rezultati analize napada povezanih s pogađanjem lozinki na servere putem SSH. Tijekom eksperimenta pokrenuto je nekoliko mamaca (honeypot) koji su se pretvarali da su dostupni OpenSSH serveri i postavljeni su u različitim mrežama pružatelja oblaka, kao što su
Google Cloud, DigitalOcean i NameCheap. Tijekom tri mjeseca zabilježeno je 929554 pokušaja povezivanja na server.
U 78% slučajeva pogađanje je bilo usmjereno na određivanje lozinke korisnika root. Najčešće provjeravane lozinke bile su '123456' i 'password', a u deset najčešće provjeravanih ušla je i lozinka 'J5cmmu=Kyf0-br8CsW', vjerojatno koristena prema zadanim postavkama od strane nekog proizvođača.
Najpopularniji logini i lozinke:
Korisničko ime
Broj pokušaja
Lozinka
Broj pokušaja
root
729108
40556
admin
23302
123456
14542
korisnik
8420
admin
7757
test
7547
123
7355
oracle
6211
1234
7099
ftpuser
4012
root
6999
ubuntu
3657
lozinka
6118
gost
3606
test
5671
postgres
3455
12345
5223
usuario
2876
gost
4423
Iz analiziranih pokušaja pogađanja otkriveno je 128588 jedinstvenih parova login-lozinka, pri čemu je 38112 od njih pokušalo provjeriti 5 i više puta. 25 najčešće provjeravanih parova:
Korisničko ime
Lozinka
Broj pokušaja
root
37580
root
root
4213
korisnik
korisnik
2794
root
123456
2569
test
test
2532
admin
admin
2531
root
admin
2185
gost
gost
2143
root
lozinka
2128
oracle
oracle
1869
ubuntu
ubuntu
1811
root
1234
1681
root
123
1658
postgres
postgres
1594
support
support
1535
jenkins
jenkins
1360
admin
lozinka
1241
root
12345
1177
pi
raspberry
1160
root
12345678
1126
root
123456789
1069
ubnt
ubnt
1069
admin
1234
1012
root
1234567890
967
ec2-user
ec2-user
963
Distribucija pokušaja skeniranja po danima u tjednu i satima:
Ukupno je zabilježeno 27448 jedinstvenih IP adresa.
Najveći broj provjera, izvršenih s jednog IP-a, iznosio je 64969. Udio provjera preko Tor-a iznosio je samo 0.8%. 62.2% IP adresa sudjelovalo je u pogađanju, bilo je povezano s kineskim podmrežama:
Izvor: opennet.ru
