Analyse af angribernes aktivitet relateret til SSH-adgangskodegætning

Publiceret resultaterne af analysen af angreb relateret til brute force angreb mod SSH-servere. Under eksperimentet blev der startet flere fælder (honeypots), der foregav at være en tilgængelig OpenSSH-server og placeret i forskellige netværk af cloud-udbydere som
Google Cloud, DigitalOcean og NameCheap. I løbet af tre måneder blev der registreret 929554 forbindelsesforsøg til serveren.

I 78% af tilfældene var brute force angrebet rettet mod at finde adgangskoden til brugeren root. De mest kontrollerede adgangskoder var '123456' og 'password', men blandt de ti mest populære var også adgangskoden 'J5cmmu=Kyf0-br8CsW', sandsynligvis brugt som standard af en eller anden producent.

De mest populære brugernavne og adgangskoder:

Af de analyserede brute force-forsøg blev der identificeret 128588 unikke sæt af brugernavn-adgangskode, hvoraf 38112 af dem blev forsøgt kontrolleret 5 gange eller mere. De 25 mest kontrollerede sæt:

Fordelingen af scanningsforsøg pr. dag og time:

Der blev i alt registreret henvisninger fra 27448 unikke IP-adresser.
Det højeste antal kontroller udført fra én IP er 64969. Andelen af kontroller gennem Tor udgjorde kun 0.8%. 62.2% af IP-adresserne involveret i brute force angrebene var relateret til kinesiske subnetværk:

Kilde: opennet.ru