APNIC зафиксировал 99 тыс. IP-адресов и 173 млн событий на своей сети ловушек

APNIC зафиксировал 99 тысяч IP-адресов и 173 миллиона событий на сети ловушек

APNIC обновил свою сеть ловушек (honeynet) для расширения спектра наблюдаемой активности. Инфраструктура получила обновленный бэкенд для сбора и обработки данных с сенсоров. Обновлены сенсоры Cowrie и Dionaea, добавлены OpenCanary и Webpot. Сеть теперь имитирует портал Fortinet SSL-VPN и Android-устройство с открытым отладочным портом. Обработанные вредоносные программы поступают в Linux-песочницу, интегрированную с платформами Threat Intelligence, такими как MISP и Abuse.ch. Это обеспечивает лучшую видимость наблюдаемой активности. Сеть ловушек уже выявила интересные закономерности. С 21 по 27 сентября 2026 года почти 99 тысяч уникальных IP-адресов взаимодействовали с ловушками APNIC, сгенерировав 173 миллиона событий.

Почти три четверти атакующих нацеливались на SSH или Telnet

Сенсор Cowrie, имитирующий SSH и Telnet, зафиксировал 72 256 уникальных IP-адресов. В течение недели 9 669 IP-адресов пытались выполнить вход через SSH. Большинство использовало небольшой набор предсказуемых имен пользователей и паролей, что указывает на применение автоматизированных инструментов и общих списков учетных данных. Аналогичное количество IP-адресов пыталось выполнить вход через Telnet. Активность брутфорса Telnet является очень шумной и может указывать на зараженное устройство, пытающееся пополнить ряды ботнета. Сенсор Dionaea, имитирующий серверы Windows и баз данных, привлек наибольшую активность через SMB (порт 445) — 13 395 IP-адресов. За ним следуют MSSQL (5 113), MySQL (4 233), Windows RPC (3 251) и SIP (2 407). Пять из шести наиболее распространенных образцов вредоносного ПО являются компонентами WannaCry. Эти компоненты были доставлены как минимум 1 399 IP-адресами, вероятно, с неисправных систем Windows, которые до сих пор пытаются распространяться. Сенсор OpenCanary, имитирующий службы удаленного доступа и базы данных, зафиксировал 6 637 IP-адресов, нацеленных на RDP (порт 3389). Эти атакующие совершили 25,6 миллиона попыток подключения, в среднем почти 3 900 на каждого за неделю. Новый экспериментальный сенсор Webpot, имитирующий набор веб-приложений, зафиксировал 1 723 IP-адреса. Запросы охватывали уязвимости почти десятилетнего периода, включая PHPUnit command injection (CVE-2017-9841) и уязвимости, раскрытые в 2025 году. Сенсор Fortinet, имитирующий портал SSL-VPN, привлек 1 876 IP-адресов. 1 510 из них пытались войти в VPN, сгенерировав 4,4 миллиона попыток. 237 IP-адресов искали бэкдор, о котором Fortinet предупреждал в апреле 2025 года. Сенсор ADBHoney, имитирующий Android-устройство с открытым интерфейсом ADB (порт 5555), привлек 1 841 IP-адрес. 89 IP-адресов выполнили скрипт, который проверяет наличие майнера и запускает собственный. Наиболее распространенный файл, наблюдаемый с 18 IP-адресов, был помечен как вредоносный.

Атаки на SSH, Telnet и SMB остаются наиболее распространенными

Анализ APNIC показал, что атаки на службы SSH и Telnet составили почти три четверти всей активности, зафиксированной сетью ловушек. Это указывает на продолжающуюся эксплуатацию слабых паролей и устаревших протоколов. Атаки на SMB также остаются значительными, что подчеркивает риски, связанные с неисправными системами Windows. Вредоносные программы, такие как Mozi и Mirai, продолжают активно распространяться, несмотря на сообщения об их нейтрализации. WannaCry, появившийся в 2017 году, до сих пор присутствует в сети, что свидетельствует о большом количестве неисправных систем. Атаки на Android-устройства с открытым отладочным портом указывают на то, что операторы вредоносного ПО конкурируют за контроль над этими устройствами. Уязвимости, такие как PHPUnit command injection (CVE-2017-9841), продолжают использоваться из-за их дешевизны для сканирования. Атаки на VPN-порталы Fortinet, включая поиск бэкдора, свидетельствуют о попытках сохранить доступ к скомпрометированным устройствам.

Отключить Telnet, сменить пароли и закрыть порты

APNIC рекомендует отключить Telnet и сменить пароли на всех маршрутизаторах, камерах и IoT-устройствах. Необходимо держать порты SMB, RDP, VNC и баз данных закрытыми от публичного интернета. Следует проверять файлы authorized_keys на интернет-ориентированных Linux-серверах на наличие неизвестных ключей. Важно оперативно устанавливать обновления для VPN-оборудования и проверять его на признаки предыдущего компрометирования. Никогда не следует оставлять Android Debug Bridge (порт 5555) доступным из интернета. Для участников APNIC доступен информационный дашборд DASH, который использует данные ловушек для выявления подозрительного трафика, исходящего из их адресного пространства.