25 900 отказов SSH за сутки. Приёмная работает круглосуточно :D

FirstVDS прислал уведомление об инциденте: 17 октября через уязвимость VMmanager 6 атакующие получили доступ к дискам части клиентских VPS. Мой сервер оказался в списке затронутых.

В публичном объявлении провайдер сообщил, что отключил внешнее управление виртуализацией, вендор выпустил промежуточный патч, расследование продолжается. Клиентов попросили считать секреты на затронутых серверах скомпрометированными и сменить доступы. Письмо заметно расширило мой список дел.

Посчитал журналы двух своих VPS за 18 октября:

• Первый сервер: 16 077 отказов, 387 разных IP.
• Второй: 9 823 отказа, 98 IP.
• Вместе: 25 900 отказов с 450 адресов. 35 источников посетили оба сервера.

В среднем — 18 отказов в минуту, один каждые 3,3 секунды. Пиковый отрезок — 83 за 60 секунд. Считал отказы авторизации: одна SSH-сессия может дать несколько записей.

По GeoJS получилось 55 стран и территорий. Из них:

• Китай — 125 IP;
• США — 41;
• Южная Корея — 31;
• Индия — 26;
• Болгария — 20;
• Россия — 10.

Адреса, отнесённые базой к Болгарии, дали 8 017 отказов. Одна подсеть 109.160.32.0/24 — 7 608 с 16 IP, почти 30% всей выборки. География IP примерная: за адресом может быть прокси или заражённое устройство, местонахождение самого атакующего она не устанавливает.

Связь этого SSH-подбора с инцидентом FirstVDS пока не установлена. Зато у меня теперь есть статистика посещаемости, которую я вообще-то хотел видеть у своих сайтов :DD