Critical Alert
Die IP-Adresse 218.78.131.154 ist eine Hochrisiko-Adresse, die als kompromittierter Host klassifiziert wird, was darauf hindeutet, dass dieses System von Bedrohungsakteuren kompromittiert wurde und ohne Wissen des Eigentümers aktiv als Waffe eingesetzt wird. Mit einem Bedrohungslevel von 10 von 10 und 289 Missbrauchsmeldungen, die ausschließlich von automatisierten Honeypot-Sensoren stammen, über einen Meldezeitraum von August 2025 bis Juni 2026, stellt diese IP-Adresse eine bestätigte Gefahr für jeden exponierten Dienst dar, den sie angreift. Das zugehörige Angriffsmuster betrifft Redis, eine weit verbreitete NoSQL-Datenbank, die häufig angegriffen wird, wenn sie auf Standardports zugänglich bleibt.
Die IP-Adresse stammt aus dem Netzwerk der China Telecom Group (ASN AS4812) in China, und die Kombination aus Meldeaufkommen und der Klassifizierung als kompromittierter Host deutet stark darauf hin, dass diese Maschine zunächst durch eine Redis-Schwachstelle oder Fehlkonfiguration kompromittiert und dann als automatisierte Angriffsplattform umfunktioniert wurde. Trotz der relativ niedrigen Aktivitätsfrequenz von 3 von 10 zeigt die Konsistenz der Meldungen über einen Zeitraum von zehn Monaten eine anhaltende böswillige Absicht. Der Confidence Score von 72 % spiegelt wider, dass die Erkennung ausschließlich aus der Honeypot-Infrastruktur und nicht aus direkten Opferberichten stammte, aber die schiere Anzahl der Meldungen und die konsistente Kategorisierung bieten erhebliche Gründe, diese IP-Adresse als genuin feindlich einzustufen.
Redis-Angriffe nutzen typischerweise Instanzen aus, die mit Standardkonfigurationen ohne Passwort-Authentifizierung oder Bind-Einschränkungen betrieben werden, wodurch Angreifer Daten modifizieren, serverseitige Befehle ausführen oder Nutzlasten bereitstellen können. Ein kompromittierter Host, der Redis-Angriffsmuster nutzt, kann verwendet werden, um Daten aus schlecht gesicherten Redis-Deployments zu exfiltrieren, bösartige Skripte zu injizieren oder Kryptominer-Binärdateien bereitzustellen. Für Netzwerkbetreiber stellt der Datenverkehr, der auf Redis-Ports mit dieser IP-Adresse übereinstimmt, einen sofortigen Eindringversuch dar, der am Perimeter blockiert und auf erfolgreiche Authentifizierungsereignisse auf internen Redis-Instanzen untersucht werden sollte.
Site-Betreiber sollten die IP-Adresse 218.78.131.154 sofort auf der Firewall oder am Netzwerkrand blockieren und alle Redis-Deployments überprüfen, um starke Authentifizierung zu erzwingen, Bind-Adressen auf Loopback-Interfaces zu beschränken und Port-basierte Ratenbegrenzung mit Tools wie fail2ban oder äquivalenten hostbasierten Einbruchserkennungssystemen zu implementieren. Das Scannen interner Assets auf Anzeichen einer erfolgreichen Kompromittierung, die von dieser Quell-IP-Adresse ausgeht, wird dringend empfohlen, und Organisationen, die Redis-Verbindungen aus dem Internet akzeptieren, sollten in Betracht ziehen, diese Dienste hinter VPN-Tunnel zu verlagern oder eine starke Netzwerksegmentierung zu implementieren, um die Exposition zu reduzieren.
GB 
TH