "id": 4,
      "url": null,
      "data": "b'\\x16\\x03\\x01\\x02\\x00\\x01\\x00\\x01\\xfc\\x03\\x03\\x08\\xaf\\xc3C5!\\x83\\xdb\\xe1V\\xa3\\xb4\\x7f8P0\\xee\\x92\\xca\\xeb\\xbf\\x1d\\x188\\x1d+{\\xd4gE\\xe2\\xc0 `o\\x85Sn\\xdalG\\xe6kLx\\x1a\\xf56\\x93\\xcc\\xec\\xb9\\xf8)R\\xd2\\x1d$E\\xfa\\x93 s@\\xa8\\x00\"**\\x13\\x01\\x13\\x02\\x13\\x03\\xc0+\\xc0/\\xc0,\\xc00\\xcc\\xa9\\xcc\\xa8\\xc0\\x13\\xc0\\x14\\x00\\x9c\\x00\\x9d\\x00/\\x005\\x00\\n\\x01\\x00\\x01\\x91\\x1a\\x1a\\x00\\x00\\x00\\x00\\x00\\x16\\x00\\x14\\x00\\x00\\x11link.deepmedia.vn\\x00\\x17\\x00\\x00\\xff\\x01\\x00\\x01\\x00\\x00\\n\\x00\\n\\x00\\x08**\\x00\\x1d\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00\\x00#\\x00\\x00\\x00\\x10\\x00\\x0e\\x00\\x0c\\x02h2\\x08http/1.1\\x00\\x05\\x00\\x05\\x01\\x00\\x00\\x00\\x00\\x00\\r\\x00\\x14\\x00\\x12\\x04\\x03\\x08\\x04\\x04\\x01\\x05\\x03\\x08\\x05\\x05\\x01\\x08\\x06\\x06\\x01\\x02\\x01\\x00\\x12\\x00\\x00\\x003\\x00+\\x00)**\\x00\\x01\\x00\\x00\\x1d\\x00 XJj\\xaey\\xef\\xa4\\xfa\\xc4,\\x8c`\\x909\\x9f\\xf6\\xe6\\xe1\\x92\\xf9\\t\\xaa\\xad\\xb5SpxK\\x87\\x8fA4\\x00-\\x00\\x02\\x01\\x01\\x00+\\x00\\x0b\\n\\n\\n\\x03\\x04\\x03\\x03\\x03\\x02\\x03\\x01\\x00\\x1b\\x00\\x03\\x02\\x00\\x02zz\\x00\\x01\\x00\\x00\\x15\\x00\\xc7\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00'",
      "uuid": "28d6f35e-aed5-11f1-a29a-0242ac120002",
      "input": null,
      "dst_ip": "104.21.5.61",
      "sensor": "hp-use-01",
      "shasum": null,
      "src_ip": "14.255.187.76",
      "eventid": "cowrie.direct-tcpip.data",
      "message": "discarded direct-tcp forward request 4 to 104.21.5.61:443 with data b'\\x16\\x03\\x01\\x02\\x00\\x01\\x00\\x01\\xfc\\x03\\x03\\x08\\xaf\\xc3C5!\\x83\\xdb\\xe1V\\xa3\\xb4\\x7f8P0\\xee\\x92\\xca\\xeb\\xbf\\x1d\\x188\\x1d+{\\xd4gE\\xe2\\xc0 `o\\x85Sn\\xdalG\\xe6kLx\\x1a\\xf56\\x93\\xcc\\xec\\xb9\\xf8)R\\xd2\\x1d$E\\xfa\\x93 s@\\xa8\\x00\"**\\x13\\x01\\x13\\x02\\x13\\x03\\xc0+\\xc0/\\xc0,\\xc00\\xcc\\xa9\\xcc\\xa8\\xc0\\x13\\xc0\\x14\\x00\\x9c\\x00\\x9d\\x00/\\x005\\x00\\n\\x01\\x00\\x01\\x91\\x1a\\x1a\\x00\\x00\\x00\\x00\\x00\\x16\\x00\\x14\\x00\\x00\\x11link.deepmedia.vn\\x00\\x17\\x00\\x00\\xff\\x01\\x00\\x01\\x00\\x00\\n\\x00\\n\\x00\\x08**\\x00\\x1d\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00\\x00#\\x00\\x00\\x00\\x10\\x00\\x0e\\x00\\x0c\\x02h2\\x08http/1.1\\x00\\x05\\x00\\x05\\x01\\x00\\x00\\x00\\x00\\x00\\r\\x00\\x14\\x00\\x12\\x04\\x03\\x08\\x04\\x04\\x01\\x05\\x03\\x08\\x05\\x05\\x01\\x08\\x06\\x06\\x01\\x02\\x01\\x00\\x12\\x00\\x00\\x003\\x00+\\x00)**\\x00\\x01\\x00\\x00\\x1d\\x00 XJj\\xaey\\xef\\xa4\\xfa\\xc4,\\x8c`\\x909\\x9f\\xf6\\xe6\\xe1\\x92\\xf9\\t\\xaa\\xad\\xb5SpxK\\x87\\x8fA4\\x00-\\x00\\x02\\x01\\x01\\x00+\\x00\\x0b\\n\\n\\n\\x03\\x04\\x03\\x03\\x03\\x02\\x03\\x01\\x00\\x1b\\x00\\x03\\x02\\x00\\x02zz\\x00\\x01\\x00\\x00\\x15\\x00\\xc7\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00'",
