Analisi dell'attività degli aggressori relativa al cracking delle password via SSH

Pubblicato risultati dell'analisi degli attacchi volti al cracking delle password dei server SSH. Durante l'esperimento sono state attivate diverse trappole (honeypot), che si sono spacciate per server OpenSSH accessibili e collocate in varie reti di fornitori di servizi cloud come
Google Cloud, DigitalOcean e NameCheap. In tre mesi sono state registrate 929.554 tentativi di connessione al server.

Nel 78% dei casi, il cracking era mirato a identificare la password dell'utente root. Le password più comunemente testate sono state "123456" e "password", ma tra le prime dieci è comparsa anche la password "J5cmmu=Kyf0-br8CsW", probabilmente utilizzata di default da qualche produttore.

Le combinazioni di login e password più popolari:

Dai tentativi di cracking analizzati sono state identificate 128.588 coppie uniche di login-password, di cui 38.112 hanno tentato di verificare 5 o più volte. Le 25 coppie più comunemente testate:

Distribuzione dei tentativi di scansione per giorni della settimana e ore:

In totale sono state registrate richieste da 27.448 utenti unici IP addresses.
Il numero massimo di controlli eseguiti da un singolo IP è stato di 64969. La percentuale di controlli tramite Tor è stata solo dello 0,8%. Il 62,2% degli indirizzi IP coinvolti nel tentativo di accesso era collegato a subnet cinesi:

Fonte: opennet.ru