Analiza e aktivitetit të sulmuesve që lidhet me marrjen e fjalëkalimeve përmes SSH

Publikuar rezultatet e analizës së sulmeve që lidhen me marrjen e fjalëkalimeve për serverët përmes SSH. Gjatë eksperimentit janë aktivizuar disa kurtha (honeypot), duke u bërë si një server i disponueshëm OpenSSH dhe që janë vendosur në rrjete të ndryshme të ofruesve të shërbimeve në re, siç janë
Google Cloud, DigitalOcean dhe NameCheap. Në tre muaj janë regjistruar 929554 përpjekje për t'u lidhur me serverin.

Në 78% të rasteve, marrja kishte si objektiv përcaktimin e fjalëkalimit të përdoruesit root. Fjalëkalimet më të kontrolluara ishin "123456" dhe "password", por në dhjetëshen e liderëve hyri gjithashtu fjalëkalimi "J5cmmu=Kyf0-br8CsW", ndoshta i përdorur nga ndonjë prodhues si standart.

Fjalëkalimet dhe emrat më të njohura:

Nga përpjekjet e analizuar për marrjen e fjalëkalimeve, u identifikuan 128588 çifte unike të emrit të përdoruesit dhe fjalëkalimit, ndërsa 38112 nga ato u përpoqën të kontrolloheshin 5 herë e më shumë. 25 çifte më të kontrolluara:

Shpërndarja e përpjekjeve për skanimin sipas ditëve të javës dhe orëve:

Në total, janë regjistruar kërkesa nga 27448 unike IP-adresat.
Numri më i madh i kontrollimeve të kryera nga një IP ka qenë 64969. Pjesa e kontrollimeve përmes Tor ishte vetëm 0.8%. 62.2% e adresave IP që morën pjesë në marrje ishin të lidhura me nënrrjetet kineze:

Burimi: opennet.ru