ASN malveillants : les réseaux les plus utilisés par les attaquants
Les réseaux qui concentrent le plus d'adresses IP malveillantes dans la base de threat intelligence Q-Feeds, et ceux où cet abus est le mieux confirmé. Chiffres arrêtés au , actualisés chaque mois.
- 30 578Nouvelles adresses IP malveillantes sur les 30 derniers jours
- 50ASN dans le classement
- 9ASN sur la liste
Les points clés
Sur les 30 jours arrêtés au , Q-Feeds a recensé 30 578 nouvelles adresses IP malveillantes.
AS396982 (GOOGLE-CLOUD-PLATFORM - Google LLC) arrive en tête. Le volume suit surtout la taille : les grands fournisseurs de cloud et d'hébergement louent des millions d'adresses, ils concentrent donc beaucoup d'abus et bien plus encore de trafic légitime. Un volume élevé dit peu de chose du réseau lui-même.
La part confirmée est un meilleur signal. Elle mesure la part de l'activité d'un réseau signalée par au moins deux sources indépendantes, en minorant l'espace d'adressage cloud. Les réseaux où elle atteint 70 % figurent sur la liste des ASN ci-dessous ; ce mois-ci, ils sont 9.
Adresses IP malveillantes par ASN
| Rang | ASN | Réseau | Pays | Nouvelles IP malveillantes, 30 jours | Part du total | 90 jours | Part confirmée, 90 jours |
|---|---|---|---|---|---|---|---|
| 1 | AS396982 | GOOGLE-CLOUD-PLATFORM - Google LLC | US | 3 820 | 12,5 % | 4 206 | 10,7 % |
| 2 | AS4837 | CHINA169-Backbone - CHINA UNICOM China169 Backbone | CN | 2 954 | 9,7 % | 3 768 | 40,8 % |
| 3 | AS14061 | DIGITALOCEAN-ASN - DigitalOcean, LLC | US | 1 318 | 4,3 % | 1 601 | 16,7 % |
| 4 | AS4134 | CHINANET-BACKBONE No.31,Jin-rong Street | CN | 1 041 | 3,4 % | 1 226 | 18,2 % |
| 5 | AS12389 | ROSTELECOM-AS PJSC Rostelecom. Technical Team | RU | 685 | 2,2 % | 750 | 18,8 % |
| 6 | AS25369 | BANDWIDTH-AS | GB | 591 | 1,9 % | 596 | 76,6 % |
| 7 | AS58224 | TCI | IR | 358 | 1,2 % | 371 | 15,7 % |
| 8 | AS4766 | KIXS-AS-KR-KR - Korea Telecom | KR | 356 | 1,2 % | 470 | 50,8 % |
| 9 | AS17557 | PKTELECOM-AS-PK Pakistan Telecommunication Company Limited | PK | 284 | 0,9 % | 292 | 15,1 % |
| 10 | AS9541 | CYBERNET-AP Cyber Internet Services Pvt Ltd. | PK | 279 | 0,9 % | 529 | 82,6 % |
| 11 | AS132203 | TENCENT-NET-AP-CN Tencent Building, Kejizhongyi Avenue | CN | 254 | 0,8 % | 287 | 46,2 % |
| 12 | AS16276 | OVH | FR | 245 | 0,8 % | 328 | 31,0 % |
| 13 | AS3462 | HINET Data Communication Business Group | TW | 242 | 0,8 % | 272 | 35,8 % |
| 14 | AS9829 | BSNL-NIB National Internet Backbone | IN | 199 | 0,7 % | 230 | 23,6 % |
| 15 | AS24940 | HETZNER-AS | DE | 188 | 0,6 % | 266 | 19,5 % |
| 16 | AS7713 | telkomnet-as-ap - PT Telekomunikasi Indonesia | ID | 187 | 0,6 % | 207 | 38,1 % |
| 17 | AS8151 | UNINET | MX | 183 | 0,6 % | 203 | 55,5 % |
| 18 | AS8075 | MICROSOFT-CORP-MSN-AS-BLOCK - Microsoft Corporation | US | 174 | 0,6 % | 221 | 21,9 % |
| 19 | AS24560 | AIRTELBROADBAND-AS-AP Bharti Airtel Ltd., Telemedia Services | IN | 160 | 0,5 % | 171 | 34,9 % |
| 20 | AS37963 | ALIBABA-CN-NET Hangzhou Alibaba Advertising Co.,Ltd. | CN | 157 | 0,5 % | 254 | 50,5 % |
| 21 | AS51167 | CONTABO | DE | 156 | 0,5 % | 218 | 36,5 % |
| 22 | AS17816 | CHINA169-GZ China Unicom IP network China169 Guangdong province | CN | 155 | 0,5 % | 186 | 33,3 % |
| 23 | AS7552 | VIETEL-AS-AP Viettel Group | VN | 154 | 0,5 % | 214 | 44,2 % |
