Un pot de miel (ou honeypot) est un leurre. Ici, il s’agit de Cowrie : un faux serveur SSH, volontairement présenté comme vulnérable, qui n’héberge rien de réel. Il fait semblant d’accepter des connexions, imite un shell Linux, et enregistre tout : les identifiants essayés, les mots de passe, et surtout les commandes que l’attaquant tape une fois qu’il croit être entré. Le tout dans un environnement isolé, sans aucun accès aux vrais services. C’est le meilleur moyen d’observer une attaque de l’intérieur — sans rien risquer.

Le bilan d’une seule nuit

Ces chiffres ne couvrent pas un an, ni même une semaine. Ils correspondent à quelques heures d’exposition, la nuit : le moment où les robots travaillent pendant que tout le monde dort.

Mille tentatives de mot de passe et plus de mille commandes en une nuit, sur une machine qui n’existe pour ainsi dire pas : personne ne l’a annoncée, aucun lien ne pointe vers elle. Elle est simplement là, avec un port SSH ouvert. Cela suffit.

Un seul assaillant, ou presque

La première leçon est contre-intuitive. Sur ces 80 adresses IP, l’écrasante majorité du trafic vient de deux d’entre elles seulement. Une seule IP concentre à elle seule près des trois quarts de toute l’activité de la nuit.

Autrement dit, ce n’est pas une foule qui frappe à la porte : c’est surtout un robot particulièrement acharné, secondé par un second, et une longue traîne de scanners occasionnels. Ce robot dominant est hébergé aux Pays-Bas — non pas parce que l’attaque vient réellement de là, mais parce qu’il tourne sur un serveur loué dans un centre de données néerlandais. La géographie affichée est celle de l’hébergeur, pas celle du pirate.

Les mots de passe qui reviennent toujours

Les identifiants testés ne laissent aucun doute sur la méthode : c’est du dictionnaire brut, appliqué mécaniquement. Le compte root est la cible privilégiée, et les mots de passe essayés sont exactement ceux qu’il ne faut jamais utiliser.

Mots de passe les plus essayés durant la nuit. On y croise aussi des chaînes comme 345gs5662d34 : ce n’est pas un mot de passe humain, mais une signature connue de certains botnets qui ciblent les objets connectés.

La conclusion pratique tient en une phrase : un mot de passe faible sur un compte root ouvert en SSH, et l’affaire est pliée en quelques secondes. Ces robots ne cassent rien ; ils se contentent d’essayer les clés que trop de gens laissent sous le paillasson.

Que font-ils une fois « entrés » ?

C’est là que le pot de miel devient passionnant. Comme Cowrie fait semblant d’accepter la connexion, on voit exactement ce que l’attaquant tente ensuite. Le scénario est presque toujours le même, en deux temps.

D’abord, la reconnaissance : le robot cherche à savoir sur quelle machine il est tombé. Les mêmes commandes reviennent des centaines de fois :

uname -s -v -n -r -m        // modèle de noyau et architecture
uname -a                    // informations système complètes
hostname                    // nom de la machine

Ensuite, si la machine semble intéressante, vient la prise de contrôle. Sur cette nuit, un attaquant a tenté d’installer une porte dérobée persistante. La commande capturée est un grand classique, connu dans le milieu sous le nom de « mdrfckr » :

cd ~; chattr -ia .ssh; lockr -ia .ssh
cd ~ && rm -rf .ssh && mkdir .ssh && \
echo "ssh-rsa AAAAB3NzaC1yc2EA...RK+oRw== mdrfckr" \
    >> .ssh/authorized_keys && \
chmod -R go= ~/.ssh && cd ~

Traduite en clair, cette petite ligne est redoutablement efficace. Elle retire d’abord les protections du dossier .ssh, l’efface complètement, puis le recrée en n’y plaçant qu’une seule clé publique : celle de l’attaquant. À partir de là, il peut se reconnecter quand il veut, sans mot de passe, et le propriétaire légitime se retrouve parfois verrouillé hors de sa propre machine. Tout cela en une commande, en une fraction de seconde. Sur une vraie machine mal protégée, ce serait terminé.

D’où viennent ces connexions ?

Vingt-trois pays sur une nuit, mais une répartition très déséquilibrée. Les Pays-Bas écrasent le classement, tirés par le robot dominant hébergé là-bas. Les autres pays reflètent surtout la carte des grands hébergeurs cloud.

Répartition par pays d’hébergement des adresses, pas par pays d’origine réel des attaquants. Un botnet piloté depuis n’importe où loue des serveurs partout dans le monde.

À quoi sert vraiment un pot de miel ?

Au-delà du spectacle, un honeypot a une vraie utilité défensive. Il permet d’observer les méthodes réelles des attaquants sans exposer un seul service important. Il fournit une liste d’adresses hostiles fraîche, que l’on peut réinjecter dans le pare-feu ou dans fail2ban pour bloquer ces mêmes IP sur les vrais services. Et surtout, il rappelle de façon très concrète pourquoi il ne faut jamais laisser un SSH ouvert avec un mot de passe faible : ce que le leurre subit chaque nuit, une machine réelle le subirait tout autant.

Pour finir

En une nuit, huit mille événements, mille mots de passe testés et une porte dérobée tentée : voilà le quotidien invisible de n’importe quel port SSH ouvert sur Internet. Le pot de miel ne rend pas cette réalité plus dangereuse ; il la rend simplement visible. Et une fois qu’on l’a vue de ses propres yeux, on ne configure plus jamais un serveur de la même manière. Un mot de passe solide, une authentification par clé, un port filtré : trois réflexes qui transforment la nuit agitée d’un leurre en une nuit parfaitement calme pour vos vrais services.

73, F4HXN