🌊 Десятки тысяч IP-адресов ищут уязвимости в RDP

Тут исследователи из GreyNoise зафиксировали всплеск сканирования Microsoft RD Web Access и Microsoft RDP Web Client. Если в обычные дни такую активность проявляют 3-5 IP, то 21 августа их было почти 2000, а 24 августа уже более 30 000.

Почти все атакующие IP (92%) уже помечены как вредоносные и используют один и тот же клиентский отпечаток, что указывает на скоординированную атаку с использованием одного инструмента или ботнета.

Атакующие целенаправленно тестируют страницы аутентификации на наличие уязвимостей связанных со временем ответа. Это метод перечисления пользователей, где по разнице во времени ответа сервера можно определить, существует ли в системе тот или иной логин.

Получив список валидных пользователей, хацкеры могут переходить к более эффективным атакам, вроде подстановки утекших паролей или массовый подбор популярных паролей к разным учетным записям (атака получается медленной, но очень тихой и незаметной для большинства систем мониторинга). По статистике, в 80% случаев за таким массированным сканированием в течение шести недель следует обнаружение новой уязвимости в этой технологии. Засекаем ✍️

Типичный 🥸 Сисадмин