| 24 | AS45102 | ALIBABA-CN-NET Alibaba US Technology Co., Ltd. | CN | 148 | 0,5 % | 248 | 46,7 % |
| 25 | AS3320 | DTAG Internet service provider operations | DE | 146 | 0,5 % | 146 | 54,5 % |
| 26 | AS36903 | Office National des Postes et Telecommunications ONPT (Maroc Telecom) / IAM - Office National des Postes et Telecommunic | MA | 131 | 0,4 % | 140 | 19,3 % |
| 27 | AS45090 | TENCENT-NET-AP Shenzhen Tencent Computer Systems Company Limited | CN | 116 | 0,4 % | 184 | 42,7 % |
| 28 | AS14593 | SPACEX-STARLINK - Space Exploration Technologies Corporation | US | 114 | 0,4 % | 118 | 49,5 % |
| 29 | AS37457 | Telkom-Internet | ZA | 112 | 0,4 % | 153 | 44,8 % |
| 30 | AS9121 | TTNet - Turk Telekomunikasyon Anonim Sirketi | TR | 112 | 0,4 % | 132 | 19,5 % |
| 31 | AS17762 | HTIL-TTML-IN-AP Tata Teleservices Maharashtra Ltd | IN | 110 | 0,4 % | 125 | 0,5 % |
| 32 | AS20473 | AS-VULTR - The Constant Company, LLC | US | 103 | 0,3 % | 135 | 32,5 % |
| 33 | AS197170 | TECHTIES-AS | SC | 102 | 0,3 % | 254 | 56,9 % |
| 34 | AS8359 | MTS | RU | 101 | 0,3 % | 115 | 38,8 % |
| 35 | AS135377 | UCLOUD-HK-AS-AP UCLOUD INFORMATION TECHNOLOGY HK LIMITED | HK | 93 | 0,3 % | 126 | 69,0 % |
| 36 | AS36352 | AS-COLOCROSSING - HostPapa | US | 91 | 0,3 % | 146 | 54,9 % |
| 37 | AS18403 | FPT-VN FPT Telecom Company | VN | 89 | 0,3 % | 94 | 39,0 % |
| 38 | AS22927 | Telefonica de Argentina | AR | 89 | 0,3 % | 92 | 24,7 % |
| 39 | AS45820 | TTSL-MEISISP Tata Teleservices ISP AS | IN | 88 | 0,3 % | 106 | 1,2 % |
| 40 | AS9808 | CHINAMOBILE-CN China Mobile Communications Group Co., Ltd. | CN | 84 | 0,3 % | 119 | 46,4 % |
| 41 | AS398324 | CENSYS-ARIN-01 - Censys, Inc. | US | 84 | 0,3 % | 88 | 68,8 % |
| 42 | AS33333 | OBJX - objx.net, LLC | US | 84 | 0,3 % | 84 | 98,8 % |
| 43 | AS23969 | TOT-NET TOT Public Company Limited | TH | 82 | 0,3 % | 92 | 38,6 % |
| 44 | AS57044 | BRYANSK-AS - JSC _ER-Telecom Holding_ | RU | 82 | 0,3 % | 84 | 66,3 % |
| 45 | AS7303 | Telecom Argentina S.A. | AR | 81 | 0,3 % | 113 | 39,2 % |
| 46 | AS31898 | ORACLE-BMC-31898 - Oracle Corporation | US | 81 | 0,3 % | 96 | 59,7 % |
| 47 | AS27699 | TELEFONICA BRASIL S.A | BR | 81 | 0,3 % | 83 | 55,3 % |
| 48 | AS45899 | VNPT-AS-VN VNPT Corp | VN | 79 | 0,3 % | 89 | 31,8 % |
| 49 | AS3209 | VODANET International IP-Backbone of Vodafone | DE | 77 | 0,3 % | 87 | 48,9 % |
| 50 | AS55836 | RELIANCEJIO-IN Reliance Jio Infocomm Limited | IN | 76 | 0,3 % | 84 | 31,6 % |
La part correspond à la fraction de toutes les nouvelles adresses IP malveillantes des 30 derniers jours qui relève du réseau. La part confirmée est la fraction de ses indicateurs signalée par au moins deux sources indépendantes sur 90 jours, en minorant l'espace d'adressage cloud ; les réseaux qui ont trop peu d'indicateurs pour être évalués affichent n.d. Le pays est celui où l'ASN est enregistré. Les ASN comptant moins de 10 adresses IP malveillantes en 90 jours sont exclus.
Liste des ASN
La liste regroupe les réseaux dont la part confirmée atteint au moins 70 %, avec au moins 50 adresses IP malveillantes sur les 90 derniers jours : le même seuil que celui du scoring Q-Feeds pour traiter un réseau comme malveillant connu. Le fichier texte contient un numéro d'AS par ligne et change à chaque instantané mensuel.
