Fiche IP

Pays-Bas

176.65.148.94

Activité suspecte — risque 59/100 (Moyen) — MITRE T1078 — confiance 100 % — via HTTP

FAI Pfcloud UG (haftungsbeschrankt) Première vue 28/10/2026 17:16 UTC Dernière vue 28/10/2026 20:15 UTC Risque Moyen

Période 2026-09-28 → 2026-10-28

Moyen 60/100

24h 7j 30j 90j

Synthèse

Score de risque max. 60/100 Moyen · Maximum de risk_score (événements honeypot)

Première observation 28/10/2026 17:16 UTC

Dernière observation 28/10/2026 20:15 UTC

Événements (période) 4

Décision conseillée Investiguer Observer, investiguer ou bloquer. Le site ne pousse pas de règle pare-feu.

MITRE ATT&CK principal T1110 2 occurrences

Pourquoi listée

Type « Spray credentials » (signaux protocolaires) · confiance 100%

Confiance 100 % — Score WAF 88 · 3 tag(s) WAF

Décision

Investiguer

Risque moyen. Relisez le port dominant et les preuves avant toute règle réseau.

60/100 Confiance 100 % 4 événements T1110

À faire

Lire les preuves de la chronologie avant d’écrire une règle.
Comparer avec les IP du même FAI.
Annoter le verdict vrai positif ou faux positif.

Preuves JSON SOC CEF STIX Ticket nftables

Note de ticket

IP 176.65.148.94
Décision : Investiguer
Score max : 60/100 (Moyen)
Confiance : 100 %
Période : 2026-09-28 → 2026-10-28 · 4 événements
Motif : Type « Spray credentials » (signaux protocolaires) · confiance 100%
MITRE : T1110
FAI : Pfcloud UG (haftungsbeschrankt) · Pays-Bas

Comparaison ASN / FAI

ASN 51396 · 176.65.148.0/24 · RIPENCC — 8 pair(s) ASN/FAI listé(s) — activité locale élevée vs pairs · 4 événements sur la période pour cette IP.

94.183.174.99 Sonde fichier configuration 28/10/2026 00:09 UTC
204.76.203.7 file upload abuse 24/10/2026 11:06 UTC
176.65.148.184 Traversal LFI 24/10/2026 10:37 UTC
176.65.149.253 Sonde Minecraft 22/10/2026 13:30 UTC
204.76.203.4 Sonde port 22/10/2026 13:29 UTC
176.65.148.226 Sonde Minecraft 22/10/2026 12:39 UTC
45.135.194.24 Sonde HTTP 22/10/2026 09:58 UTC
94.183.174.100 Sonde port 22/10/2026 06:16 UTC

Événements (filtres)

Première observation

28/10/2026 17:16 UTC

Dernière observation

28/10/2026 20:15 UTC

Dernière activité (filtres)

28/10/2026 20:15 UTC

Événements 7j

Ports distincts (7j)

Classifications (7j)

Sévérité max (7j)

Élevée

Activité multi-protocole

Cette IP touche plusieurs services simulés (pas seulement le web).

HTTP TCP 2 NETBUS TCP 1 CLOUDFLARE TUNNEL TCP 1

HTTP

NETBUS

CLOUDFLARE TUNNEL

Géolocalisation

Origine réseau déclarée

Pays-Bas unknown unknown

FAI / réseau

Opérateur et dernière activité ban

Pfcloud UG (haftungsbeschrankt) 0 Port 9999 Spray credentials

Renseignement menaces

Score capteur — surveiller, investiguer ou bloquer.

Recommandation

Stade d'attaque

Sonde / probe

Chaîne d'attaque

Découverte

Vecteur d'attaque

bruteforce credential spray · via HTTP:9999 · (sonde / probe) · → /login

Détails protocole

Méthode: POST
Chemin: /login
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/106.0.0.0 S…

Aperçu payload

POST /login HTTP/1.1 Host: 62.3.50.33:9999 Connection: Keep-Alive Accept: Application/json, */* User-Agent: Mozilla/5.0 (Win

