Het data breach report van dit jaar bevatte een hoop opvallende feiten, maar er was n ding dat me in het bijzonder bijbleef: 79 procent van alle aanvallen werd aangemerkt als ‘opportunistisch van aard’. In het rapport definiren we opportunistische aanvallen als volgt: ‘Het slachtoffer werd niet specifiek tot doelwit verkozen; bedrijven werden op de korrel genomen omdat ze een zwakte vertoonden waarvan de aanvallers misbruik konden maken.’
Dat zette me aan het denken. Als cybercriminelen op internet rondsnuffelen en alles aanvallen wat ook maar zwak is, moet het mogelijk zijn om deze opportunistische aanvallen te analyseren door een honeypot (loksysteem voor hackers) op te zetten. Hiervoor maakte ik gebruik van een tamelijk simpele honeypot in de vorm van een namaak ssh-server die vastlegt welke gebruikersnamen en wachtwoorden worden gebruikt voor aanmeldingspogingen door hackers. Mijn systeem werd vrijwel direct aangevallen, waarna de aanmeldingspogingen aan de lopende band bleven binnenrollen.
We zijn inmiddelszes weken verder. In deze periode is mijn honeypot vrijwel onafgebroken in de lucht geweest. Ik verzamelde SSH 63.303 wachtwoorden en gebruikersnamen die voor aanmeldingspogingen werden gebruikt. Wat deze lijst interessant maakt, is dat er sprake is van een onderscheid tussen de wachtwoorden die reguliere gebruikers en hackers hanteren.
Het eerste wat me opviel, was dat 23,4 procentvan alle wachtwoorden identiek was aan de gebruikersnaam: bob/bob, alice/alice, root/root en ga zo maar door. Ik vermoed dat dit percentage veel hoger ligt dan bij andere netwerkservices. Als mijn geheugen me niet in de steek laat, was het bij sommige Unix-varianten zo dat bij het toevoegen van een gebruiker het wachtwoord automatisch gelijk werd gesteld aan de gebruikersnaam. In plaats van een