Un de nos serveurs a subi 800 000 attaques en six mois, on vous raconte

Un serveur virtuel (VPS) exposé sur Internet a subi 800 000 attaques en six mois, soit en moyenne 170 tentatives par heure, 24 heures sur 24. Ce serveur, volontairement vulnérable, a été configuré pour simuler un système accessible à distance via le protocole SSH (Secure Shell), utilisé pour administrer des machines à distance. Les attaques proviennent de bots (robots automatisés) ou de pirates informatiques qui testent des combinaisons d’identifiants (noms d’utilisateur et mots de passe) pour tenter de s’infiltrer. L’objectif de cette expérience, menée par le média Next.ink, est de montrer l’ampleur des tentatives d’intrusion sur un serveur connecté à Internet, même sans données sensibles.

Pour mesurer ces attaques, les auteurs ont utilisé Cowrie, un logiciel open source qui simule un serveur SSH vulnérable. Lorsqu’un bot ou un pirate tente de se connecter avec n’importe quel identifiant, Cowrie enregistre ces tentatives dans une base de données. Les données collectées incluent les mots de passe et noms d’utilisateur essayés, ainsi que les commandes exécutées par les attaquants. Cette méthode permet de capturer les attaques les plus brutales (les bots qui ne détectent pas le piège), mais pas celles des pirates plus sophistiqués qui évitent les systèmes de pot de miel (honey pots).

Les attaques proviennent d’adresses IP situées dans le monde entier. Les données montrent que certaines IP sont particulièrement actives : par exemple, l’IP 193.32.162.x a été identifiée comme l’une des plus agressives. Les commentaires des lecteurs révèlent que cette même IP a également ciblé des serveurs personnels, comme un NAS (Network Attached Storage, un disque dur accessible via Internet). Les tentatives les plus fréquentes concernent des équipements connectés comme des caméras IP ou des téléphones VoIP, qui utilisent souvent des mots de passe par défaut faciles à deviner.

Parmi les identifiants les plus utilisés par les bots, on retrouve des mots de passe par défaut d’équipements populaires. Par exemple, le mot de passe 3245gs5662d34 est associé à des caméras IP ou à des téléphones Polycom CX600. Ces mots de passe sont souvent laissés inchangés par les utilisateurs, ce qui facilite les intrusions. Les données collectées montrent que ces combinaisons reviennent régulièrement dans les tops mondiaux des mots de passe testés par les bots, illustrant un problème de sécurité récurrent lié à la négligence des utilisateurs ou des fabricants.

Le pic d’attaques a été enregistré le 31 mai, avec 36 000 tentatives en une seule journée. Sur six mois, le serveur a subi 800 000 attaques, un chiffre qui peut sembler modeste comparé à d’autres systèmes plus exposés (comme les API publiques qui reçoivent jusqu’à un million de tentatives par jour). Cependant, pour un simple VPS sans données sensibles, ce volume reste élevé et illustre l’hostilité permanente de l’Internet. Les auteurs soulignent que même un serveur inactif est une cible, car les bots scannent en permanence les adresses IP pour trouver des failles.

Les attaquants lancent souvent des commandes comme wget ou curl pour télécharger des fichiers malveillants ou scanner d’autres machines. Les auteurs ont collecté 900 Mo de données issues de ces commandes, qu’ils analysent pour comprendre les intentions des pirates. Ces fichiers peuvent contenir des scripts automatisés visant à exploiter des vulnérabilités connues ou à installer des malwares (logiciels malveillants). L’analyse de ces données permet de mieux cerner les méthodes utilisées par les attaquants.