Les Jeux Olympiques arrivent très prochainement en France ! Mais les cyber attaquants, qui privilégient les cibles liées à l’actualité que ce soit pour perturber l’évènement ou profiter de toute la publicité autour pour lancer des campagnes de phishing à destination des particuliers, sont déjà en ordre de marche pour gagner la médaille d’or sur le plan cyber…
C’est dans ce contexte que TEHTRIS, éditeur de logiciel français, propose un rapport sur les informations récupérées sur son réseau mondial de honeypots, et notamment ceux hébergés en France. Ce réseau de leurres informatiques exposés sur Internet permet de réaliser un suivi de l’évolution des techniques des cyber attaquants utilisées lors des phases de reconnaissance. Les technologies développées par TEHTRIS (Deceptive Response Honeypots et NTA), qui équipent chacun de nos honeypots, permettent de remonter de nombreux logs, utiles pour l’analyse et la réalisation de statistiques.
Ce suivi des techniques les plus utilisées par les groupes cyber malveillants a pour but d’aider à la priorisation des éléments à mettre à jour au sein d’un réseau et de patcher les logiciels et les machines les plus vulnérables. Les renseignements collectés dans cet environnement réel et non-contrôlé permettent d’obtenir des indicateurs de compromission prêts à être utilisés par chaque cyber défenseur, lui permettant ainsi d’adapter au mieux sa posture de défense.
TÉLÉMETRIE
En avril, nos honeypots hébergés en France ont été contactés plus de 20 millions de fois par près de 225 000 adresses IP uniques.
La grande majorité de ces menaces sont issues d’adresses IP hébergées aux États-Unis (45%) comme illustré ci-dessous.
TOP 10 DES PORTS/PROTOCOLES LES PLUS CIBLÉS
Voici le top 10 des ports/protocoles les plus contactés sur nos honeypots hébergés en France pour le mois d’avril 2024.
| Protocol | Port | IANA associated services | % |
| TCP | 445 | SMB | 26.946% |
| TCP | 22 | SSH | 11.045% |
| TCP | 23 | Telnet | 2.959% |
| TCP | 80 | HTTP | 2.934% |
| TCP | 6379 | Redis | 1.353% |
| TCP | 443 | HTTPS | 1.128% |
| TCP | 3389 | Microsoft Windows Based Terminal (WBT) Server used for Windows Remote Desktop Protocol (RDP) and Remote Assistance connections | 1.068% |
| TCP | 8728 | Unassigned – MikroTik Routers’API | 1.025% |
| TCP | 8443 | PCsync HTTPS | 0.551% |
| UDP | 5060 | SIP | 0.518% |
LES SERVICES SSH LARGEMENT CIBLÉS
Pour avril 2024, voici le top 10 des identifiants (login/mot de passe) testés sur le service SSH de nos honeypots hébergés en France :
| Login | Password | % |
| 345gs5662d34 | 345gs5662d34 | 39.411% |
| admin | admin | 1.855% |
| root | root | 1.188% |
| root | 3245gs5662d34 | 1.173% |
| ubnt | ubnt | 0.949% |
| 0 | 0 | 0.841% |
| ubuntu | 3245gs5662d34 | 0.71% |
| root | password | 0.678% |
| admin | admin123 | 0.626% |
| root | admin | 0.577% |
Ce top 10 illustre une nouvelle fois au combien les cyber attaquants comptent sur l’utilisation des identifiants par défaut et des mots de passe faibles pour obtenir des accès initiaux.