Port / service

9999 · HTTP

Service émulé

HTTP

Raison confiance

Confiance 100 % — 3 tag(s) WAF

Technique MITRE

T1078

Persona capteur

mail.sensor-1.internal

Recommandation

Investiguer

Rôle capteur

Renseignement menaces

Signaux de précision

MITRE-T1078 Beh Cred Stuff

Confiance

100%

Famille de menace

unknown

MITRE ATT&CK — tactiques observées

Découverte Accès initial

Décomposition confiance

Décomposition du score

Filtres

Les dates De/À priment sur la période. Affinez protocole, port, service et classification.

proto=Tous service=Tous port=Tous type=Tous sév.=Toutes

Période

Protocole

Port (dst)

Service

Classification

Sévérité min

Sévérité max

Réinitialiser

Profil d’activité

Heures UTC et jours de la semaine, calculés sur les séries de la page

Heures UTC

Jours de semaine

Constats

Lecture automatique du volume, des ports et des créneaux UTC

Timeline

4 événements filtrés — activité quotidienne

Ports 24 h

Top ports ciblés sur les dernières 24 heures

Top ports

Part du volume sur la période filtrée

Top classifications

Libellés capteur, part du volume

Heatmap attaques 7j

Intensité par jour et heure (UTC capteur)

Chronologie des événements

4 événement(s) — page 1/1

Horodatage	Proto	Port	Service	Classification	Sévérité	Risque
28/10/2026 20:15:50 UTC	TCP	9999 · HTTP	http	Spray credentials bruteforce credential spray · via HTTP:9999 · (sonde / probe) · → /login	Élevée	Moyen · 59
Étape Sonde / probe Chaîne Découverte Persona mail.sensor-1.internal Rôle capteur Renseignement menaces MITRE T1078 Découverte Accès Protocole POST /login UA Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (K… Émulateur HTTP WAF 20 Recommandation Investiguer Tags 950326:rce-0 950327:rce-0 950470:nosqli-3 http_credential_body Cible HTTP POST /login TLS SNI — Capteur paris-1
Preuve / Evidence Méthode POST Port 9999 Chemin / cible /login Service HTTP Pourquoi cette classification : Type « Spray credentials » (signaux protocolaires) · confiance 100% Confiance classification 100% Risque capteur Moyen · 59 Confiance : Confiance 100 % — 3 tag(s) WAF Protocole émulé 1 Signaux MITRE-T1078 Beh Cred Stuff Technique MITRE T1078 Tactiques MITRE Découverte Accès initial Ligne de requête `POST /login HTTP/1.1` User-Agent Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/106.0.0.0 Safari/537.36 Règles WAF rce-0 nosqli-3 Payload (extrait) POST /login HTTP/1.1 Host: 62.3.50.33:9999 Connection: Keep-Alive Accept: Application/json, / User-Agent: Mozilla/5.0 (Win Requête brute (extrait) POST /login HTTP/1.1 Host: 62.3.50.33:9999 Connection: Keep-Alive Accept: Application/json, / User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/106.0.0.0 Safari/537.36 Content-Type: Application/x-www Meta JSON brut {"protocol_emulated":true,"emulator_response":"485454502f312e3120323030204f4b0d0a5365727665723a204170616368652f322e342e35370d0a436f6e74656e742d4c656e6774683a20320d0a436f6e6e656374696f6e3a20636c6f73650d0a0d0a4f4b","emulator_response_len":82,"http_header_count":6,"http_query_params":0,"http_path_depth":1,"http_path_ext":null,"http_ua_hash":"4ee4a1117862411a01631b4fd76362ee35999085","http_host_hash":"83a22baaf629d53e39c79d30e6b18dca9da1a92c","http_target_hash":"c42c80aa06113268fddf90dfdc871fb7318ff5cf","http_referer_hash":null,"http_method":"POST","http_ua_is_cli":false,"http_ua_is_browser":true,"bytes_in":342,"payload_entropy":5.481877217074715,"port_category":"registered","org":"Pfcloud UG (haftungsbeschrankt)","service":"http","app_proto":"http","asn":51396,"country":"NL","dst_port":9999,"risk_waf":88,"risk_classification":78,"risk_behavior":0,"risk_geo":0,"risk_protocol":43,"risk_novelty":25,"risk_boost":0,"risk_granularity":4.8,"risk_breakdown":{"waf":88,"classification":78,"behavior":0,"geo":0,"protocol":43,"novelty":25},"risk_score":59,"tag_count":6,"anomaly_count":0,"campaign_key":"f29df42e8629d65b7374e9ae07ad62e94344e815","event_fingerprint":"c4f79cee9a8b5a019694692b3e85203bb31c553c","classification_reason":"Type \u00ab bruteforce_credential_spray \u00bb (signaux protocolaires) \u00b7 confiance 100%","confidence":1,"classification_confidence":1,"precision_score":121,"precision_signals":["MITRE-T1078","INT-beh-cred-stuff"],"kb_rule_ids":["MITRE-T1078","INT-beh-cred-stuff…
28/10/2026 18:32:34 UTC	TCP	8888 · HTTP	http	Spray credentials bruteforce credential spray · via HTTP:8888 · (sonde / probe) · → /login	Élevée	Moyen · 60
