Malicious ASNs: de netwerken met het meeste misbruik
De netwerken met de meeste kwaadaardige IP-adressen in de threat intelligence database van Q-Feeds, en de netwerken waar dat misbruik het best bevestigd is. Cijfers tot en met , elke maand ververst.
- 30.578Nieuwe kwaadaardige IP-adressen in de afgelopen 30 dagen
- 50ASN's in de ranglijst
- 9ASN's op de lijst
Belangrijkste bevindingen
In de 30 dagen tot en met registreerde Q-Feeds 30.578 nieuwe kwaadaardige IP-adressen.
AS396982 (GOOGLE-CLOUD-PLATFORM - Google LLC) telde er de meeste. Volume volgt vooral omvang: grote cloud- en hostingproviders verhuren miljoenen adressen, dus daar zit veel misbruik en nog veel meer legitiem verkeer. Een hoog aantal zegt weinig over het netwerk zelf.
Het bevestigde aandeel is het betere signaal. Het kijkt hoeveel van de activiteit in een netwerk door twee of meer onafhankelijke bronnen is gemeld, waarbij cloudadresruimte minder zwaar telt. Netwerken waar dat aandeel 70% haalt, komen op de ASN-lijst hieronder; deze maand zijn dat er 9.
Kwaadaardige IP-adressen per ASN
| Positie | ASN | Netwerk | Land | Nieuwe kwaadaardige IP's, 30 dagen | Aandeel van totaal | 90 dagen | Bevestigd aandeel, 90 dagen |
|---|---|---|---|---|---|---|---|
| 1 | AS396982 | GOOGLE-CLOUD-PLATFORM - Google LLC | US | 3.820 | 12,5% | 4.206 | 10,7% |
| 2 | AS4837 | CHINA169-Backbone - CHINA UNICOM China169 Backbone | CN | 2.954 | 9,7% | 3.768 | 40,8% |
| 3 | AS14061 | DIGITALOCEAN-ASN - DigitalOcean, LLC | US | 1.318 | 4,3% | 1.601 | 16,7% |
| 4 | AS4134 | CHINANET-BACKBONE No.31,Jin-rong Street | CN | 1.041 | 3,4% | 1.226 | 18,2% |
| 5 | AS12389 | ROSTELECOM-AS PJSC Rostelecom. Technical Team | RU | 685 | 2,2% | 750 | 18,8% |
| 6 | AS25369 | BANDWIDTH-AS | GB | 591 | 1,9% | 596 | 76,6% |
| 7 | AS58224 | TCI | IR | 358 | 1,2% | 371 | 15,7% |
| 8 | AS4766 | KIXS-AS-KR-KR - Korea Telecom | KR | 356 | 1,2% | 470 | 50,8% |
| 9 | AS17557 | PKTELECOM-AS-PK Pakistan Telecommunication Company Limited | PK | 284 | 0,9% | 292 | 15,1% |
| 10 | AS9541 | CYBERNET-AP Cyber Internet Services Pvt Ltd. | PK | 279 | 0,9% | 529 | 82,6% |
| 11 | AS132203 | TENCENT-NET-AP-CN Tencent Building, Kejizhongyi Avenue | CN | 254 | 0,8% | 287 | 46,2% |
| 12 | AS16276 | OVH | FR | 245 | 0,8% | 328 | 31,0% |
| 13 | AS3462 | HINET Data Communication Business Group | TW | 242 | 0,8% | 272 | 35,8% |
| 14 | AS9829 | BSNL-NIB National Internet Backbone | IN | 199 | 0,7% | 230 | 23,6% |
| 15 | AS24940 | HETZNER-AS | DE | 188 | 0,6% | 266 | 19,5% |
| 16 | AS7713 | telkomnet-as-ap - PT Telekomunikasi Indonesia | ID | 187 | 0,6% | 207 | 38,1% |
| 17 | AS8151 | UNINET | MX | 183 | 0,6% | 203 | 55,5% |
| 18 | AS8075 | MICROSOFT-CORP-MSN-AS-BLOCK - Microsoft Corporation | US | 174 | 0,6% | 221 | 21,9% |
| 19 | AS24560 | AIRTELBROADBAND-AS-AP Bharti Airtel Ltd., Telemedia Services | IN | 160 | 0,5% | 171 | 34,9% |
| 20 | AS37963 | ALIBABA-CN-NET Hangzhou Alibaba Advertising Co.,Ltd. | CN | 157 | 0,5% | 254 | 50,5% |
| 21 | AS51167 | CONTABO | DE | 156 | 0,5% | 218 | 36,5% |
| 22 | AS17816 | CHINA169-GZ China Unicom IP network China169 Guangdong province | CN | 155 | 0,5% | 186 | 33,3% |
| 23 | AS7552 | VIETEL-AS-AP Viettel Group | VN | 154 | 0,5% | 214 | 44,2% |