      "outfile": null,
      "session": "22f290c9ac86",
      "version": null,
      "dst_port": 443,
      "password": null,
      "protocol": "ssh",
      "src_port": 53515,
      "username": null,
      "timestamp": "2026-09-14T09:48:17.330688Z",
      "duration_ms": null
    },
    {
      "ja4": "t12d1615h2_46e7e9700bed_cadd4ee51f0b",
      "url": null,
      "uuid": "28d6f35e-aed5-11f1-a29a-0242ac120002",
      "input": null,
      "dst_ip": "104.21.5.61",
      "sensor": "hp-use-01",
      "shasum": null,
      "src_ip": "14.255.187.76",
      "eventid": "cowrie.direct-tcpip.ja4",
      "message": "JA4 fingerprint for forwarded TLS to 104.21.5.61:443: t12d1615h2_46e7e9700bed_cadd4ee51f0b",
      "outfile": null,
      "session": "22f290c9ac86",
      "version": null,
      "dst_port": 443,
      "password": null,
      "protocol": "ssh",
      "src_port": 53515,
      "username": null,
      "timestamp": "2026-09-14T09:48:17.331177Z",
      "duration_ms": null
    },
    {
      "id": 3,
      "url": null,
      "data": "b'\\x16\\x03\\x01\\x02\\x00\\x01\\x00\\x01\\xfc\\x03\\x03pqR\\xa6SvW\\xb7\\xc3\\x921\\xcc\\xdc\\x8abP\\x1d\\x94\\x01 \\x02\\x8b\\x96%xJ\\x02\\x16.2\\xf0\\xb0 \\x85\\x16\\xa0\\xec\\xf6\\n~l\\x9b\\xf6\\xd4O\\xf1h\\xfd\\xc8\\x99\\xfd\\xa6\\x0b=.\\x0e\\'\\xfb\\xa4\\x80 h\\xfb\\xaa\\x83\\x00\"\\x1a\\x1a\\x13\\x01\\x13\\x02\\x13\\x03\\xc0+\\xc0/\\xc0,\\xc00\\xcc\\xa9\\xcc\\xa8\\xc0\\x13\\xc0\\x14\\x00\\x9c\\x00\\x9d\\x00/\\x005\\x00\\n\\x01\\x00\\x01\\x91zz\\x00\\x00\\x00\\x00\\x00\\x16\\x00\\x14\\x00\\x00\\x11link.deepmedia.vn\\x00\\x17\\x00\\x00\\xff\\x01\\x00\\x01\\x00\\x00\\n\\x00\\n\\x00\\x08ZZ\\x00\\x1d\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00\\x00#\\x00\\x00\\x00\\x10\\x00\\x0e\\x00\\x0c\\x02h2\\x08http/1.1\\x00\\x05\\x00\\x05\\x01\\x00\\x00\\x00\\x00\\x00\\r\\x00\\x14\\x00\\x12\\x04\\x03\\x08\\x04\\x04\\x01\\x05\\x03\\x08\\x05\\x05\\x01\\x08\\x06\\x06\\x01\\x02\\x01\\x00\\x12\\x00\\x00\\x003\\x00+\\x00)ZZ\\x00\\x01\\x00\\x00\\x1d\\x00 \\xff\\\\\\xb1\\xc4\\xb4\\xdd=^j\\xdc\\xad\\x1d\\xa6\\xb2SU\\xe9\\xd7,\\xa4\\x81y\\x81\\x9dQlrK]\\xad\\xa1\\x1a\\x00-\\x00\\x02\\x01\\x01\\x00+\\x00\\x0b\\n\\xda\\xda\\x03\\x04\\x03\\x03\\x03\\x02\\x03\\x01\\x00\\x1b\\x00\\x03\\x02\\x00\\x02\\x8a\\x8a\\x00\\x01\\x00\\x00\\x15\\x00\\xc7\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00'",
