Кратко

  • За неделю RDP-приманка APNIC получила 25,6 млн попыток соединения от 6 637 разных IP-адресов — в среднем почти 3 900 попыток на адрес.
  • Это повторные обращения к службе удалённого доступа. APNIC не опубликовала число успешных аутентификаций в этой выборке RDP.

У любого бесхозного сервиса найдётся звонящий, который принимает настойчивость за черту характера. RDP-приманка APNIC услышала от 6 637 разных IP-адресов. За семь дней они набрали 25,6 млн раз.

Данные собрал OpenCanary — honeypot, который имитирует службы удалённого доступа и базы данных. Обновлённая Honeynet APNIC наблюдала за трафиком с 21 по 27 сентября 2026 года. По числу исходных IP-адресов Remote Desktop Protocol (RDP) оказался самым востребованным сервисом OpenCanary. У Microsoft SQL Server было 3 598 адресов, у VNC — 3 179.

Число попыток делает RDP интереснее самого списка адресов. 6 637 IP сгенерировали 25,6 млн подключений — в среднем почти по 3 900 за неделю на каждый адрес. VNC получил 4,2 млн попыток от менее чем половины такого числа IP. Иными словами, объём RDP-подключений был примерно в шесть раз выше, чем у VNC, а число источников — примерно вдвое. APNIC называет эту активность устойчивой: обнаружив открытый сервис, источники возвращались.

Это не счётчик успешных входов. APNIC указала общее число попыток подключения к RDP, но не число аутентифицированных сеансов. Почти 3 900 попыток на IP — среднее значение; распределение по адресам в отчёте не приведено. И один IP не равен одному человеку или устройству: адрес может смениться, а за общей инфраструктурой могут стоять несколько устройств. Измерено давление на приманку, а не население с переписными листами.

Зачем смотреть на поддельный рабочий стол? Потому что приманка копирует реальный вход для администрирования. RDP позволяет управлять машиной удалённо; если слушатель открыт всему Интернету, сканеры тоже его найдут. Руководство CISA #StopRansomware советует не выставлять RDP в публичный Интернет. Когда удалённый доступ необходим, CISA рекомендует ограничивать исходные сети, ставить перед сервисом VPN или защищённый шлюз, требовать многофакторную аутентификацию, следить за журналами RDP и блокировать учётные записи после заданного числа попыток.

Эта выборка APNIC не показывает состоявшийся взлом. Она показывает, сколько раз в открытую дверь стучат повторно. В рабочей панели стоит разделить четыре показателя: разные IP-источники, попытки соединения, ошибки аутентификации и принятые сеансы. Первые два показывают, кто дошёл до двери и как часто. Последние два — прошёл ли кто-нибудь дальше. Если свести всё к одной цифре «атаки», журнал получится внушительный, а отчёт об инциденте — плохой.

Не хватает двух конкретных записей: APNIC не опубликовала ни число успешных входов RDP, ни сопоставимую вторую неделю. Ещё одна неделя с тем же сенсором и временным окном показала бы, был ли это всплеск или обычный фоновый шум. Практическое решение уже видно. Если публичный RDP не нужен — закройте публичный вход. Если нужен — поставьте перед ним контролируемый шлюз и считайте, что проходит внутрь.

У публичного Интернета нет администратора на входе. Эту смену придётся закрыть межсетевому экрану.

Источники: недельный отчёт APNIC о Honeynet; программа APNIC Honeynet; руководство CISA #StopRansomware.