Maximum Danger
IP 106.225.133.217 ist eine Adresse mit kritischem Risiko, die mit 166 Missbrauchsmeldungen in Verbindung gebracht wird und als kompromittierter Host klassifiziert ist, was darauf hindeutet, dass dieses System kompromittiert wurde und ohne Wissen seines Besitzers für bösartige Aktivitäten eingesetzt wird.
Gemäß aggregierter Meldungen von 20 automatisierten Honeypot-Sensoren, die sich über August 2025 bis April 2026 erstrecken, wurde diese chinesische IP-Adresse (AS134238, betrieben von CHINANET Jiangxi province IDC network) überwiegend wegen kompromittierter Host-Aktivität und allgemeiner Hacking-Einbruchsversuche markiert. Der Confidence Score von 64% spiegelt eine teilweise Sicherheit bei der Zuordnung angesichts der Anzahl unabhängiger Erkennungen wider. Trotz des extrem niedrigen Activity Frequency Score von 0/10 zeichnet die schiere Anzahl unterschiedlicher Meldungen über mehrere Erkennungsquellen hinweg ein konsistentes Bild einer laufenden Kompromittierung. Die IDC-Infrastruktur des Netzwerkbetreibers deutet darauf hin, dass diese IP wahrscheinlich zu einer gemieteten Cloud- oder Rechenzentrumsinstanz gehört, einer häufigen Hosting-Umgebung sowohl für kompromittierte Opfermaschinen als auch für vom Angreifer kontrollierte Knoten.
Der dominierende Angriffsvektor, der gegen diese IP beobachtet wurde, umfasst Redis-Server-Exploiting-Versuche, spezifisch das Generieren von Suricata-Alerts für Stream-Pakete mit ungültigen Zeitstempeln. Dieses Muster deutet darauf hin, dass das kompromittierte System aktiv Redis-Instanzen abtastet oder auszunutzen versucht, wahrscheinlich als Teil einer koordinierten Kampagne zur Kompromittierung zusätzlicher Infrastruktur. Als kompromittierter Host stellt diese Maschine eine doppelte Bedrohung dar: Sie bleibt ein Opfer, das von seinem Besitzer bereinigt werden muss, während sie gleichzeitig als Angriffsplattform dient, die jeden exponierten Redis-Dienst gefährdet, der von ihrer Netzwerkposition aus erreichbar ist.
Site-Betreiber mit öffentlich zugänglichen Redis-Deployments sollten diese IP-Adresse sofort am Netzwerkperimeter blockieren und Verbindungsauthentifizierungsanforderungen implementieren. Der Einsatz von Intrusion-Detection-Regeln und die Verwendung von Tools wie fail2ban zur dynamischen Blockierung von Wiederholungstätern bieten mehrschichtige Verteidigung gegen die beobachteten Exploiting-Muster. Netzwerkverteidiger sollten Redis-Zugriffsprotokolle auf ähnliche ungültige Zeitstempelsignaturen prüfen und sicherstellen, dass Instanzen niemals ohne Passwortschutz oder Netzwerk-Level ACLs untrusted Netzwerken ausgesetzt werden.
SG 
TR 
AE 
ID 
OM