Critical Alert
IP 218.157.163.203 est une adresse à haut risque provenant de Corée du Sud qui a été liée à des tentatives d'intrusion persistantes par force brute SSH, accumulant 319 rapports d'abus distincts provenant de capteurs honeypot automatisés sur une période d'observation de huit mois se terminant en mai 2026. Avec un niveau de menace évalué au maximum de 10/10, cette IP représente une menace d'attaque automatisée claire et en cours ciblant les services Secure Shell exposés dans le monde entier.
Les données de détection montrent 319 rapports totaux soumis par 20 capteurs honeypot automatisés séparés, la catégorie de menace dominante étant l'activité de hacking générale comptant 19 rapports récents, complétée par 2 rapports spécifiques SSH. Malgré une fréquence d'activité déclarée de 0/10, le volume considérable de rapports historiques et la cote de menace maximale de l'IP indiquent un comportement de probe hostile soutenu pendant la période de septembre 2025 à mai 2026. Géographiquement, l'adresse trace vers la Corée du Sud opérant sous l'ASN AS4766 (Korea Telecom), un opérateur national majeur dont l'infrastructure est fréquemment abusée comme point de transit pour les campagnes d'attaque automatisées en raison de son vaste pool d'allocation IP.
Les attaques par force brute SSH représentent l'un des vecteurs d'accès initial les plus courants employés par les threat actors pour compromettre les serveurs. Les attaquants automatisent systématiquement les tentatives de connexion contre le service SSH, encyclant à travers les combinaisons d'identifiants jusqu'à ce que des mots de passe faibles ou par défaut permettent l'accès. Une compromission réussie accorde à l'attaquant un point d'appui sur le système cible, permettant potentiellement l'exfiltration de données, le mouvement latéral à travers le réseau, le déploiement de backdoors persistantes ou l'inclusion dans des botnets. Les signatures de détection d'intrusion Suricata ont confirmé des tentatives actives d'établissement de session SSH cohérentes avec un comportement de devinette d'identifiants, soulignant le risque concret pour tout daemon SSH exposé acceptant l'authentification par mot de passe.
Les opérateurs de sites exposant les services SSH doivent immédiatement mettre en œuvre des contrôles défensifs pour neutraliser ce vecteur de menace. Passer à l'authentification par clé élimine entièrement la surface d'attaque par devinette de mot de passe, tandis que des outils tels que fail2ban peuvent automatiquement bloquer les IPs après un seuil configurable de tentatives de connexion échouées. Changer le port d'écoute SSH par défaut réduit le scan opportuniste, et désactiver la connexion root directe force les attaquants à compromettre d'abord un compte privilégié intermédiaire. Les organisations doivent en outre appliquer des politiques de mots de passe forts, maintenir des cycles de correctifs réguliers et surveiller les journaux d'authentification pour les modèles cohérents avec les campagnes par force brute. Bloquer ou limiter le débit du trafic provenant de cette IP au niveau du pare-feu fournit une couche de protection supplémentaire contre la probe continue.
SG 
AE 
RU 
VN 
BE 
PH 
ID