Maximum Danger
Die IP-Adresse 210.90.155.178, die im AS4766-Netzwerk von Korea Telecom in Südkorea registriert ist, ist eine Adresse mit kritischem Risiko mit einer Bedrohungsstufe von 10 von 10, basierend auf 229 gemeldeten Missbrauchsfällen und einer Konfidenz von 82% hinsichtlich bösartiger Absicht. Die dominierende Aktivität, die mit dieser IP-Adresse verknüpft ist, ist SSH Brute-Force-Probing, wobei 20 aktuelle automatisierte Honeypot-Sensoren wiederholte Versuche bestätigen, exponierte SSH-Dienste durch Credential-Guessing-Angriffe während eines Berichtszeitraums von November 2025 bis Mai 2026 zu kompromittieren.
Von der Community gesteuerte und automatisierte Honeypot-Erkennungssysteme haben protokolliert, dass diese Adresse nachhaltige SSH Brute-Force-Operationen durchführte, wobei dokumentierte Beweise 25 Verstöße gegen sshd auf überwachten Honeypot-Sensoren zeigen. Während die Aktivitätshäufigkeit von 4 von 10 auf intermittierende und nicht kontinuierliche Angriffskampagnen hindeutet, zeigen das Volumen der eindeutigen Meldungen und die hartnäckige Natur des beobachteten Verhaltens über einen Zeitraum von sechs Monaten, dass es sich nicht um einen isolierten Vorfall handelt, sondern um ein etabliertes Muster systematischer Sondierung. Die Kundenbasis von Korea Telecom im Residential- und Business-Bereich macht sie zu einer häufigen Ursprungsquelle sowohl für kompromittierte Endpunkte als auch für legitimen Unternehmensdatenverkehr, was eine rein reputationsbasierte Filterung erschwert.
SSH Brute-Force-Angriffe stellen einen der häufigsten Initialzugriffsvektoren bei Serverkompromittierungen dar, bei denen Gegner systematisch schwache oder Standard-Anmeldedaten erraten, um Shell-Zugriff zu erlangen. Eine erfolgreiche Authentifizierung gewährt Angreifern Remote-Code-Execution-Fähigkeiten, die Datenexfiltration, Kryptowährungs-Mining, laterale Bewegung innerhalb von Netzwerken oder Rekrutierung in Botnets ermöglichen. Die automatisierte Natur dieser Angriffe bedeutet, dass exponierte SSH-Dienste – insbesondere solche, die auf Standard-Ports lauschen und kennwortbasierte Authentifizierung aktiviert haben – rund um die Uhr Wörterbuch-basierter Credential-Stuffing-Angriffe ausgesetzt sind.
Betreiber mit exponierten SSH-Diensten sollten umgehend die Authentifizierung auf schlüsselbasierte Mechanismen beschränken, den Standard-Listening-Port ändern und direktes Root-Login deaktivieren. Der Einsatz von Intrusion-Prevention-Tools wie fail2ban kann nach einem Schwellenwert fehlgeschlagener Anmeldeversuche automatisch Quell-IP-Adressen sperren und die Effektivität von Brute-Force-Kampagnen erheblich reduzieren. Die Ratenbegrenzung eingehender Verbindungen zu Port 22 und die Überwachung von Authentifizierungsprotokollen auf ungewöhnliche Muster oder hohe Fehlerraten werden die Exposition weiter härten. Das Blockieren oder Drosseln von Datenverkehr, der aus AS4766 stammt, an der Perimeter-Firewall – insbesondere wenn keine geschäftliche Konnektivität mit direktem südkoreanischem Ursprungsverkehr erforderlich ist – bietet eine zusätzliche Verteidigungsschicht gegen diesen hartnäckigen Bedrohungsakteur.
JP 
IR 
GB