IP reeks 46.38.144.0/255.255.255.0

[grimlock]

Momenteel merk ik zowel bij mensen prive, mijzelf als zakelijk dat er vanuit deze reeks veel pogingen binnenkomen om minimaal mailservers binnen te dringen. Hoe kan je dit ergens aankaarten? Elke seconde wel enkele pogingen en dit blijft continue doorgaan zonder oponthoud. Deze reeks staat op naam van een Iraanse ISP. Verdere feiten heb ik momenteel nog niet.

Aanvulling: recente geschiedenis geeft ook eenzelfde situatie met IP reeks 46.38.114.0/255.255.255.0

[ Voor 27% gewijzigd door grimlock op 04-02-2020 10:15 ]

[F_J_K]

Blokkeren in de firewall. Mocht je op een of andere manier 'essentiële diensten' of digi diensten levert en groot bent, zou je het misschien kunnen moeten melden: https://www.agentschaptel...r-digitaledienstverleners

Maar in het algemeen, aan de poort rammelen gebeurt 'altijd wel'.

[grimlock]

F_J_K schreef op dinsdag 4 februari 2020 @ 10:50:
Blokkeren in de firewall. Mocht je op een of andere manier 'essentiële diensten' of digi diensten levert en groot bent, zou je het misschien kunnen moeten melden: https://www.agentschaptel...r-digitaledienstverleners

Maar in het algemeen, aan de poort rammelen gebeurt 'altijd wel'.

Klopt, en dit doe ik ook, alleen dit lijkt massaal te gebeuren bij veel personen die ik ken. Het lijkt me niet zomaar een beetje aan de poort rammelen.

[Wolfboy]

Wat soms nog weleens werkt (verschilt heel erg per ISP) is een mail sturen naar het abuse adres. De betere ISP's doen er dan wel wat aan omdat ze anders straks een blacklisted IP range krijgen.

De genoemde IP range is overigens een Russische range, niet Iraans. Hier een deel van de whois output:

% This is the RIPE Database query service.
% The objects are in RPSL format.
%
% The RIPE Database is subject to Terms and Conditions.
% See http://www.ripe.net/db/support/db-terms-conditions.pdf

% Note: this output has been filtered.
%       To receive output for a database update, use the "-B" flag.

% Information related to '46.38.114.0 - 46.38.114.255'

% Abuse contact for '46.38.114.0 - 46.38.114.255' is '[e-mail]'

inetnum	46.38.114.0 - 46.38.114.255
netname	ASVT
descr	ASVT-NET-114
descr	JSC "ASVT"
descr	127322, Moscow, Russia, Yablochcova str., 19b
country	RU
admin-c	BSV72-RIPE
admin-c	OVP-RIPE
admin-c	SK5441-RIPE
tech-c	BSV72-RIPE
tech-c	OVP-RIPE
tech-c	SK5441-RIPE
status	ASSIGNED PA
mnt-by	AS8752-MNT
mnt-lower	AS8752-MNT
mnt-routes	AS8752-MNT
created	2011-01-12T12:22:20Z
last-modified	2011-01-12T12:22:20Z
source	RIPE # Filtered

[Nakebod]

IP range komt mij erg bekend voor.
Heel veel brute force attempts uit die range sinds een maand of 2 minimal.
Nu komt zoiets altijd wel voor, maar om één of andere reden viel deze meer op.

En ondanks dat we de fail2ban tijd flink verhoogd, en foute inlog pogingen verlaagd hebben blijven de pogingen gewoon doorgaan. En direct weer geblocked worden.
Zakelijk doen wij niets met Iran, dus tijdelijk maar in onze firewall een country block gezet op Iran.

[grimlock]

Klopt ook dat de andere reeks vanuit Rusland komt. Leuke combo die twee landen. Soms zie ik wel eens een ander IP nummer, maar dat zullen waarschijnlijk wel van die mensen zijn die even iets proberen. Dit gaat gewoon continue door. Ik ben wel benieuwd hoe breed dit in Nederland momenteel speelt als het mij al opvalt dat het bij het overgrote gedeelte van mijn kennissenkring speelt. Het kan niet zo zijn dat hier een simpel persoon achter zit.

[ Voor 20% gewijzigd door grimlock op 04-02-2020 12:03 ]

[Brahiewahiewa]

grimlock schreef op dinsdag 4 februari 2020 @ 12:01:
... Het kan niet zo zijn dat hier een simpel persoon achter zit.

Waarom niet? Zo gecompliceerd hoef je niet te zijn om een ip-range te hacken en die voor je eigen criminele doeleinden te gebruiken.