Отчёт по IP-адресу
193.109.221.231
ABUSE.MOM — ВЕДИ СЕБЯ ПРИЛИЧНО ИЛИ БУДЕШЬ РАЗОБЛАЧЁН
Геолокация и классификация
Сработавшие сигнатуры
| Сигнатура | Описание | Баллы | Опасность |
|---|---|---|---|
| Danger medium hits: 4 | Запросы к админ-панелям, файлам конфигурации | +40 | |
| Probe pattern 302->404 same path | Поведенческая аномалия обнаружена автоматически | +20 | |
| Foreign referer seen | Referer с постороннего внешнего домена | +10 |
Зафиксированная активность
Реконструированные HTTP-запросы из серверных логов. Целевые домены скрыты в целях безопасности.
* Typical request patterns for detected signatures. Actual target domains are redacted.
Хронология
Сетевой провайдер
Рекомендации
Предпринятые и рекомендуемые меры
- IP 193.109.221.231 заблокирован на уровне приложения (HTTP 403)
- Рекомендуется блокировка на уровне файрвола (iptables/CSF)
- В подсети /24 обнаружены другие вредоносные IP — рассмотрите блокировку 193.109.221.0/24
- Направьте жалобу провайдеру через abuse-контакт
- Убедитесь, что файлы (.env, .git, бэкапы) недоступны из веба
🔎 Защита от сканирования каталогов
IP 193.109.221.231 перебирает директории. Настройте fail2ban джейл apache-404 после 10+ ошибок 404. Отключите листинг директорий. Унифицируйте все ответы 404.
Соседи в 193.109.221.0/24
Другие заблокированные IP из той же подсети /24 — признак систематического злоупотребления.
Открытые порты и сервисы
Данные сетевой разведки Shodan. Открытые порты могут указывать на работающие сервисы, неправильную конфигурацию или поверхность атаки.
| Port | Service | Risk | Description |
|---|---|---|---|
| 3389 | RDP | High | Remote Desktop Protocol — primary target for ransomware attacks |
| 5432 | PostgreSQL | High | PostgreSQL database — direct database access risk |
| 6000 | Unknown | Low | Service on port 6000 |
| 6002 | Unknown | Low | Service on port 6002 |
| 6008 | Unknown | Low | Service on port 6008 |
| 6348 | Unknown | Low | Service on port 6348 |
| 6379 | Redis | Critical | Redis in-memory database — frequently misconfigured without auth |
| 6400 | Unknown | Low | Service on port 6400 |
| 6405 | Unknown | Low | Service on port 6405 |
| 6432 | Unknown | Low | Service on port 6432 |
| 6433 | Unknown | Low | Service on port 6433 |
| 6440 | Unknown | Low | Service on port 6440 |
| 6443 | Unknown | Low | Service on port 6443 |
| 6955 | Unknown | Low | Service on port 6955 |
| 7000 | Unknown | Low | Service on port 7000 |
| 7001 | Unknown | Low | Service on port 7001 |
| 7002 | Unknown | Low | Service on port 7002 |
| 7003 | Unknown | Low | Service on port 7003 |
| 7004 | Unknown | Low | Service on port 7004 |
| 7005 | Unknown | Low | Service on port 7005 |
| 7006 | Unknown | Low | Service on port 7006 |
| 7007 | Unknown | Low | Service on port 7007 |
| 7010 | Unknown | Low | Service on port 7010 |
| 7012 | Unknown | Low | Service on port 7012 |
| 7015 | Unknown | Low | Service on port 7015 |
| 7016 | Unknown | Low | Service on port 7016 |
| 7018 | Unknown | Low | Service on port 7018 |
| 7020 | Unknown | Low | Service on port 7020 |
| 7021 | Unknown | Low | Service on port 7021 |
| 7022 | Unknown | Low | Service on port 7022 |
| 7025 | Unknown | Low | Service on port 7025 |
| 7050 | Unknown | Low | Service on port 7050 |
| 7057 | Unknown | Low | Service on port 7057 |
| 7071 | Unknown | Low | Service on port 7071 |
| 7082 | Unknown | Low | Service on port 7082 |
| 7084 | Unknown | Low | Service on port 7084 |
| 7086 | Unknown | Low | Service on port 7086 |
| 7087 | Unknown | Low | Service on port 7087 |
| 7088 | Unknown | Low | Service on port 7088 |
| 7090 | Unknown | Low | Service on port 7090 |
| 7100 | Unknown | Low | Service on port 7100 |
| 7105 | Unknown | Low | Service on port 7105 |
| 7171 | Unknown | Low | Service on port 7171 |
| 7172 | Unknown | Low | Service on port 7172 |
| 7173 | Unknown | Low | Service on port 7173 |
| 7218 | Unknown | Low | Service on port 7218 |
| 8502 | Unknown | Low | Service on port 8502 |
| 9001 | Unknown | Low | Service on port 9001 |
⚠️ Обнаружено 3 портов высокого риска на 193.109.221.231. Открытый RDP (3389) — основная точка входа для атак программ-вымогателей. Открытые порты баз данных указывают на возможный риск утечки данных. Эти сервисы не должны быть публично доступны без строгих правил файрвола.
Источник: Shodan InternetDB. Сканирование независимо от abuse.mom.
Статус в чёрных списках (DNSBL)
Этот IP проверен по основным DNS-чёрным спискам, используемым почтовыми серверами и файрволами по всему миру.
Проверено: Spamhaus, SpamCop, Barracuda, SORBS, CBL, UCEProtect. Результаты могут меняться.
Анализ угрозы
193.109.221.231 получил оценку угрозы 70/100 (Высокий). Это классифицирует его как угрозу высокой степени. Рекомендуется превентивная блокировка для критичной инфраструктуры.
Обнаружены следующие категории атак:
📊 Threat Analysis
IP-адрес 193.109.221.231 отслежен до West Bend, United States, работающий в сети PureVoltage Hosting Inc.. Наши системы обнаружения угроз пометили этот адрес на основе наблюдаемых паттернов вредоносного поведения. За период в 1 дней этот IP сгенерировал 1 вредоносных запросов, в среднем ~1 запросов в день. Работая из инфраструктуры дата-центра, этот IP типичен для адресов, используемых в организованных атакующих операциях. Облачные и VPS-провайдеры часто эксплуатируются как стартовые площадки для автоматического сканирования. IP демонстрирует поведение перебора директорий, систематически запрашивая несуществующие пути для обнаружения скрытых файлов и неправильно настроенных ресурсов. Наши записи показывают 199 вредоносных IP, исходящих из United States, что позиционирует её как значительным источник глобальной угрозы. Оценка 70/100 указывает на подтверждённого вредоносного агента. Блокировка на сетевом уровне уместна.
Этот IP принадлежит хостинг-провайдеру или дата-центру. Вредоносный трафик из хостинг-инфраструктуры часто исходит от взломанных VPS, арендованных серверов для сканирования или злоупотребления бесплатными облачными аккаунтами.
Связанные угрозы
Аналитика безопасности
💡 Vulnerability Scanning Explained
Vulnerability scanning is the automated process of probing web applications for known weaknesses. Attackers use tools like Nuclei, Nikto, and ZAP to test thousands of hosts per hour, looking for exposed configuration files, outdated software, and default credentials.
💡 GeoIP Blocking Considerations
Blocking traffic from specific countries reduces attack surface but impacts legitimate international users. Effective geo-based policies use tiered approaches — blocking, rate limiting, or requiring additional verification based on risk assessment.