28 000 опита за вход за 4 дни: какво става, когато отвориш Remote Desktop към интернет

Post by **rychy** » Sat Oct 31, 2026 8:32 am

28 000 опита за вход за 4 дни

Наскоро на един от нашите компютри се случи нещо, което много хора познават: Windows спря да пуска собственика да влезе. Паролата беше вярна, но системата отговаряше, че акаунтът е заключен.

Причината не беше забравена парола. Някой отвън се опитваше да влезе.

Какво открихме

За отдалечена работа Remote Desktop (RDP) беше отворен директно към интернет, на нестандартен порт. Много хора смятат, че така е „скрит“. Не е.

В журнала на Windows (Event Viewer → Security) имаше:

около 28 000 неуспешни опита за вход за 4 дни, средно по един на всеки 12 секунди, денем и нощем
десетки различни IP адреси от различни държави
често използвани имена: administrator, admin, user, test, но и истинското име на потребителя

Windows има защита: след 10 грешни опита за 10 минути заключва акаунта. Тя спря атаката, но заключи и собственика. Акаунтът е бил заключван 7 пъти.

Добрата новина: нямаше нито един успешен вход отвън.

Защо „нестандартен порт“ не помага

Ботовете сканират целия интернет, всички портове, постоянно. Отворен RDP се намира за минути до часове, независимо дали е на 3389 или на произволен друг порт. Смяната на порта намалява малко шума, но не е защита.

Какво направихме

Затворихме порта в рутера. Атаките спряха веднага.
Пуснахме RDP само през VPN (WireGuard). Компютърът вече не се вижда от интернет. Телефонът или лаптопът първо се свързват към VPN-а и чак тогава към Remote Desktop.
VPN-ът пуска до компютъра само конкретни устройства, не всеки, който се свърже.

Резултат: 0 опита за вход оттогава, а достъпът от телефона работи както преди.

Как да проверите дали и вас ви атакуват

В Windows: Event Viewer → Windows Logs → Security, филтър по Event ID 4625 (неуспешен вход). Ако виждате стотици записи с чужди IP адреси, значи RDP-то ви е открито.

Съвети накратко

Никога не отваряйте RDP (3389) или SSH (22) директно към интернет, ако не е абсолютно нужно.
Използвайте VPN (WireGuard е безплатен, бърз и лесен) или поне ограничете достъпа до конкретни IP адреси.
Включете заключване на акаунта след няколко грешни опита. В Windows е включено по подразбиране.
Дълга, уникална парола. При SSH още по-добре е вход с ключ.
Проверявайте журнала от време на време.

А при VPS?

Същото важи за всеки сървър в интернет.

При нашите Linux VPS можете да изберете безплатната добавка „Защита на сървъра“. Тя пуска само нужните портове, забранява root вход по SSH, ограничава опитите за вход и включва автоматичните обновления.
При Windows VPS използвайте дълга, уникална парола, сменете я след първия вход и не я използвайте никъде другаде.

Имали ли сте подобен случай? Пишете в темата