      "uuid": "28d6f35e-aed5-11f1-a29a-0242ac120002",
      "input": null,
      "dst_ip": "104.21.5.61",
      "sensor": "hp-use-01",
      "shasum": null,
      "src_ip": "14.255.187.76",
      "eventid": "cowrie.direct-tcpip.data",
      "message": "discarded direct-tcp forward request 3 to 104.21.5.61:443 with data b'\\x16\\x03\\x01\\x02\\x00\\x01\\x00\\x01\\xfc\\x03\\x03pqR\\xa6SvW\\xb7\\xc3\\x921\\xcc\\xdc\\x8abP\\x1d\\x94\\x01 \\x02\\x8b\\x96%xJ\\x02\\x16.2\\xf0\\xb0 \\x85\\x16\\xa0\\xec\\xf6\\n~l\\x9b\\xf6\\xd4O\\xf1h\\xfd\\xc8\\x99\\xfd\\xa6\\x0b=.\\x0e\\'\\xfb\\xa4\\x80 h\\xfb\\xaa\\x83\\x00\"\\x1a\\x1a\\x13\\x01\\x13\\x02\\x13\\x03\\xc0+\\xc0/\\xc0,\\xc00\\xcc\\xa9\\xcc\\xa8\\xc0\\x13\\xc0\\x14\\x00\\x9c\\x00\\x9d\\x00/\\x005\\x00\\n\\x01\\x00\\x01\\x91zz\\x00\\x00\\x00\\x00\\x00\\x16\\x00\\x14\\x00\\x00\\x11link.deepmedia.vn\\x00\\x17\\x00\\x00\\xff\\x01\\x00\\x01\\x00\\x00\\n\\x00\\n\\x00\\x08ZZ\\x00\\x1d\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00\\x00#\\x00\\x00\\x00\\x10\\x00\\x0e\\x00\\x0c\\x02h2\\x08http/1.1\\x00\\x05\\x00\\x05\\x01\\x00\\x00\\x00\\x00\\x00\\r\\x00\\x14\\x00\\x12\\x04\\x03\\x08\\x04\\x04\\x01\\x05\\x03\\x08\\x05\\x05\\x01\\x08\\x06\\x06\\x01\\x02\\x01\\x00\\x12\\x00\\x00\\x003\\x00+\\x00)ZZ\\x00\\x01\\x00\\x00\\x1d\\x00 \\xff\\\\\\xb1\\xc4\\xb4\\xdd=^j\\xdc\\xad\\x1d\\xa6\\xb2SU\\xe9\\xd7,\\xa4\\x81y\\x81\\x9dQlrK]\\xad\\xa1\\x1a\\x00-\\x00\\x02\\x01\\x01\\x00+\\x00\\x0b\\n\\xda\\xda\\x03\\x04\\x03\\x03\\x03\\x02\\x03\\x01\\x00\\x1b\\x00\\x03\\x02\\x00\\x02\\x8a\\x8a\\x00\\x01\\x00\\x00\\x15\\x00\\xc7\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00\\x00'",
      "outfile": null,
      "session": "22f290c9ac86",
      "version": null,
      "dst_port": 443,
      "password": null,
      "protocol": "ssh",
      "src_port": 53515,
      "username": null,
      "timestamp": "2026-09-14T09:48:17.331333Z",
      "duration_ms": null
    },
    {
      "url": null,
      "uuid": "28d6f35e-aed5-11f1-a29a-0242ac120002",
      "input": null,
      "dst_ip": "172.18.0.2",
      "sensor": "hp-use-01",
      "shasum": null,
      "src_ip": "14.255.187.76",
      "eventid": "cowrie.session.closed",
      "message": "Connection lost after 18449 milliseconds",
      "outfile": null,
      "session": "22f290c9ac86",
      "version": null,
      "dst_port": 2222,
      "password": null,
      "protocol": "ssh",
      "src_port": 53515,
      "username": null,
      "timestamp": "2026-09-14T09:48:23.932769Z",
      "duration_ms": 18449
    }
  ],
  "sensor": "hp-use-01",
  "source": "cowrie",
  "src_ip": "14.255.187.76",
  "session_id": "22f290c9ac86"
}