Significant Threat
Die IP-Adresse 64.62.156.122 ist eine Hochrisiko-Adresse, die aus dem Netzwerk von Hurricane Electric (AS6939) in den Vereinigten Staaten operiert, mit einem Bedrohungslevel von 8/10 und einem Confidence Score von 93%, hauptsächlich verbunden mit anhaltender Hacking-Aktivität und SMTP-Missbrauch, der von automatisierten Honeypot-Sensoren über einen Zeitraum von elf Monaten erkannt wurde.
Systeme zur Sicherheitsüberwachung protokollierten 436 Missbrauchsmeldungen gegen diese IP-Adresse über 20 verschiedene Honeypot-Sensoren, wobei die Aktivität впервые im August 2025 dokumentiert wurde und bis Juni 2026 mit einer Intensität von 8/10 andauerte. Die dominante Bedrohungskategorie ist Hacking (19 aktuelle Meldungen), gefolgt von E-Mail-Spam (2 Meldungen). Erkennungsmechanismen, einschließlich Suricata-Intrusion-Detection-Warnungen, kennzeichneten anomales SMTP-Protokollverhalten, das auf mögliche Spam-Verbreitung oder Reconnaissance-Aktivität hindeutet. Das Volumen und die Konsistenz der Meldungen über nahezu ein Jahr zeigen persistentes, automatisiertes Scanverhalten, das von dieser Adresse ausgeht.
Die mit dieser IP-Adresse verbundene Hacking-Aktivität deutet auf automatisierte Schwachstellenprüfung und Intrusionsversuchmuster hin, die üblicherweise von Botnets oder Bedrohungsakteuren beim Scannen nach exponierten Diensten eingesetzt werden. Der auf Honeypot-Sensoren erkannte SMTP-Missbrauch deutet auf Versuche hin, Mailserver für Spam-Verteilung oder Phishing-Zustellung auszunutzen. Während die Anzahl der Meldungen für E-Mail-Spam relativ gering bleibt, deutet das Vorhandensein einer reinen Protokollerkennung darauf hin, dass der Akteur möglicherweise Mailserver-Konfigurationen testet oder Reconnaissance durchführt, bevor größere Kampagnen gestartet werden. Die anhaltende Häufigkeit der Meldungen über mehrere Erkennungspunkte bestätigt, dass es sich nicht um isolierten oder versehentlichen Datenverkehr handelt.
Netzwerkadministratoren sollten Verbindungen von dieser Adresse auf Firewall-Ebene blockieren oder ratenlimitieren, insbesondere für eingehende SMTP- und SSH-Ports, die typische Ziele für derartige Scan-Aktivitäten sind. Die Implementierung von Intrusion-Detection-Regeln und die Überwachung auf Suricata-ähnliche Protokollanomalien werden dazu beitragen, fortlaufende Probes zu identifizieren. Systeme, die diesem Datenverkehr ausgesetzt sind, sollten starke Authentifizierung durchsetzen, Sicherheitspatches umgehend anwenden und den Einsatz von Verteidigungswerkzeugen wie fail2ban in Betracht ziehen, um wiederholte Verstöße automatisch zu blockieren. Betreiber von E-Mail-Infrastrukturen sollten überprüfen, ob ihre SPF-, DKIM- und DMARC-Konfigurationen korrekt implementiert sind, um Spam abzumildern, der aus dem beobachteten Verhaltensmuster dieses Akteurs stammt oder darauf abzielt.
SE 
NL