Analyse van de activiteitsaanvallen gerelateerd aan wachtwoordgissingen via SSH

Gepubliceerd resultaten van de analyse van aanvallen gerelateerd aan het raden van wachtwoorden voor servers via SSH. Tijdens het experiment werden verschillende honeypots opgezet die zich voordeden als beschikbare OpenSSH-servers, geplaatst in verschillende netwerken van cloudproviders zoals
Google Cloud, DigitalOcean en NameCheap. In drie maanden werden 929554 verbindingspogingen op de server geregistreerd.

In 78% van de gevallen was het doel van het raden het achterhalen van het wachtwoord van de gebruiker root. De meest vaak gecontroleerde wachtwoorden waren '123456' en 'password', maar ook het wachtwoord 'J5cmmu=Kyf0-br8CsW' stond in de top tien, waarschijnlijk standaard gebruikt door een fabrikant.

De meest populaire gebruikersnamen en wachtwoorden:

Uit de geanalyseerde pogingen tot raden werden 128588 unieke combinaties van gebruikersnaam-wachtwoord ontdekt, waarbij 38112 hiervan vijf of meer keer geprobeerd werden. De 25 meest vaak gecontroleerde paren:

De verdeling van scanpogingen over de weekdagen en uren:

Er werden in totaal 27448 unieke verzoeken geregistreerd IP-adressen.
Het hoogste aantal controles uitgevoerd vanaf één IP was 64969. Het aandeel van controles via Tor bedroeg slechts 0,8%. 62,2% van de IP-adressen die betrokken waren bij het raden, was verbonden met Chinese subnetten:

Bron: opennet.ru