Analiza aktywności atakujących związanej z próbami łamania haseł przez SSH

Opublikowano wyniki analizy ataków związanych z łamaniem haseł do serwerów przez SSH. W trakcie eksperymentu uruchomiono kilka pułapek (honeypot), udających dostępny serwer OpenSSH i umieszczonych w różnych sieciach dostawców chmurowych, takich jak
Google Cloud, DigitalOcean i NameCheap. W ciągu trzech miesięcy odnotowano 929554 prób połączenia z serwerem.

W 78% przypadków atak był ukierunkowany na ustalenie hasła użytkownika root. Najczęściej sprawdzanymi hasłami były „123456” i „password”, ale do dziesiątki najczęściej sprawdzanych weszło również hasło „J5cmmu=Kyf0-br8CsW”, prawdopodobnie używane domyślnie przez jakiegoś producenta.

Najpopularniejsze loginy i hasła:

Wśród analizowanych prób łamania zidentyfikowano 128588 unikalnych par login-hasło, przy czym 38112 z nich próbowało się łączyć 5 lub więcej razy. 25 najczęściej sprawdzanych par:

Rozkład prób skanowania według dni tygodnia i godzin:

W sumie odnotowano połączenia z 27448 unikalnych adresów IP.
Największa liczba sprawdzeń z jednego adresu IP wyniosła 64969. Udział prób przez Tor stanowił zaledwie 0,8%. 62,2% adresów IP zaangażowanych w łamanie haseł było powiązanych z chińskimi podsieciami:

Źródło: opennet.ru