Maximum Danger
L'IP 185.55.240.152, attribuée à Layer7 Networks GmbH en Allemagne sous l'ASN AS199912, présente un niveau de menace critique de 10/10 basé sur 458 rapports d'abus générés par 20 capteurs honeypot automatisés entre février et mars 2026. L'adresse est classifiée comme hôte exploité, indiquant un serveur compromis et armé pour une activité malveillante sans la connaissance du propriétaire.
Les données de détection révèlent un comportement hostile soutenu, avec des capteurs automatisés à travers la communauté réseau documentant des tentatives d'exploitation répétées ciblant des vulnérabilités connues. Les signatures Suricata ont identifié des tentatives contre l'API SolarWinds Orion (CVE-2020-10148), l'outil de traçage Sar2HTML pour serveurs Linux, et les produits DrayTek susceptibles d'exécution de code à distance pré-authentification (CVE-2020-8515). De plus, les honeypots ont enregistré des tentatives de connexion ciblées IoT et des modèles de répétition d'en-têtes HTTP anormaux. Les 458 rapports provenant de 20 sources de capteurs distinctes démontrent une activité persistante et systématique de balayage et d'exploitation plutôt que des sondes isolées.
La classification « hôte exploité » signifie que cette IP représente un élément d'infrastructure compromis servant désormais de plateforme d'attaque. Le propriétaire de ce système hébergé en AllemagneIgnore très probablement que son actif participe à des campagnes d'attaque mondiales. Les signatures d'exploitation diverses suggèrent des toolkit automatisés déployant plusieurs modules de vulnérabilité contre les services exposés à Internet. Les organisations utilisant SolarWinds, DrayTek, ou une infrastructure d'entreprise similaire font face à un risque d'intrusion direct si elles sont exposées à cette source. Les IPs d'hébergement compromises font également fréquemment tourner les vecteurs d'attaque, ce qui signifie que les signatures d'exploitation d'aujourd'hui peuvent différer de celles de demain.
Les opérateurs de sites doivent bloquer immédiatement 185.55.240.152 au niveau des dispositifs de périmètre réseau et implémenter des ensembles de règles fail2ban ou équivalentes correspondant aux modèles d'attaque observés. Assurez-vous que toutes les applications SolarWinds, DrayTek et exposées au web maintiennent les correctifs de sécurité actuels, particulièrement pour les CVE identifiés. Si cette IP apparaît dans les journaux de connexions entrantes, traitez-la comme une tentative de compromission confirmée et auditez les systèmes affectés pour rechercher des indicateurs d'accès antérieur. Les fournisseurs d'hébergement et opérateurs réseau recevant des notifications d'abus doivent vérifier si les VMs ou instances bare-metal des clients ont été compromises et nécessitent une remédiation.
FR 
GB 
JP 
RO 
LV 
KR 
TH