Maximum Danger
L'IP 210.90.155.178, enregistrée sur le réseau AS4766 de Korea Telecom en Corée du Sud, est une adresse à risque critique avec un niveau de menace de 10 sur 10 basé sur 229 rapports d'abus totaux et 82% de confiance en intention malveillante. L'activité dominante liée à cette IP est le SSH brute-force probing, avec 20 capteurs honeypot automatisés récents confirmant des tentatives répétées de compromettre les services SSH exposés par des attaques de devinette d'identifiants sur une fenêtre de rapports s'étendant de novembre 2025 à mai 2026.
Les systèmes de détection honeypot automatisés et pilotés par la communauté ont enregistré cette adresse effectuant des opérations SSH brute-force soutenues, avec des preuves documentées montrant 25 violations contre sshd sur les capteurs honeypot surveillés. Bien que la fréquence d'activité de 4 sur 10 suggère des campagnes d'attaque intermittentes plutôt que continues, le volume de rapports uniques et la nature persistante du comportement observé sur une période de six mois indiquent qu'il ne s'agit pas d'un incident isolé mais plutôt d'un modèle établi de probing systématique. La base de clients résidentiels et d'affaires de Korea Telecom en fait une origine commune pour les endpoints compromis et le trafic d'entreprise légitime, compliquant le filtrage basé uniquement sur la réputation.
Les attaques SSH brute-force représentent l'un des vecteurs d'accès initial les plus courants dans la compromission de serveurs, où les adversaires devinent systématiquement les identifiants faibles ou par défaut pour obtenir un accès shell. L'authentification réussie accorde aux attaquants des capacités d'exécution de code à distance, permettant l'exfiltration de données, le minage de cryptomonnaie, le mouvement latéral dans les réseaux ou le recrutement dans des botnets. La nature automatisée de ces attaques signifie que les services SSH exposés—en particulier ceux écoutant sur les ports par défaut avec l'authentification par mot de passe activée—font face à du credential stuffing automatisé basé sur des dictionnaires 24 heures sur 24.
Les opérateurs ayant des services SSH exposés doivent immédiatement restreindre l'authentification aux mécanismes par clé, changer le port d'écoute par défaut et désactiver la connexion root directe. Le déploiement d'outils de prévention d'intrusion tels que fail2ban peut automatiquement bannir les IPs sources après un seuil de tentatives de connexion échouées, réduisant significativement l'efficacité des campagnes brute-force. La limitation du taux de connexions entrantes vers le port 22 et la surveillance des journaux d'authentification pour des schémas inhabituels ou des taux d'échec élevés renforceront davantage l'exposition. Le blocage ou la limitation du trafic provenant d'AS4766 au niveau du pare-feu périmétrique, particulièrement si la connectivité d'entreprise ne nécessite pas de trafic direct originaire de Corée du Sud, fournit une couche de défense supplémentaire contre cet acteur de menace persistant.
FR 
CM 
JP 
GB