Honeypot Project – Auswertung

Mein Honypot ist nun knappe 10 Tage gelaufen und es ist Zeit für eine erste Auswertung.

Insgesamt sind fast 200 Uniq-IPs im Honeypot aufgeschlagen und haben zusammen ca. 28’500 Loginversuche ausgeführt – das sind rund 2 Passwortversuche pro Minute…

Davon waren aber gerade mal 434 erfolgreich (ich habe die bekanntesten Passwörter weggefiltert und die bereits erfolgreichen jeweils dem Exclude immer wieder ergänzt) und nur 131 haben tatsächlich ein Kommando auf dem System abgesetzt. Die am Meisten genutzten Kommandos sind erwartungsgemäss:

cmd

Dabei scheint es die meisten zu interessieren, wo sie sind und wie sie mit der Aussenwelt verbunden sind und erst dann lädt man sich mit wget neue Daten nach, macht ja auch nur so rum Sinn 🙂

Wenn man sich nun mal die benutzten Kombinationen anschaut, so fällt auf, dass die Standards wie „root/root“ oder „root/password“ zwar noch in den Top 15 dabei sind, jedoch nicht mehr ganz vorne dabei. Viel beliebter scheint „root/*“ zu sein:

passwoerter

Wenn man die User gesondert anschaut, so zeigt sich das übliche Bild:

user

Bei den Passwörtern hingegen kam für mich wieder die nächste Überraschung:

user_pw

Hier sind wieder Passwörter wie „*“ oder „**“ vorne dabei. Sehr spannend fand ich das Passwort „<b,bujY“. Dies scheint mir irgendwie viel zu spezifisch, als dass dies bei einer Brute-Force passen könnte… Vielleicht das Standardpasswort einer verbreiteten Software?

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.