Significant Threat
L'IP 138.68.143.86, enregistrée sur le réseau de DigitalOcean en Grande-Bretagne, présente un profil de menace à haut risque avec un score de 8 sur 10, avec 700 rapports d'abus totaux enregistrés entre septembre 2025 et mars 2026. L'activité dominante est des tentatives d'intrusion de piratage général, bien que l'IP présente également des caractéristiques d'une plateforme host exploitée utilisée pour d'autres attaques. Malgré le volume substantiel de rapports, les capteurs honeypot automatisés ont détecté toute l'activité malveillante avec des modèles cohérents, plaçant la confiance dans l'évaluation à 59 pour cent.
La télémétrie réseau d'AS14061 révèle que 20 capteurs honeypot distincts ont signalé cette adresse sur la fenêtre de rapport de six mois. Les systèmes de détection d'intrusion Suricata ont identifié des sessions SSH anormales fonctionnant sur des ports non standard, junto con alertas del cortafuegos CiscoASA signalant le comportement de reconnaissance de balayage de ports et les anomalies de protocole de la couche application. La combinaison de ces signatures indique une activité de probing et d'exploitation systématique plutôt que du bruit opportuniste. La classification Exploited Host apparaissant dans deux rapports récents suggère que l'IP peut appartenir à une instance d'infrastructure cloud compromise utilisée sans la connaissance de l'opérateur légitime.
L'activité de piratage de cette nature pose un risque concret pour tout service exposé, en particulier les terminaux secure-shell acceptant des connexions sur des ports inattendus. Les attaquants utilisent cette infrastructure pour effectuer du credential stuffing, l'exploitation de vulnérabilités et du lateral movement après la compromission initiale. Le comportement de port-scanning observé ici précède généralement des tentatives d'intrusion plus ciblées, cartographiant les services ouverts pour une exploitation ultérieure. L'absence de connexions répétées fréquentes ne diminue pas la menace, car même des violations réussies singulières peuvent accorder un accès persistant ou déployer des charges utiles secondaires dans un environnement cible.
Les opérateurs de sites doivent bloquer immédiatement cette IP au niveau du pare-feu compte tenu de son historique malveillant confirmé. L'activation de fail2ban ou d'outils équivalents de durcissement de l'authentification sur les services SSH, l'application de l'authentification par clé et la restriction des connexions aux plages d'IP connues réduisent substantiellement l'exposition aux attaques basées sur les identifiants. La surveillance régulière des logs d'authentification pour des adresses source inhabituelles et l'activité des ports aide à détecter les modèles de probing tôt. Si cette IP provient de votre propre infrastructure, traite l'instance sous-jacente comme compromise et mène une évaluation forensique complète avant de la remettre en service.
NL 
CA 
SG 
VN 
ES 
BD 
JP 
BY 
ID 
CH 
LK