Analyse der Angreiferaktivitäten im Zusammenhang mit SSH-Passwortangriffen.

Veröffentlicht Die Ergebnisse der Analyse von Angriffen im Zusammenhang mit der Passwortsuche auf SSH-Servern. Im Rahmen des Experiments wurden mehrere Honeypots gestartet, die sich als verfügbarer OpenSSH-Server ausgaben und in verschiedenen Netzwerken von Cloud-Anbietern wie
Google Cloud, DigitalOcean und NameCheap platziert wurden. Innerhalb von drei Monaten wurden 929554 Verbindungsversuche auf dem Server registriert.

In 78 % der Fälle zielte die Passwortsuche darauf ab, das Passwort des Benutzers root zu bestimmen. Die am häufigsten getesteten Passwörter waren „123456“ und „password“. Unter den zehn häufigsten war auch das Passwort „J5cmmu=Kyf0-br8CsW“, das wahrscheinlich von einem Hersteller standardmäßig verwendet wird.

Die beliebtesten Benutzernamen und Passwörter:

Aus den analysierten Versuchen zur Passwortsuche wurden 128588 einzigartige Benutzer-Passwort-Paare identifiziert, wobei 38112 davon fünf oder mehr Mal überprüft wurden. Die 25 häufigsten getesteten Paare:

Verteilung der Scanning-Versuche nach Wochentagen und Stunden:

Insgesamt wurden 27448 einzigartige Zugriffe registriert IP-Adressen.
Die höchste Anzahl an Überprüfungen, die von einer IP durchgeführt wurden, beträgt 64.969. Der Anteil der Überprüfungen über Tor lag bei nur 0,8 %. 62,2 % der an den Brute-Force-Angriffen beteiligten IP-Adressen stammten aus chinesischen Subnetzen.

Quelle: opennet.ru