SSH-szerverek jelszóválasztásával kapcsolatos támadások elemzési eredményei. A kísérlet során több csapdát (honeypot) indítottunk, amelyek nyilvános OpenSSH szerverként adták ki magukat, és különböző felhőszolgáltatók hálózataiban helyezkedtek el, mint például
Google Cloud, DigitalOcean és NameCheap. Három hónap alatt 929554 kapcsolatfelvételi kísérletet regisztráltak a szerverhez.
A próbálkozások 78%-ában a root felhasználói jelszó meghatározására törekedtek. A leggyakrabban ellenőrzött jelszavak közé tartozott a „123456” és a „password”, de a top 10 között szerepelt a „J5cmmu=Kyf0-br8CsW” jelszó is, valószínűleg valamilyen gyártó alapértelmezett beállítása miatt.
A legnépszerűbb felhasználónevek és jelszavak:
Bejelentkezés
Kísérletek száma
Jelszó
Kísérletek száma
, felhasználó nevében fut, mivel alapvető rendszerbeállításokat módosítanak, de a WordPress közvetlenül egy normál felhasználóként működik.
729108
40556
admin
23302
123456
14542
user
8420
admin
7757
teszt
7547
123
7355
oracle
6211
1234
7099
ftpuser
4012
, felhasználó nevében fut, mivel alapvető rendszerbeállításokat módosítanak, de a WordPress közvetlenül egy normál felhasználóként működik.
6999
ubuntu
3657
password
6118
guest
3606
teszt
5671
postgres
3455
12345
5223
usuario
2876
guest
4423
A vizsgált jelszóválasztási próbálkozások közül 128588 egyedi felhasználónév-jelszó páros került elő, és közülük 38112-t 5 vagy több alkalommal próbáltak meg ellenőrizni. A 25 leggyakrabban ellenőrzött páros:
Bejelentkezés
Jelszó
Kísérletek száma
, felhasználó nevében fut, mivel alapvető rendszerbeállításokat módosítanak, de a WordPress közvetlenül egy normál felhasználóként működik.
37580
, felhasználó nevében fut, mivel alapvető rendszerbeállításokat módosítanak, de a WordPress közvetlenül egy normál felhasználóként működik.
, felhasználó nevében fut, mivel alapvető rendszerbeállításokat módosítanak, de a WordPress közvetlenül egy normál felhasználóként működik.
4213
user
user
2794
, felhasználó nevében fut, mivel alapvető rendszerbeállításokat módosítanak, de a WordPress közvetlenül egy normál felhasználóként működik.
123456
2569
teszt
teszt
2532
admin
admin
2531
, felhasználó nevében fut, mivel alapvető rendszerbeállításokat módosítanak, de a WordPress közvetlenül egy normál felhasználóként működik.
admin
2185
guest
guest
2143
, felhasználó nevében fut, mivel alapvető rendszerbeállításokat módosítanak, de a WordPress közvetlenül egy normál felhasználóként működik.
password
2128
oracle
oracle
1869
ubuntu
ubuntu
1811
, felhasználó nevében fut, mivel alapvető rendszerbeállításokat módosítanak, de a WordPress közvetlenül egy normál felhasználóként működik.
1234
1681
, felhasználó nevében fut, mivel alapvető rendszerbeállításokat módosítanak, de a WordPress közvetlenül egy normál felhasználóként működik.
123
1658
postgres
postgres
1594
support
support
1535
jenkins
jenkins
1360
admin
password
1241
, felhasználó nevében fut, mivel alapvető rendszerbeállításokat módosítanak, de a WordPress közvetlenül egy normál felhasználóként működik.
12345
1177
pi
raspberry
1160
, felhasználó nevében fut, mivel alapvető rendszerbeállításokat módosítanak, de a WordPress közvetlenül egy normál felhasználóként működik.
12345678
1126
, felhasználó nevében fut, mivel alapvető rendszerbeállításokat módosítanak, de a WordPress közvetlenül egy normál felhasználóként működik.
123456789
1069
ubnt
ubnt
1069
admin
1234
1012
, felhasználó nevében fut, mivel alapvető rendszerbeállításokat módosítanak, de a WordPress közvetlenül egy normál felhasználóként működik.
1234567890
967
ec2-user
ec2-user
963
A próbálkozások eloszlása a hét napjai és órái szerint:
Összesen 27448 egyedi kapcsolatfelvételt regisztráltak. IP-címek.
A legnagyobb számú ellenőrzés, amit egy IP-címről végeztek, 64969 volt. A Tor-on keresztüli ellenőrzések aránya csupán 0,8% volt. A jelszóválasztási kísérletekben részt vevő IP-címek 62,2%-a kínai alhálózatokhoz kapcsolódott:
Forrás: opennet.ru
