resultados del análisis de ataques relacionados con la fuerza bruta de contraseñas a servidores a través de SSH. Durante el experimento, se lanzaron varias trampas (honeypots) que se hacían pasar por un servidor OpenSSH accesible y se ubicaron en diversas redes de proveedores de la nube, como
Google Cloud, DigitalOcean y NameCheap. En tres meses se registraron 929554 intentos de conexión al servidor.
En el 78% de los casos, el ataque se centró en determinar la contraseña del usuario root. Las contraseñas más comúnmente verificadas fueron "123456" y "password", pero en el top diez también se incluyó la contraseña "J5cmmu=Kyf0-br8CsW", probablemente usada por defecto por algún fabricante.
Los inicios de sesión y contraseñas más populares:
Inicio de sesión
Número de intentos
Contraseña
Número de intentos
root
729108
40556
admin
23302
123456
14542
usuario
8420
admin
7757
test
7547
123
7355
oracle
6211
1234
7099
ftpuser
4012
root
6999
ubuntu
3657
password
6118
invitado
3606
test
5671
postgres
3455
12345
5223
usuario
2876
invitado
4423
De los intentos analizados, se identificaron 128588 pares únicos de inicio de sesión y contraseña, siendo 38112 de ellos verificados 5 o más veces. Los 25 pares más comúnmente verificados:
Inicio de sesión
Contraseña
Número de intentos
root
37580
root
root
4213
usuario
usuario
2794
root
123456
2569
test
test
2532
admin
admin
2531
root
admin
2185
invitado
invitado
2143
root
password
2128
oracle
oracle
1869
ubuntu
ubuntu
1811
root
1234
1681
root
123
1658
postgres
postgres
1594
support
support
1535
jenkins
jenkins
1360
admin
password
1241
root
12345
1177
pi
raspberry
1160
root
12345678
1126
root
123456789
1069
ubnt
ubnt
1069
admin
1234
1012
root
1234567890
967
ec2-user
ec2-user
963
Distribución de intentos de escaneo por días de la semana y horas:
Se registraron un total de 27448 accesos únicos. direcciones IP.
El mayor número de verificaciones realizadas desde una sola IP fue 64969. La proporción de verificaciones a través de Tor fue solamente del 0.8%. El 62.2% de las direcciones IP involucradas en la fuerza bruta estaban relacionadas con subredes chinas:
Fuente: opennet.ru
