Analyse de l'activité des attaquants concernant le bruteforce des mots de passe via SSH

Publié résultats de l'analyse des attaques liées à la tentative de piratage de mots de passe sur les serveurs via SSH. Au cours de l'expérience, plusieurs leurres (honeypots) ont été lancés, se faisant passer pour un serveur OpenSSH accessible et placés dans divers réseaux de fournisseurs de cloud tels que
Google Cloud, DigitalOcean et NameCheap. Au cours de trois mois, 929554 tentatives de connexion au serveur ont été enregistrées.

Dans 78 % des cas, la tentative de piratage visait à déterminer le mot de passe de l'utilisateur root. Les mots de passe les plus souvent testés étaient « 123456 » et « password », mais dans le top dix des mots de passe figurait également « J5cmmu=Kyf0-br8CsW », probablement utilisé par défaut par un fabricant.

Les identifiants et mots de passe les plus populaires :

Parmi les tentatives analysées, 128588 paires de login-mot de passe uniques ont été identifiées, dont 38112 ont été vérifiées 5 fois ou plus. Voici les 25 paires les plus souvent testées :

Répartition des tentatives de scan par jour de la semaine et par heure :

Un total de 27448 adresses uniques ont été signalées. adresses IP.
Le plus grand nombre de vérifications effectuées à partir d'une seule IP était de 64969. La part des vérifications via Tor ne représentait que 0,8 %. 62,2 % des adresses IP impliquées dans les tentatives de piratage étaient associées à des sous-réseaux chinois :

Source : opennet.ru