Ce n'est pas une liste de blocage. Bloquer un ASN, c'est bloquer tous ses clients, légitimes compris, avec à la clé des faux positifs. Utilisez la liste pour le scoring : augmentez le risque du trafic issu de ces réseaux et déclenchez des alertes. Bloquez les IP malveillantes une par une avec un feed.
Comment nous mesurons
- Source. La base de threat intelligence Q-Feeds, qui agrège et note des indicateurs issus de plus de 2 500 sources.
- Ce qui compte. Les indicateurs IPv4, IPv6 et CIDR au verdict malveillant ou suspect, rattachés à l'ASN auquel ils appartiennent. Les faux positifs et tout ce qui figure sur l'une de nos warninglists sont exclus.
- Périodes. Une adresse compte dans la période où nous l'avons vue pour la première fois : les 30 derniers jours et les 90 derniers jours, arrêtés à la date de l'instantané. L'évolution compare le total sur 30 jours au chiffre publié un mois plus tôt. Nous ne recomptons pas les périodes plus anciennes : une adresse IP qui n'est plus observée perd son verdict malveillant au bout d'environ 30 jours, si bien qu'un recomptage sous-estimerait le passé et surestimerait la hausse.
- Part confirmée. Les indicateurs de l'ASN signalés par au moins deux sources indépendantes, divisés par l'ensemble de ses indicateurs sur 90 jours, puis réduits de la part de ses adresses situées dans des plages connues de fournisseurs cloud. Ainsi, les grands clouds ne paraissent pas suspects du seul fait que des attaquants y louent des serveurs. Les réseaux de moins de 50 indicateurs n'ont pas de part confirmée.
- Mises à jour. Un nouvel instantané est calculé dans les premiers jours de chaque mois et publié ici automatiquement.
Besoin des adresses IP elles-mêmes ?
Cette page classe des réseaux, pas des adresses. Vérifiez une IP dans Threat Lookup, ou laissez les feeds d'IP Q-Feeds tenir les adresses malveillantes à l'écart de votre pare-feu, de votre SIEM ou de votre plateforme de threat intelligence.
Threat Lookup
Vérifiez une adresse IP et voyez quelles sources l'ont signalée.
Flux de threat intelligence
Les adresses IP malveillantes de tous les réseaux, actualisées toutes les 20 minutes, pour votre pare-feu, SIEM ou plateforme de threat intelligence.
TLD les plus détournés
Le même classement mensuel pour les domaines de premier niveau, avec sa propre liste.
Questions fréquentes sur les ASN malveillants
Qu'est-ce qu'un ASN malveillant ?
Un système autonome est un réseau doté de sa propre politique de routage, identifié par un numéro d'AS. On qualifie un ASN de malveillant quand une grande partie de ce qu'il héberge sert au phishing, au command and control de malwares, aux scans ou au spam. Rares sont les réseaux malveillants dans leur ensemble ; la plupart mêlent abus et clients légitimes.
Pourquoi les fournisseurs cloud sont-ils en tête du classement ?
Parce qu'ils sont grands et que n'importe qui peut y louer un serveur en quelques minutes. Un volume élevé en dit plus sur la taille que sur le fournisseur. La colonne part confirmée corrige cet effet et minore volontairement l'espace d'adressage cloud.
Puis-je utiliser cette liste comme blacklist d'ASN ?
Nous le déconseillons. Bloquer un ASN bloque tous ses clients, légitimes compris, d'où des faux positifs. Pour la plupart des équipes, la liste sert mieux au scoring : augmentez le risque du trafic issu de ces réseaux, déclenchez des alertes et bloquez les IP malveillantes une par une avec un feed.
Comment mesurez-vous la réputation d'un ASN ?
Uniquement à partir de la base Q-Feeds : la part de l'activité d'un réseau confirmée par plus d'une source indépendante sur 90 jours, en minorant l'espace d'adressage cloud. Nos propres verdicts n'entrent pas dans le calcul, si bien que la réputation d'un réseau ne peut pas s'auto-alimenter.
Pourquoi cette page ne liste-t-elle pas d'adresses IP ?
Une liste publique d'IP malveillantes actives est dépassée en quelques heures, et elle indique aux attaquants s'ils ont été repérés. Les adresses se trouvent dans les threat feeds Q-Feeds et dans Threat Lookup, où elles restent à jour.
À quelle fréquence cette page est-elle mise à jour ?
Chaque mois. Un nouvel instantané est calculé dans les premiers jours du mois, et cette page comme le fichier texte se mettent à jour automatiquement.
Puis-je utiliser ces données ?
Oui. Les chiffres et la liste sont publiés sous licence CC BY 4.0. Vous pouvez les réutiliser librement, y compris à des fins commerciales, avec un lien vers cette page comme attribution.
Évaluez notre intelligence dès aujourd'hui !
Simplifiez vos opérations de sécurité, lancez votre essai gratuit de Q-Feeds et constatez la différence.
Commencer gratuitement