Analisi dell'attività degli attaccanti relativa al tentativo di password tramite SSH

Pubblicati risultati dell'analisi degli attacchi legati al tentativo di indovinare le password per i server SSH. Durante l'esperimento sono stati avviati diversi honeypot, che si sono finti server accessibili OpenSSH e sono stati collocati in diverse reti di fornitori di cloud, come
Google Cloud, DigitalOcean e NameCheap. Nel corso di tre mesi sono stati registrati 929554 tentativi di connessione al server.

Nel 78% dei casi, il tentativo di indovinare la password era mirato a identificare la password dell'utente root. Le password più frequentemente testate sono state «123456» e «password», ma nella top ten è entrata anche la password «J5cmmu=Kyf0-br8CsW», probabilmente utilizzata di default da qualche produttore.

Le credenziali più popolari:

Dalle analisi dei tentativi di indovinare le password sono emerse 128588 coppie uniche di login-password, di cui 38112 sono state testate 5 o più volte. Le 25 coppie più frequentemente testate:

Distribuzione dei tentativi di scansione nei giorni della settimana e nelle ore:

È stato registrato un totale di 27448 login unici indirizzi IP.
Il numero più alto di controlli effettuati da un singolo IP è stato 64969. La percentuale di controlli attraverso Tor è stata solo dello 0,8%. Il 62,2% degli indirizzi IP coinvolti nei tentativi di indovinare le password erano collegati a subnet cinesi:

Fonte: opennet.ru