Étape Sonde / probe Chaîne Découverte Persona mail.sensor-1.internal Rôle capteur Renseignement menaces MITRE T1078 Découverte Accès Protocole POST /login UA Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (K… Émulateur HTTP WAF 20 Recommandation Investiguer Tags 950326:rce-0 950327:rce-0 950470:nosqli-3 http_credential_body Cible HTTP POST /login TLS SNI — Capteur paris-1
Preuve / Evidence Méthode POST Port 8888 Chemin / cible /login Service HTTP Pourquoi cette classification : Type « Spray credentials » (signaux protocolaires) · confiance 100% Confiance classification 100% Risque capteur Moyen · 60 Confiance : Confiance 100 % — 3 tag(s) WAF Protocole émulé 1 Signaux MITRE-T1078 Beh Cred Stuff Technique MITRE T1078 Tactiques MITRE Découverte Accès initial Ligne de requête `POST /login HTTP/1.1` User-Agent Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/106.0.0.0 Safari/537.36 Règles WAF rce-0 nosqli-3 Payload (extrait) POST /login HTTP/1.1 Host: 62.3.50.33:8888 Connection: Keep-Alive Accept: Application/json, / User-Agent: Mozilla/5.0 (Win Requête brute (extrait) POST /login HTTP/1.1 Host: 62.3.50.33:8888 Connection: Keep-Alive Accept: Application/json, / User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/106.0.0.0 Safari/537.36 Content-Type: Application/x-www Meta JSON brut {"protocol_emulated":true,"emulator_response":"485454502f312e3120323030204f4b0d0a5365727665723a204170616368652f322e342e35370d0a436f6e74656e742d4c656e6774683a20320d0a436f6e6e656374696f6e3a20636c6f73650d0a0d0a4f4b","emulator_response_len":82,"http_header_count":6,"http_query_params":0,"http_path_depth":1,"http_path_ext":null,"http_ua_hash":"4ee4a1117862411a01631b4fd76362ee35999085","http_host_hash":"25a58e7d7f0ed40aadf0d51b038172ea9ccc8435","http_target_hash":"c42c80aa06113268fddf90dfdc871fb7318ff5cf","http_referer_hash":null,"http_method":"POST","http_ua_is_cli":false,"http_ua_is_browser":true,"bytes_in":342,"payload_entropy":5.481877217074715,"port_category":"registered","org":"Pfcloud UG (haftungsbeschrankt)","service":"http","app_proto":"http","asn":51396,"country":"NL","dst_port":8888,"risk_waf":88,"risk_classification":78,"risk_behavior":0,"risk_geo":0,"risk_protocol":43,"risk_novelty":25,"risk_boost":0,"risk_granularity":5.6,"risk_breakdown":{"waf":88,"classification":78,"behavior":0,"geo":0,"protocol":43,"novelty":25},"risk_score":60,"tag_count":6,"anomaly_count":0,"campaign_key":"57be5a7739a50a16a0a523ee6858b69d85df82d4","event_fingerprint":"b136a0c976ffb3d933e323a2e2f3552968451cce","classification_reason":"Type \u00ab bruteforce_credential_spray \u00bb (signaux protocolaires) \u00b7 confiance 100%","confidence":1,"classification_confidence":1,"precision_score":121,"precision_signals":["MITRE-T1078","INT-beh-cred-stuff"],"kb_rule_ids":["MITRE-T1078","INT-beh-cred-stuff…
28/10/2026 17:47:27 UTC	TCP	2053 · CLOUDFLARE TUNNEL	cloudflare-tunnel	Bruteforce IMAP imap bruteforce · via CLOUDFLARE TUNNEL:2053 · (sonde / probe)	Élevée	Moyen · 46
Étape Sonde / probe Chaîne Découverte Persona mail.sensor-1.internal Rôle capteur Renseignement menaces MITRE T1110 Découverte Accès Protocole Émulateur CLOUDFLARE-TUNNEL WAF — Recommandation Surveiller Tags cloudflare_tunnel_emulated cloudflare_tunnel_payload imap_probe mozi_pattern Cible HTTP — TLS SNI — Capteur paris-1
Preuve / Evidence Méthode — Port 2053 Chemin / cible — Service CLOUDFLARE TUNNEL Payload POST /login HTTP/1.1 Host: 62.3.50.33:2053 Connection: Keep-Alive Accept: Application/json, / User-Agent: Mozilla/5.0 (Win Pourquoi cette classification : Type « Bruteforce IMAP » (signaux protocolaires) · confiance 95% Confiance classification 95% Risque capteur Moyen · 46 Confiance : Confiance 95 % — Motif catalogue confirmé Protocole émulé 1 Signaux Email Imap Login Technique MITRE T1110 Tactiques MITRE Découverte Accès initial User-Agent — Règles WAF — Payload (extrait) POST /login HTTP/1.1 Host: 62.3.50.33:2053 Connection: Keep-Alive Accept: Application/json, / User-Agent: Mozilla/5.0 (Win Requête brute (extrait) POST /login HTTP/1.1 Host: 62.3.50.33:2053 Connection: Keep-Alive Accept: Application/json, / User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/106.0.0.0 Safari/537.36 Content-Type: Application/x-www Meta JSON brut {"protocol_emulated":true,"emulator_response":"485454502f312e3120343034204e6f7420466f756e640d0a5365727665723a20636c6f7564666c6172650d0a436f6e74656e742d4c656e6774683a20300d0a0d0a","emulator_response_len":65,"bytes_in":342,"payload_entropy":5.471255205201203,"port_category":"registered","org":"Pfcloud UG (haftungsbeschrankt)","service":"cloudflare-tunnel","app_proto":"cloudflare-tunnel","asn":51396,"country":"NL","dst_port":2053,"risk_waf":8,"risk_classification":66,"risk_behavior":0,"risk_geo":0,"risk_protocol":30,"risk_novelty":25,"risk_boost":20,"risk_granularity":2.9,"risk_breakdown":{"waf":8,"classification":66,"behavior":0,"geo":0,"protocol":30,"novelty":25},"risk_score":46,"tag_count":5,"anomaly_count":0,"campaign_key":"397ef5de132dece9c650372d73a766b7a590d30a","event_fingerprint":"ecf61e9accc2dacac55d45c01f6f6a64e26c6ab4","classification_reason":"Type \u00ab imap_bruteforce \u00bb (signaux protocolaires) \u00b7 confiance 95%","confidence":0.95,"classification_confidence":0.95,"precision_score":76,"precision_signals":["INT-EMAIL-imap-login"],"kb_rule_ids":["INT-EMAIL-imap-login"],"confidence_breakdown":{"waf":8,"classification":66,"behavior":0,"geo":0,"protocol":30,"novelty":25,"risk_score":46},"named_classification_skipped":false,"service_name":"cloudflare-tunnel","risk_confidence_factor":95,"city":null,"is_datacenter":false,"is_tor_hint":false,"geo":{"country":"NL","asn":51396,"org":"Pfcloud UG (haftungsbeschrankt)","is_datacenter":false,"is_tor_hint":false},"fingerpri…
28/10/2026 17:16:31 UTC	TCP	12345 · NETBUS	netbus	Bruteforce IMAP imap bruteforce · via NETBUS:12345 · (sonde / probe)	Élevée	Moyen · 45
Étape Sonde / probe Chaîne Découverte Persona mail.sensor-1.internal Rôle capteur Renseignement menaces MITRE T1110 Découverte Accès Protocole Émulateur NETBUS WAF — Recommandation Surveiller Tags imap_probe mozi_pattern net_mozi_pattern Cible HTTP — TLS SNI — Capteur paris-1
Preuve / Evidence Méthode — Port 12345 Chemin / cible — Service NETBUS Payload POST /login HTTP/1.1 Host: 62.3.50.33:12345 Connection: Keep-Alive Accept: Application/json, / User-Agent: Mozilla/5.0 (Wi Pourquoi cette classification : Type « Bruteforce IMAP » (signaux protocolaires) · confiance 95% Confiance classification 95% Risque capteur Moyen · 45 Confiance : Confiance 95 % — Motif catalogue confirmé Protocole émulé 1 Signaux Email Imap Login Technique MITRE T1110 Tactiques MITRE Découverte Accès initial User-Agent — Règles WAF — Payload (extrait) POST /login HTTP/1.1 Host: 62.3.50.33:12345 Connection: Keep-Alive Accept: Application/json, / User-Agent: Mozilla/5.0 (Wi Requête brute (extrait) POST /login HTTP/1.1 Host: 62.3.50.33:12345 Connection: Keep-Alive Accept: Application/json, / User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/106.0.0.0 Safari/537.36 Content-Type: Application/x-ww Meta JSON brut {"protocol_emulated":true,"emulator_response":"32323020686f6e6579706f74206e657462757320726561647920706f72743d31323334350d0a","emulator_response_len":38,"bytes_in":343,"payload_entropy":5.478707673240489,"port_category":"registered","org":"Pfcloud UG (haftungsbeschrankt)","service":"netbus","app_proto":"netbus","asn":51396,"country":"NL","dst_port":12345,"risk_waf":8,"risk_classification":66,"risk_behavior":0,"risk_geo":0,"risk_protocol":30,"risk_novelty":15,"risk_boost":20,"risk_granularity":2.2,"risk_breakdown":{"waf":8,"classification":66,"behavior":0,"geo":0,"protocol":30,"novelty":15},"risk_score":45,"tag_count":3,"anomaly_count":0,"campaign_key":"eea9e0048a610a9cc5b8d3e8e029d1247197a2a1","event_fingerprint":"4e74698fe2fcb538405d3ea87b5725c2dd122d5d","classification_reason":"Type \u00ab imap_bruteforce \u00bb (signaux protocolaires) \u00b7 confiance 95%","confidence":0.95,"classification_confidence":0.95,"precision_score":76,"precision_signals":["INT-EMAIL-imap-login"],"kb_rule_ids":["INT-EMAIL-imap-login"],"confidence_breakdown":{"waf":8,"classification":66,"behavior":0,"geo":0,"protocol":30,"novelty":15,"risk_score":45},"named_classification_skipped":false,"service_name":"netbus","risk_confidence_factor":95,"city":null,"is_datacenter":false,"is_tor_hint":false,"geo":{"country":"NL","asn":51396,"org":"Pfcloud UG (haftungsbeschrankt)","is_datacenter":false,"is_tor_hint":false},"fingerprint":{"payload_hash":"059bfdc8c9ca964cf9e019bad3f4914b","path_pattern_hash":"d01bbf3f52…