| 24 | AS45102 | ALIBABA-CN-NET Alibaba US Technology Co., Ltd. | CN | 148 | 0,5% | 248 | 46,7% |
| 25 | AS3320 | DTAG Internet service provider operations | DE | 146 | 0,5% | 146 | 54,5% |
| 26 | AS36903 | Office National des Postes et Telecommunications ONPT (Maroc Telecom) / IAM - Office National des Postes et Telecommunic | MA | 131 | 0,4% | 140 | 19,3% |
| 27 | AS45090 | TENCENT-NET-AP Shenzhen Tencent Computer Systems Company Limited | CN | 116 | 0,4% | 184 | 42,7% |
| 28 | AS14593 | SPACEX-STARLINK - Space Exploration Technologies Corporation | US | 114 | 0,4% | 118 | 49,5% |
| 29 | AS37457 | Telkom-Internet | ZA | 112 | 0,4% | 153 | 44,8% |
| 30 | AS9121 | TTNet - Turk Telekomunikasyon Anonim Sirketi | TR | 112 | 0,4% | 132 | 19,5% |
| 31 | AS17762 | HTIL-TTML-IN-AP Tata Teleservices Maharashtra Ltd | IN | 110 | 0,4% | 125 | 0,5% |
| 32 | AS20473 | AS-VULTR - The Constant Company, LLC | US | 103 | 0,3% | 135 | 32,5% |
| 33 | AS197170 | TECHTIES-AS | SC | 102 | 0,3% | 254 | 56,9% |
| 34 | AS8359 | MTS | RU | 101 | 0,3% | 115 | 38,8% |
| 35 | AS135377 | UCLOUD-HK-AS-AP UCLOUD INFORMATION TECHNOLOGY HK LIMITED | HK | 93 | 0,3% | 126 | 69,0% |
| 36 | AS36352 | AS-COLOCROSSING - HostPapa | US | 91 | 0,3% | 146 | 54,9% |
| 37 | AS18403 | FPT-VN FPT Telecom Company | VN | 89 | 0,3% | 94 | 39,0% |
| 38 | AS22927 | Telefonica de Argentina | AR | 89 | 0,3% | 92 | 24,7% |
| 39 | AS45820 | TTSL-MEISISP Tata Teleservices ISP AS | IN | 88 | 0,3% | 106 | 1,2% |
| 40 | AS9808 | CHINAMOBILE-CN China Mobile Communications Group Co., Ltd. | CN | 84 | 0,3% | 119 | 46,4% |
| 41 | AS398324 | CENSYS-ARIN-01 - Censys, Inc. | US | 84 | 0,3% | 88 | 68,8% |
| 42 | AS33333 | OBJX - objx.net, LLC | US | 84 | 0,3% | 84 | 98,8% |
| 43 | AS23969 | TOT-NET TOT Public Company Limited | TH | 82 | 0,3% | 92 | 38,6% |
| 44 | AS57044 | BRYANSK-AS - JSC _ER-Telecom Holding_ | RU | 82 | 0,3% | 84 | 66,3% |
| 45 | AS7303 | Telecom Argentina S.A. | AR | 81 | 0,3% | 113 | 39,2% |
| 46 | AS31898 | ORACLE-BMC-31898 - Oracle Corporation | US | 81 | 0,3% | 96 | 59,7% |
| 47 | AS27699 | TELEFONICA BRASIL S.A | BR | 81 | 0,3% | 83 | 55,3% |
| 48 | AS45899 | VNPT-AS-VN VNPT Corp | VN | 79 | 0,3% | 89 | 31,8% |
| 49 | AS3209 | VODANET International IP-Backbone of Vodafone | DE | 77 | 0,3% | 87 | 48,9% |
| 50 | AS55836 | RELIANCEJIO-IN Reliance Jio Infocomm Limited | IN | 76 | 0,3% | 84 | 31,6% |
Het aandeel is het deel van alle nieuwe kwaadaardige IP-adressen uit de afgelopen 30 dagen dat in het netwerk valt. Het bevestigde aandeel is het deel van de indicatoren dat twee of meer onafhankelijke bronnen over 90 dagen meldden, waarbij cloudadresruimte minder zwaar telt; netwerken met te weinig indicatoren voor een oordeel krijgen n.v.t. Het land is waar het ASN geregistreerd is. ASN's met minder dan 10 kwaadaardige IP-adressen in 90 dagen tellen niet mee.
ASN-lijst
De lijst bevat netwerken met een bevestigd aandeel van minstens 70% en minstens 50 kwaadaardige IP-adressen in de afgelopen 90 dagen. Dat is dezelfde lat die de scoring van Q-Feeds hanteert om een netwerk als bekend kwaadaardig te behandelen. Het tekstbestand bevat één AS-nummer per regel en verandert met elke maandelijkse snapshot.
