Critical Alert
Die IP 107.173.112.54 ist eine kritische Risiko-Adresse, die aus einer US-basierten Hosting-Infrastruktur operiert, mit einer Bedrohungsstufe von 10/10 und einem Confidence Score von 94%, verknüpft mit anhaltender Hacking-Aktivität, die auf 20 automatisierten Honeypot-Sensoren über ungefähr drei Monate im frühen Jahr 2026 erkannt wurde. Mit 550 gemeldeten Missbrauchsfällen und einer Aktivitätsfrequenz von 8/10 zeigt diese IP persistentes, hochvolumiges bösartiges Verhalten, das eine erhebliche Gefahr für alle exponierten Netzwerkdienste darstellt.
Die Adresse ist zurückverfolgbar zu HostPapa unter ASN AS36352, einem Web-Hosting-Anbieter, dessen Infrastruktur mit Missbrauchsaktivität in Threat-Intelligence-Datenbanken in Verbindung gebracht wurde. Die IP wurde erstmals im März 2026 gemeldet und blieb bis Mai 2026 aktiv, was auf eine nachhaltige Kampagne hindeutet, anstatt auf eine vorübergehende Sondierung. Erkennungsdaten zeigen, dass die dominierende Bedrohungskategorie allgemeine Hacking-Aktivität ist, die sich spezifisch als TCP-Stream-Manipulationsmuster manifestiert, die von Intrusion-Detection-Sensoren erkannt wurden. Die Suricata-Alarm-Signatur „SURICATA STREAM spurious retransmission" deutet auf Anomalien bei der TCP-Sitzungshandhabung hin, eine Technik, die häufig während Reconnaissance-Phasen, Sitzungsübernahmeversuchen oder Ausnutzung von verwundbaren Diensten eingesetzt wird. Die 550 aggregierten Berichte über die Honeypot-Infrastruktur bestätigen, dass dies kein isolierter Vorfall ist, sondern systematische, automatisierte offensive Operationen.
Das Verhalten der spurious Retransmission deutet darauf hin, dass der Akteur TCP-Streams manipuliert, um die Effektivität von Firewall-Regeln zu sondieren, die Erkennung zu umgehen oder footholds für nachfolgende Ausnutzungsstufen zu etablieren. In Kombination mit der Klassifizierung als „Hacking-Aktivität" deutet dieses Muster darauf hin, dass die IP wahrscheinlich automatisierte Ausnutzungs-Toolkits oder Scanner betreibt, die auf verwundbare Dienste auf zufälligen internet-facing Hosts abzielen. Das Volumen der Berichte bestätigt, dass dies keine manuellen Sonden sind, sondern koordinierte, hochfrequente Angriffe, die darauf ausgelegt sind, ein breites Netz über potenzielle Opfer zu werfen.
Netzwerkverteidiger sollten sofort Verkehr von dieser IP auf Firewall-Ebene blockieren oder ratelimitieren und Logs auf etwaiges zugehöriges Scan-Verhalten überwachen, das auf die eigene Infrastruktur abzielt. Die Implementierung einer automatisierten Blockierung über Sicherheitstools wie fail2ban kann dynamisch auf wiederholte Verbindungsversuche reagieren. Exponierte Dienste sollten auf unnötige offene Ports überprüft und gegen bekannte Verwundbarkeiten gepatcht werden. Die Aktivierung strikter TCP-stateful Packet Inspection und die Konfiguration von Intrusion-Detection-Systemen, um auf anomales Stream-Verhalten zu alarmieren, wird die Exposition gegenüber diesem Bedrohungsvektor weiter reduzieren.
FR 
BG 
UA