ניתוח פעילות תוקפים הקשורה לניחוש סיסמאות באמצעות SSH

יצא לאור תוצאות ניתוח התקפות הקשורות לבחירת סיסמאות לשרתים באמצעות SSH. במהלך הניסוי, הושקו כמה עציצי דבש, שהתחזו לשרת OpenSSH נגיש ומתארחים ברשתות שונות של ספקי ענן, כגון
Google Cloud, DigitalOcean ו-NameCheap. במשך שלושה חודשים נרשמו 929554 ניסיונות להתחבר לשרת.

ב-78% מהמקרים, החיפוש היה מכוון לקביעת הסיסמה של משתמש השורש. הסיסמאות שנבדקו בתדירות הגבוהה ביותר היו "123456" ו-"סיסמה", אבל העשירייה הראשונה כללה גם את הסיסמה "J5cmmu=Kyf0-br8CsW", כנראה ברירת המחדל שבה משתמש יצרן כלשהו.

כניסות וסיסמאות הפופולריות ביותר:

כניסה
מספר נסיונות
סיסמה
מספר נסיונות

שורש
729108

40556

מנהל
23302
123456
14542

המשתמש
8420
מנהל
7757

מבחן
7547
123
7355

אורקל
6211
1234
7099

ftpuser
4012
שורש
6999

אובונטו
3657
סיסמא
6118

אורח
3606
מבחן
5671

postgres
3455
12345
5223

משתמש
2876
אורח
4423

מניסיונות הבחירה המנותחים זוהו 128588 צמדי כניסה-סיסמה ייחודיים, בעוד ש-38112 מהם ניסו להיבדק 5 פעמים או יותר. 25 זוגות שנבדקו בתדירות הגבוהה ביותר:

כניסה
סיסמה
מספר נסיונות

שורש
 
37580

שורש
שורש
4213

המשתמש
המשתמש
2794

שורש
123456
2569

מבחן
מבחן
2532

מנהל
מנהל
2531

שורש
מנהל
2185

אורח
אורח
2143

שורש
סיסמא
2128

אורקל
אורקל
1869

אובונטו
אובונטו
1811

שורש
1234
1681

שורש
123
1658

postgres
postgres
1594

תמיכה
תמיכה
1535

ג'נקינס
ג'נקינס
1360

מנהל
סיסמא
1241

שורש
12345
1177

pi
פטל
1160

שורש
12345678
1126

שורש
123456789
1069

ubnt
ubnt
1069

מנהל
1234
1012

שורש
1234567890
967

משתמש ec2
משתמש ec2
963

התפלגות ניסיונות הסריקה לפי יום בשבוע ושעה:

בסך הכל נרשמו בקשות מ-27448 כתובות IP ייחודיות.
המספר הגדול ביותר של בדיקות שבוצעו מ-IP אחד היה 64969. חלקן של בדיקות באמצעות Tor היה 0.8% בלבד. 62.2% מכתובות ה-IP המעורבות בבחירה היו משויכות לרשתות משנה סיניות:

מקור: OpenNet.ru