Significant Threat
IP 138.68.143.86, registrada en la red de DigitalOcean en Gran Bretaña, presenta un perfil de amenaza de alto riesgo con una puntuación de 8 sobre 10, con 700 informes totales de abuso registrados entre septiembre de 2025 y marzo de 2026. La actividad dominante son intentos de intrusión de piratería informática general, aunque la IP también exhibe características de una plataforma host explotada que se está aprovechando para ataques adicionales. A pesar del volumen sustancial de informes, los sensores automatizados de honeypot detectaron toda la actividad maliciosa con patrones consistentes, lo que sitúa la confianza en la evaluación en el 59 por ciento.
La telemetría de red de AS14061 revela que 20 sensores distintos de honeypot marcaron esta dirección a lo largo de la ventana de informes de seis meses. Los sistemas de detección de intrusiones Suricata identificaron sesiones SSH anormales que operan en puertos no estándar, junto con alertas de firewall CiscoASA que señalan comportamiento de reconocimiento de escaneo de puertos y anomalías de protocolo de capa de aplicación. La combinación de estas firmas indica actividad sistemática de sondeo y explotación en lugar de ruido oportunista. La clasificación de Host Explotado que aparece en dos informes recientes sugiere que la IP puede pertenecer a una instancia de infraestructura en la nube comprometida que está siendo utilizada como arma sin el conocimiento del operador legítimo.
La actividad de piratería informática de esta naturaleza plantea un riesgo concreto para cualquier servicio expuesto, particularmente puntos finales de secure-shell que aceptan conexiones en puertos inesperados. Los atacantes aprovechan dicha infraestructura para realizar credential stuffing, explotación de vulnerabilidades y movimiento lateral después del compromiso inicial. El comportamiento de escaneo de puertos observado aquí típicamente precede a intentos de intrusión más específicos, mapeando servicios abiertos para explotación posterior. La ausencia de conexiones repetidas frecuentes no disminuye la amenaza, ya que incluso infraccciones exitosas singulares pueden otorgar acceso persistente o implementar cargas secundarias en un entorno objetivo.
Los operadores deben bloquear inmediatamente esta IP a nivel de firewall dado su historial malicioso confirmado. Habilitar fail2ban o herramientas equivalentes de fortalecimiento de autenticación en servicios SSH, aplicar autenticación basada en claves y restringir conexiones a rangos de IP conocidos reduce sustancialmente la exposición a ataques basados en credenciales. El monitoreo regular de registros de autenticación para direcciones de origen inusuales y actividad de puertos ayuda a detectar patrones de sondeo tempranamente. Si esta IP se origina en su propia infraestructura, trate la instancia subyacente como comprometida y realice una evaluación forense completa antes de devolverla al servicio.
NL 
CA 
SG 
VN 
ES 
BD 
JP 
BY 
ID 
CH 
LK