Réputation

Sécurité avancée

Offensive / Recon

Sécurité

DNS

Réseau

E-mail

IP

Utilitaires

176.65.148.94

Synthèse

Pourquoi listée

Investiguer

À faire

Note de ticket

Comparaison ASN / FAI

Activité multi-protocole

Géolocalisation

FAI / réseau

Renseignement menaces

Décomposition confiance

Décomposition du score

Filtres

Profil d’activité

Heures UTC

Jours de semaine

Constats

Timeline

Ports 24 h

Top ports

Top classifications

Heatmap attaques 7j

Chronologie des événements

Comparaison côte à côte

Preuve / Evidence

Preuve / Evidence

Preuve / Evidence

Preuve / Evidence

176.65.148.94

Pourquoi listée

Investiguer

À faire

Note de ticket

Comparaison ASN / FAI

IPs apparentées

Activité multi-protocole

Géolocalisation

FAI / réseau

Renseignement menaces

Décomposition confiance

Décomposition du score

Filtres

Profil d’activité

Heures UTC

Jours de semaine

Constats

Timeline

Ports 24 h

Top ports

Top classifications

Heatmap attaques 7j

Chronologie des événements

Comparaison côte à côte

Preuve / Evidence

Preuve / Evidence

Preuve / Evidence

Preuve / Evidence