Critical Alert
IP 36.99.41.23 est une adresse à risque critique provenant de Luoyang, province du Henan, en Chine, définitivement identifiée comme un hôte exploité effectuant des interactions Redis non autorisées contre des capteurs honeypot, avec 160 rapports d'abus déposés via des systèmes de détection automatisés entre septembre et novembre 2025.
L'IP opère dans AS137687 et a accumulé ces rapports avec un score de confiance de 69%, indiquant une certitude forte mais non absolue dans l'attribution. Le volume élevé de rapports malgré la métrique de fréquence d'activité nulle suggère que cette adresse était hautement active durant la fenêtre septembre-novembre 2025 mais est depuis devenue dormante, possiblement en raison d'efforts de suppression, de rotation vers une infrastructure alternative, ou d'une remediation réussie par l'opérateur réseau d'origine. Vingt de ces rapports catégorisent spécifiquement l'activité comme celle d'un hôte exploité, ce qui signifie que le système source était presque certainement compromis et était contrôlé à distance sans la connaissance ou le consentement du propriétaire. Le pattern d'attaque Redis détecté indique des tentatives d'exploitation de déploiements Redis non sécurisés, typiquement ciblant des instances exposées pour atteindre l'exécution de code via des scripts Lua malveillants, l'injection de clés SSH ou la manipulation de cron jobs.
Les hôtes exploités posent des risques distincts comparés à l'infrastructure d'attaque directement opérée car ils représentent des systèmes appartenant à des victimes inconscientes qui ont été weaponized, ce qui signifie que le véritable propriétaire peut ne pas savoir que ses ressources sont utilisées de manière malveillante. L'exploitation de Redis peut spécifiquement mener à un compromis complet du système, à l'exfiltration de données, ou à l'utilisation de l'hôte compromis comme point pivot pour une intrusion réseau ultérieure. Les organisations avec des instances Redis exposées à Internet devraient vérifier que l'authentification est activée, que le binding est restreint à localhost uniquement, et que l'exposition réseau est minimisée pour prévenir l'exécution de commandes non autorisées.
Les opérateurs de sites devraient bloquer l'IP 36.99.41.23 au périmètre réseau et implémenter fail2ban ou des outils similaires de blocage dynamique pour atténuer automatiquement les sondages continus. La mise à niveau de Redis vers la dernière version stable, la désactivation des commandes dangereuses, et l'utilisation de règles de pare-feu pour restreindre l'accès aux ports Redis sont des mesures défensives critiques. Les organisations recevant des rapports d'abus pour cette adresse devraient envisager de notifier le fournisseur d'hébergement dans AS137687 afin que le propriétaire du système compromis puisse être alerté et qu'une remediation soit initiée. La surveillance continue des journaux d'accès Redis pour des commandes suspectes depuis cette plage d'IP et l'implémentation de la segmentation réseau pour limiter le potentiel de mouvement latéral sont également recommandées.
