резултати от анализа на атаките, свързани с подбора на пароли за сървъри по SSH. По време на експеримента бяха стартирани няколко примамки (honeypot), маскиращи се като достъпен сървър OpenSSH и разположени в различни мрежи на облачни доставчици, като
Google Cloud, DigitalOcean и NameCheap. За три месеца бяха регистрирани 929554 опити за свързване към сървъра.
В 78% от случаите подборът беше насочен към определяне на паролата на потребителя root. Най-често проверяваните пароли бяха «123456» и «password», но в десетката лидери влезе и паролата «J5cmmu=Kyf0-br8CsW», вероятно използвана по подразбиране от някой производител.
Най-популярни логини и пароли:
Логин
Брой опити
Парола
Брой опити
root
729108
40556
админ
23302
123456
14542
потребител
8420
админ
7757
test
7547
123
7355
oracle
6211
1234
7099
ftpuser
4012
root
6999
ubuntu
3657
парола
6118
guest
3606
test
5671
postgres
3455
12345
5223
usuario
2876
guest
4423
От анализа на опитите за подбор бяха установени 128588 уникални пар логин-парола, като 38112 от тях са опитали да проверят 5 и повече пъти. 25-те най-често проверявани парта:
Логин
Парола
Брой опити
root
37580
root
root
4213
потребител
потребител
2794
root
123456
2569
test
test
2532
админ
админ
2531
root
админ
2185
guest
guest
2143
root
парола
2128
oracle
oracle
1869
ubuntu
ubuntu
1811
root
1234
1681
root
123
1658
postgres
postgres
1594
support
support
1535
jenkins
jenkins
1360
админ
парола
1241
root
12345
1177
pi
raspberry
1160
root
12345678
1126
root
123456789
1069
ubnt
ubnt
1069
админ
1234
1012
root
1234567890
967
ec2-user
ec2-user
963
Разпределение на опитите за сканиране по дни от седмицата и часове:
Общо бяха регистрирани обращения от 27448 уникални IP адреса.
Най-голямото число проверки, извършени от един IP, е 64969. Челото на проверките чрез Tor бе само 0.8%. 62.2% от IP адресите, участващи в подбора, бяха свързани с китайски подсистеми:
Източник: opennet.ru