Voici le top 10 des lignes de commandes SSH décodées qui ont été lancées sur son honeypots hébergés en France :
| Session.keyword | % |
| cd ~; chattr -ia .ssh; lockr -ia .ssh | 29.177% |
| cd ~ && rm -rf .ssh && mkdir .ssh && echo « ssh-rsa AAAAB3NzaC1yc2EAAAABJQAAAQEArDp4cun2lhr4KUhBGE7VvAcwdli2a8dbnrTOrbMz1+5O73fcBOx8NVbUT0bUanUV9tJ2/9p7+vD0EpZ3Tz/+0kX34uAx1RV/75GVOmNx+9EuWOnvNoaJe0QXxziIg9eLBHpgLMuakb5+BgTFB+rKJAw9u9FSTDengvS8hX1kNFS4Mjux0hJOK8rvcEmPecjdySYMb66nylAKGwCEE6WEQHmd1mUPgHwGQ0hWCwsQk13yCGPK5w6hYp5zYkFnvlC8hGmd4Ww+u97k6pfTGTUbJk14ujvcD9iUKQTTWYYjIIu5PmUux5bsZ0R4WFwdIe6+i6rBLAsPKgAySVKPRK+oRw== mdrfckr »>>.ssh/authorized_keys && chmod -R go= ~/.ssh && cd ~ | 29.151% |
| cat /proc/cpuinfo | grep name | wc -l | 8.82% |
| uname -a | 2.298% |
| free -m | grep Mem | awk ‘{print $2 ,$3, $4, $5, $6, $7}’ | 2.035% |
| cat /proc/cpuinfo | grep name | head -n 1 | awk ‘{print $4,$5,$6,$7,$8,$9;}’ | 2.034% |
| ls -lh $(which ls) | 2.031% |
| crontab -l | 2.029% |
| w | 2.026% |
| uname -m | 2.026% |
TENTATIVE D’INTRUSION SUR SMB EN AVRIL
Voici le top 10 des Usernames les plus testés sur le service SMB de nos honeypots hébergés en France :
| Username | % |
| Administrator | 35.08% |
| admin | 22.393% |
| hp | 14.536% |
| 6.418% | |
| Payables | 4.126% |
| administrator | 3.427% |
| gerami | 3.112% |
| PAYABLES-PC\Admin | 2.075% |
| PAYABLES-PC\Administrator | 1.862% |
| Admin | 0.976% |
Voici les 6 noms de Share recherchés sur nos honeypots hébergés en France :
| SHARE Name | % |
| IPC$ | 91.413% |
| 8.551% | |
| C$ | 0.027% |
| ipc$ | 0.007% |
| Admin | 0.001% |
| Admin$ | 0.001% |
Voici le top 10 des fichiers les plus recherchés sur les Share de nos honeypots hébergés en France :
| File Access | % |
| svcctl | 88.31% |
| RemCom_communicaton | 8.744% |
| 2.257% | |
| srvsvc | 0.645% |
| samr | 0.023% |
| Documents and Settings\All Users\Start Menu\Programs\Startup | 0.007% |
| WINDOWS\Start Menu\Programs\Startup | 0.007% |
| WINNT\Profiles\All Users\Start Menu\Programs\Startup | 0.007% |
| NIuUiBxVYk | 0.001% |
| aEZzjDXAkP | 0.001% |
TOP 10 DES CVE LES PLUS EXPLOITÉES
Voici le top 10 des CVE les plus exploitées par les cyber attaquants sur nos honeypots hébergés en France afin d’obtenir un accès initial :
| CVE | CVSSv3 | % |
| CVE-2017-9841 | 9.8 | 22.202% |
| CVE-2019-9670 | 9.8 | 17.946% |
| CVE-2019-9621 | 7.5 | 17.854% |
| CVE-2024-3273 | 9.8 | 10.916% |
| CVE-2023-49103 | 7.5 | 6.105% |
| CVE-2018-10561 | 9.8 | 5.735% |
| CVE-2021-36260 | 9.8 | 4.348% |
| CVE-2021-41773 | 7.5 | 2.22% |
| CVE-2017-5638 | 10 | 1.665% |
| CVE-2020-25506 | 9.8 | 0.925% |
Dans ce top 10 d’avril 2024, nous avons découvert et mis en avant une vulnérabilité activement exploitée dans le monde qui n’est pas encore répertoriées par la fameuse base de données considérée comme référence établie par le CISA (agence américaine de cybersécurité) (known exploited vulnerabilities catalog). Il s’agit de la CVE-2019-9621 en 3ème position, pour laquelle nous sommes en mesure d’affirmer qu’elle a bien été exploitée à l’encontre de nos honeypots.
DES IP FRANCAISES ACTIVES CONTRE NOS HONEYPOTS HÉBERGÉS EN FRANCE
Pour le mois d’avril, plus de 3 100 adresses uniques hébergées en France ont contacté notre réseau mondial de honeypots. Ce qui est intéressant, c’est que ces IP françaises malveillantes ont cherché à contacter en majorité nos honeypots hébergés en France (10.4%).
En conclusion, il est nécessaire de se méfier de tous en cyber en appliquant une approche zero-trust et en utilisant des solutions de cybersécurité adéquates.
Information remain TEHTRIS sole property and reproduction is forbidden
TEHTRIS is and remains sole property rights owner of the information provided herein. Any copy, modification, derivative work, associated document, as well as every intellectual property right, is and must remain TEHTRIS’ sole and exclusive property. TEHTRIS authorizes the user to access for read use only. Except as expressly provided above, nothing contained herein will be construed as conferring any license or right under any TEHTRIS’ copyright.
No warranty and liability
TEHTRIS will not be held liable for any use, improper or incorrect use of the information described and/or contained herein and assume no responsibility for anyone’s use of the information. Although every effort has been made to provide complete and accurate information, TEHTRIS makes no warranty, expressed or implied regarding accuracy, adequacy, completeness, legality, reliability, or usefulness of any information provided herein. This disclaimer applies to both isolated and aggregated uses of the information.