Maximum Danger
L'IP 101.36.121.88 est une adresse à haut risque provenant de Hong Kong qui a été associée à 208 incidents signalés d'activité malveillante, principalement des attaques par force brute SSH ciblant des serveurs exposés, la plaçant fermement parmi les IP les plus menaçantes observables dans les flux de Threat Intelligence actuels.
Les capteurs honeypot automatisés sur 20 points de détection distincts ont enregistré la majorité de ces rapports en septembre 2025, le réseau étant acheminé via AS62610 sous l'opérateur ZEN-DPS. L'activité rapportée se décompose principalement en catégories Hacking (16 rapports) et SSH-spécifique (4 rapports), indiquant une campagne d'intrusion ciblée plutôt qu'un balayage opportuniste. Malgré le volume substantiel de rapports, la métrique de fréquence d'activité de 0/10 suggère que, bien que l'IP ait des antécédents documentés de comportement hostile, les tentatives soutenues récentes ont peut-être diminué au cours de la période actuelle. L'infrastructure basée à Hong Kong est fréquemment exploitée par les acteurs de la menace en raison de la connectivité de la région avec les principaux points d'échange Internet asiatiques, ce qui en fait une origine commune pour le trafic légitime et malveillant traversant le pourtour du Pacifique.
Le vecteur de menace dominant observé contre les capteurs honeypot est le force brute SSH, une technique où les attaquants tentent systématiquement des identifiants par défaut, faibles ou couramment réutilisés pour obtenir un accès shell aux serveurs Linux et aux équipements réseau. Avec un niveau de menace de 10/10, tout service SSH exposé directement accessible depuis Internet fait face à une menace crédible et active d'accès non autorisé. Au-delà de la simple devinette d'identifiants, une compromission réussie via SSH peut accorder aux attaquants un accès persistant aux réseaux internes, permettant l'exfiltration de données, le déploiement de minage de cryptomonnaie ou l'utilisation de l'hôte compromis comme point pivot pour d'autres attaques.
Les administrateurs doivent immédiatement bloquer ou limiter le débit du trafic provenant de cette IP au niveau du pare-feu ou de l'appareil de bord du réseau, en particulier pour le port de destination 22. Les mesures de durcissement devraient inclure l'application exclusive de l'authentification par clé, la désactivation de la connexion root via SSH, le déplacement du service SSH vers un port non standard et la mise en place d'un outil de blocage automatisé comme fail2ban pour bannir dynamiquement les IP après des échecs d'authentification répétés. Une surveillance continue des journaux d'authentification pour l'IP source 101.36.121.88 est recommandée, et toute connexion réussie doit être traitée comme une violation potentielle nécessitant une réponse aux incidents immédiate.
SG