Отчёт по IP-адресу
45.138.12.27
ABUSE.MOM — ВЕДИ СЕБЯ ПРИЛИЧНО ИЛИ БУДЕШЬ РАЗОБЛАЧЁН
Геолокация и классификация
Сработавшие сигнатуры
| Сигнатура | Описание | Баллы | Опасность |
|---|---|---|---|
| 404 ratio 40-60% | Большинство запросов вернули 404 — перебор файлов | +15 | |
| 404 ratio >= 60% | Большинство запросов вернули 404 — перебор файлов | +25 | |
| Burst 115/2s | Аномально высокая частота запросов — сканирование | +35 | |
| Burst 116/10s | Аномально высокая частота запросов — сканирование | +35 | |
| Burst 117/10s | Аномально высокая частота запросов — сканирование | +35 | |
| Burst 117/2s | Аномально высокая частота запросов — сканирование | +35 | |
| Burst 118/10s | Аномально высокая частота запросов — сканирование | +35 | |
| Burst 118/2s | Аномально высокая частота запросов — сканирование | +35 | |
| Burst 124/10s | Аномально высокая частота запросов — сканирование | +35 | |
| Burst 124/2s | Аномально высокая частота запросов — сканирование | +35 | |
| Burst 128/2s | Аномально высокая частота запросов — сканирование | +35 | |
| Burst 130/2s | Аномально высокая частота запросов — сканирование | +35 | |
| Burst 131/10s | Аномально высокая частота запросов — сканирование | +35 | |
| Burst 200/10s | Аномально высокая частота запросов — сканирование | +35 | |
| Burst 200/2s | Аномально высокая частота запросов — сканирование | +35 | |
| Danger medium hits: 21 | Запросы к админ-панелям, файлам конфигурации | +60 | |
| Danger medium hits: 22 | Запросы к админ-панелям, файлам конфигурации | +60 | |
| Danger medium hits: 5 | Запросы к админ-панелям, файлам конфигурации | +50 | |
| Danger strong hits: 124 | Запросы к опасным путям: шеллы, RCE, эксплойты | +100 | |
| Danger strong hits: 75 | Запросы к опасным путям: шеллы, RCE, эксплойты | +100 | |
| Danger strong hits: 76 | Запросы к опасным путям: шеллы, RCE, эксплойты | +100 | |
| Danger strong hits: 79 | Запросы к опасным путям: шеллы, RCE, эксплойты | +100 | |
| Foreign referer | Referer с постороннего внешнего домена | +10 | |
| POST seen | Поведенческая аномалия обнаружена автоматически | +8 | |
| UA changed | Несколько User-Agent строк — ротация бота | +25 |
Зафиксированная активность
Реконструированные HTTP-запросы из серверных логов. Целевые домены скрыты в целях безопасности.
* Typical request patterns for detected signatures. Actual target domains are redacted.
Хронология
Сетевой провайдер
Мы обнаружили 40 вредоносных IP в этой автономной системе.
Рекомендации
Предпринятые и рекомендуемые меры
- IP 45.138.12.27 заблокирован на уровне приложения (HTTP 403)
- Рекомендуется блокировка на уровне файрвола (iptables/CSF)
- В подсети /24 обнаружены другие вредоносные IP — рассмотрите блокировку 45.138.12.0/24
- Направьте жалобу провайдеру через abuse-контакт
- Убедитесь, что файлы (.env, .git, бэкапы) недоступны из веба
🔎 Защита от сканирования каталогов
IP 45.138.12.27 перебирает директории. Настройте fail2ban джейл apache-404 после 10+ ошибок 404. Отключите листинг директорий. Унифицируйте все ответы 404.
🌊 Защита от флуда/DDoS
Внедрите limit_req_zone в nginx. Разверните CDN с защитой от DDoS. Настройте SYN cookies и отслеживание соединений для дросселирования 45.138.12.27.
🤖 Защита от аномалий User-Agent
IP 45.138.12.27 демонстрирует подозрительное поведение UA. Блокируйте запросы с пустым User-Agent. Внедрите JavaScript-проверки для обнаружения ботов.
Соседи в 45.138.12.0/24
Другие заблокированные IP из той же подсети /24 — признак систематического злоупотребления.
Статус в чёрных списках (DNSBL)
Этот IP проверен по основным DNS-чёрным спискам, используемым почтовыми серверами и файрволами по всему миру.
Проверено: Spamhaus, SpamCop, Barracuda, SORBS, CBL, UCEProtect. Результаты могут меняться.
Анализ угрозы
45.138.12.27 получил оценку угрозы 298/100 (Критический). Это угроза критического уровня. Системным администраторам следует рассматривать этот IP как враждебный и блокировать все входящие соединения без исключений.
Обнаружены следующие категории атак:
📊 Threat Analysis
45.138.12.27 зарегистрирован в Newport, United Kingdom, работающий в сети Rolandas Uscila. Этот IP впервые появился в наших лентах угроз после срабатывания множества поведенческих сигнатур обнаружения. В течение 26-дневного окна наблюдения мы зафиксировали 922 враждебных запросов с этого IP — примерно 35.5 в день в среднем. Работая из жилой сети, этот IP может представлять скомпрометированный домашний шлюз или IoT-устройство, вовлечённое в крупную атакующую инфраструктуру. Комбинация 3 различных векторов атак указывает на изощрённого, многовекторного агента угрозы, использующего автоматизированные инструменты для одновременного зондирования множества поверхностей атаки. С 3,198 отмеченными адресами United Kingdom представляет крупным присутствие в нашей базе угроз. При 298/100 это крайне высокорисковый адрес. Весь трафик следует считать враждебным.
Этот IP классифицирован как жилой (residential), что может означать скомпрометированное домашнее устройство, участник IoT-ботнета или заражённый ПК. Владелец обычно не знает о вредоносной активности.
Связанные угрозы
Аналитика безопасности
💡 DDoS Mitigation Approaches
Distributed denial of service attacks overwhelm infrastructure with traffic volume. Effective mitigation combines always-on traffic scrubbing, anycast network distribution, rate limiting, and the ability to quickly scale absorption capacity during attacks.
💡 DNS Sinkholing for Malware Defense
DNS sinkholing redirects queries for known malicious domains to controlled IP addresses. This technique blocks malware communication, prevents data exfiltration, and identifies compromised internal hosts attempting to contact command-and-control servers.