Analyse der Aktivität von Angreifern im Zusammenhang mit Passwortangriffen über SSH

Veröffentlicht Ergebnisse der Analyse von Angriffen, die mit dem Knacken von Passwörtern zu SSH-Servern verbunden sind. Im Rahmen des Experiments wurden mehrere Honeypots eingesetzt, die sich als erreichbare OpenSSH-Server ausgaben und in verschiedenen Netzwerken von Cloud-Anbietern wie
Google Cloud, DigitalOcean und NameCheap platziert wurden. In drei Monaten wurden 929554 Verbindungsversuche zum Server registriert.

In 78 % der Fälle war der Versuch darauf ausgerichtet, das Passwort des Benutzers root zu bestimmen. Die am häufigsten getesteten Passwörter waren „123456“ und „password“, aber auch das Passwort „J5cmmu=Kyf0-br8CsW“ gehörte zu den Top Ten, wahrscheinlich von einem Hersteller standardmäßig verwendet.

Die beliebtesten Logins und Passwörter:

Von den analysierten Anmeldeversuchen wurden 128588 einzigartige Login-Passwort-Paare identifiziert, wobei 38112 von ihnen 5 oder mehr Versuche unternahmen. Die 25 am häufigsten getesteten Paare:

Verteilung der Scanning-Versuche nach Wochentagen und Stunden:

Insgesamt wurden 27448 eindeutige Anfragen registriert. IP-Adressen.
Die höchste Anzahl an Prüfungen, die von einer IP-Adresse durchgeführt wurden, betrug 64969. Der Anteil der Prüfungen über Tor betrug nur 0,8 %. 62,2 % der IP-Adressen, die am Knacken beteiligt waren, waren mit chinesischen Subnetzen verbunden:

Quelle: opennet.ru