Dit is geen blocklist. Wie een ASN blokkeert, blokkeert elke klant in dat netwerk, ook de legitieme, dus reken op false positives. Gebruik de lijst als input voor scoring: verhoog het risico van verkeer uit deze netwerken en laat er alerts op afgaan. Blokkeer de losse kwaadaardige IP's met een feed.
Zo meten we dit
- Bron. De threat intelligence database van Q-Feeds, die indicatoren uit meer dan 2.500 bronnen verzamelt en scoort.
- Wat telt. IPv4-, IPv6- en CIDR-indicatoren met het oordeel kwaadaardig of verdacht, gekoppeld aan het ASN waartoe ze horen. False positives en alles op een van onze warninglists vallen af.
- Tijdvakken. Een adres telt mee in het tijdvak waarin we het voor het eerst zagen: de afgelopen 30 dagen en de afgelopen 90 dagen, tot de datum van de snapshot. Het verschil vergelijkt het aantal over 30 dagen met het cijfer dat we een maand eerder publiceerden. Oudere tijdvakken tellen we niet opnieuw: een IP-adres dat niet meer opduikt, verliest na ongeveer 30 dagen zijn kwaadaardige oordeel, dus een nieuwe telling zou het verleden te laag en de groei te hoog inschatten.
- Bevestigd aandeel. Indicatoren in het ASN die twee of meer onafhankelijke bronnen meldden, gedeeld door al zijn indicatoren over 90 dagen, en daarna verlaagd met het deel van de adressen dat in bekende ranges van cloudproviders valt. Zo lijken grote clouds niet verdacht alleen omdat aanvallers er servers huren. Netwerken met minder dan 50 indicatoren krijgen geen bevestigd aandeel.
- Updates. In de eerste dagen van elke maand berekenen we een nieuwe snapshot, die hier automatisch verschijnt.
Wil je de IP-adressen zelf?
Deze pagina rangschikt netwerken, geen adressen. Controleer een los IP-adres in Threat Lookup, of laat de IP-feeds van Q-Feeds de kwaadaardige adressen uit je firewall, SIEM of TI-platform houden.
Threat Lookup
Controleer één IP-adres en zie welke bronnen het meldden.
Threat intelligence feeds
Kwaadaardige IP-adressen uit elk netwerk, elke 20 minuten ververst, voor je firewall, SIEM of TI-platform.
Meest misbruikte TLD's
Dezelfde maandelijkse ranglijst voor topleveldomeinen, met een eigen lijst.
Veelgestelde vragen over kwaadaardige ASN's
Wat is een kwaadaardig ASN?
Een autonoom systeem is een netwerk met een eigen routeringsbeleid, herkenbaar aan een AS-nummer. Een ASN heet kwaadaardig als een groot deel van wat erin draait wordt gebruikt voor phishing, command-and-control van malware, scans of spam. Weinig netwerken zijn in hun geheel kwaadaardig; de meeste mengen misbruik met legitieme klanten.
Waarom staan cloudproviders bovenaan?
Omdat ze groot zijn en iedereen er binnen een paar minuten een server huurt. Een hoog aantal zegt meer over de omvang dan over de provider. De kolom bevestigd aandeel corrigeert daarvoor en laat cloudadresruimte bewust minder zwaar tellen.
Kan ik dit als ASN-blocklist gebruiken?
Dat raden we af. Wie een ASN blokkeert, blokkeert elke klant erop, ook de legitieme, en krijgt dus false positives. Gebruik de lijst als input voor scoring: verhoog het risico van verkeer uit deze netwerken, laat er alerts op afgaan en blokkeer de losse kwaadaardige IP's met een feed.
Hoe meten jullie ASN-reputatie?
Alleen met de database van Q-Feeds: hoeveel van de activiteit in een netwerk over 90 dagen door meer dan één onafhankelijke bron is bevestigd, waarbij cloudadresruimte minder zwaar telt. Onze eigen oordelen tellen niet mee, dus de reputatie van een netwerk kan zichzelf niet opstuwen.
Waarom staan er geen IP-adressen op deze pagina?
Een openbare lijst met actuele kwaadaardige IP's is binnen een paar uur verouderd, en hij vertelt aanvallers of ze zijn opgemerkt. De adressen zitten in de threat feeds van Q-Feeds en in Threat Lookup, waar ze actueel blijven.
Hoe vaak wordt deze pagina bijgewerkt?
Elke maand. In de eerste dagen van de maand berekenen we een nieuwe snapshot, en deze pagina en het tekstbestand worden automatisch bijgewerkt.
Mag ik deze data gebruiken?
Ja. De cijfers en de lijst vallen onder CC BY 4.0. Hergebruik ze vrij, ook commercieel, met een link naar deze pagina als bronvermelding.
Evalueer onze intelligence vandaag!
Vereenvoudig uw security operations, start uw gratis Q-Feeds-proefperiode en ervaar het verschil.
Start gratis