High Risk
L'IP 112.216.129.27 est une adresse à haut risque provenant de Corée du Sud, exploitée par LG DACOM Corporation sur l'ASN AS3786, avec un niveau de menace de 8/10 basé sur 431 rapports d'abus et une activité de brute-force SSH confirmée. L'IP a été signalée pour la première fois en septembre 2025 et est restée active jusqu'en mars 2026, avec des capteurs honeypot sur 20 points de détection distincts enregistrant un trafic malveillant constant tout au long de cette période de six mois.
Le volume de rapports de 431 incidents, bien qu'attribué aux systèmes de détection automatisés de honeypot, reflète un comportement de reconnaissance soutenu de cette source unique. Les données du honeypot montrent des violations multi-jails répétées, indiquant que la même source a déclenché à plusieurs reprises des réponses défensives sur différentes catégories de détection. Les comptages de violations des journaux des logiciels défensifs incluent plusieurs dizaines à près de deux cents par événement, soulignant une campagne d'attaque automatisée et persistante plutôt qu'un balayage isolé. La faible fréquence d'activité associée à un volume élevé de rapports suggère que les attaques sont ciblées et méthodiques plutôt que du bruit à haut volume, ce qui est cohérent avec les opérations de credential-stuffing qui privilégient la furtivité au débit.
L'activité de brute-force SSH implique des systèmes automatisés testant systématiquement les identifiants d'authentification contre les services SSH exposés, exploitant les mots de passe faibles ou par défaut pour obtenir un accès non autorisé au serveur. Les schémas de récidive dans les données de détection indiquent que les mesures défensives initialement appliquées n'ont pas dissuadé définitivement la source, lui permettant de reprendre ses attaques à plusieurs reprises. Une compromission réussie d'un service SSH accorde aux attaquants un accès shell, permettant le vol de données, le mouvement latéral dans les réseaux ou le déploiement de charges secondaires telles que des backdoors ou des mineurs de cryptomonnaie. Tout service SSH exposé sur Internet sans authentification renforcée constitue un point d'entrée potentiel pour cette catégorie de menace.
Les administrateurs doivent bloquer cette IP au niveau du pare-feu du périmètre réseau et mettre en place des outils défensifs automatisés tels que fail2ban pour bannir les contrevenants récidivistes après des violations de seuil configurables. L'authentification par clé doit remplacer l'accès SSH par mot de passe seul, et le port SSH par défaut doit être modifié pour réduire le ciblage automatisé. L'authentification multi-facteurs fournit une couche supplémentaire contre la compromission par identifiants, tandis que la limitation du taux de tentatives d'authentification par source atténue la faisabilité du brute-force. La surveillance continue des journaux d'authentification pour détecter les schémas cohérents avec l'activité décrite ici permettra une identification et une réponse rapides aux menaces similaires.
RO