# Analyse du fichier `trapped_bots.log` (piège à bots wp-admin.php)

**Source** : `/logs/trapped_bots.log` sur OVH (téléchargé le 14/08/2026)
**Période couverte** : 11/08/2026 → 14/08/2026
**Taille** : 55 400 octets — **47 entrées JSON** — **31 IPs uniques**

---

## 1. Vue d'ensemble

| Jour | Entrées |
|------|---------|
| 11/08 | 6 |
| 12/08 | 14 |
| 13/08 | 13 |
| 14/08 | 14 |

- Méthodes : 46 GET, 1 HEAD
- Referers : 44 directs, 2 depuis `http://re-info.fr/wp-admin/`, 1 depuis `https://re-info.fr/wp-admin.php` (auto-référencement typique des scanners)
- Aucune requête POST : pas de tentative d'injection de données

## 2. Signature dominante : scanner WordPress de masse

**41 entrées sur 47 (87 %)** présentent la même signature :

- **URI** : `/wp-admin.php/install?step=1`
- **User-Agent** : `http://re-info.fr/wp-admin/install.php?step=1` (l'UA est l'URL elle-même — signature classique de scanner automatisé de masse, type wpscan/mass-scanner)

Ce scanner teste la présence d'une installation WordPress vulnérable (`install.php?step=1` = tentative d'installation non sécurisée). Le leurre fonctionne : les bots croient trouver une faille et reviennent.

## 3. Les IPs

### 3.1 IPs réelles (non Cloudflare) — 5 entrées, 4 IPs

| IP | Pays | Ville | FAI / Hébergeur | AS | Entrées |
|----|------|-------|-----------------|----|---------|
| 190.2.142.78 | Pays-Bas | Naaldwijk | WorldStream B.V. (hébergeur) | AS49981 | 2 (HEAD `/wp-admin.php/`) |
| 176.33.102.146 | Turquie | Adana | Superonline (FAI grand public) | AS34984 | 1 (GET `/wp-admin`) |
| 43.228.72.130 | Inde | Pune | Gazon Communications | AS132770 | 1 (GET `/wp-admin`) |
| 103.44.0.15 | Inde | Hyderabad | Pioneer Elabs | AS150008 | 1 (GET `/wp-admin`) |

- **190.2.142.78** : IP d'un hébergeur néerlandais (WorldStream) — souvent utilisée pour des scans loués (VPS). C'est la seule IP qui a fait 2 tentatives.
- **176.33.102.146** : FAI grand public turc (Adana) — probablement un particulier ou un botnet résidentiel.
- **43.228.72.130** et **103.44.0.15** : FAI indiens (Pune, Hyderabad) — scans fréquents depuis l'Inde.

### 3.2 IPs Cloudflare (proxy) — 26 IPs

La majorité des IPs (104.23.x, 172.6x/7x.x, 162.158.x) sont des **IPs Cloudflare**, pas les vraies IPs des attaquants. Le header `Cf-Worker` révèle que le scanner passe par des **Cloudflare Workers** aux noms aléatoires :

`vufewake.workers.dev`, `pytuweda.workers.dev`, `quwevyra.workers.dev`, `borupu.workers.dev`, `juvole.workers.dev`, `pohuzo.workers.dev`, `taxiduba.workers.dev`, `hpnfr04156.workers.dev`, `zebbe69652.workers.dev`, `minnaminniepractical.workers.dev`, `kvl7b5cn6v.workers.dev`, `morna59.workers.dev`, `8081petronille.workers.dev`, `kaqcy69373.workers.dev`, `9fvy2t6xf7.workers.dev`, `wufycu.workers.dev`, `zevytone.workers.dev`, `szupt89514.workers.dev`, `tuseziju.workers.dev`, `lzoao88779.workers.dev`, `zorohajy.workers.dev`, `fyhacoko.workers.dev`, `82cm2nyunt.workers.dev`, `r6ou4gea2y.workers.dev`, `rylugiso.workers.dev` (x2), `zonyka.workers.dev`, `lfeta98115.workers.dev`, `6ronda.workers.dev`, `sdmsp72121.workers.dev`, `yilssbjvz2.workers.dev`, `jelekubu.workers.dev`, `nipucelo.workers.dev`, `g5rw5k9l6d.workers.dev`, `moviqabo.workers.dev`, `vureja.workers.dev`, `dolulogu.workers.dev`, `cacecara.workers.dev`, `kckfd36500.workers.dev`, `pehyjeca.workers.dev`, `gyramoxo.workers.dev`

→ Le scanner utilise des Workers gratuits Cloudflare comme **proxy rotatif** pour masquer sa vraie IP. Les IPs Cloudflare les plus actives : `104.23.221.108` (4), `104.23.221.109` (4), `104.23.223.41` (3), `172.70.248.24` (3).

### 3.3 IPs IPv6 — 2 entrées

| IP | Origine | Détail |
|----|---------|--------|
| 2600:4040:229b:fe00:dd45:4d2b:a849:40a7 | États-Unis (Comcast) | 1 GET `/wp-admin` — UA Edge/84 (faux, vieux UA) |
| 2400:cb00:637:1000:6c58:d07c:d0f9:a128 | Cloudflare | 1 GET `/wp-admin.php/install?step=1` — via Worker `vufewake.workers.dev` |

## 4. Conclusion

- **Aucune menace active** : uniquement des scans automatisés de vulnérabilités WordPress, aucune tentative d'exploitation réelle (pas de POST, pas de payload).
- Le site n'utilise pas WordPress : le leurre fonctionne comme prévu, il attire les scanners et les logge.
- Le scanner principal (41 requêtes) est un **scanner de masse** qui tourne via Cloudflare Workers rotatifs — impossible à bannir par IP (les IPs changent à chaque requête).
- Les 4 IPs réelles (Pays-Bas, Turquie, Inde x2) sont des candidats au bannissement si une liste noire était mise en place (mais l'utilisateur a retiré cette fonction volontairement).

## 5. Recommandations (non appliquées)

1. **Ne rien faire** : le piège logge sans consommer de ressources, les scans sont bénins.
2. Si souhaité : bloquer par `.htaccess` les 4 IPs réelles identifiées (190.2.142.78, 176.33.102.146, 43.228.72.130, 103.44.0.15).
3. Le blocage des IPs Cloudflare est inutile (proxy rotatif).