Категории жалоб AbuseIPDB

Изменение DNS-записей с целью перенаправления трафика.

• Подменённая A-запись домена указывает на чужой сервер
• Правка NS-записей зоны в панели регистратора
• Массовое изменение TXT/SPF-записей

Подмена кэша DNS-серверов (cache poisoning).

• Подброшенные ответы резолверу с чужим IP
• Отравление кэша провайдера для домена банка

Фиктивные заказы без намерения оплатить.

• Заказ товаров с поддельной банковской картой
• Массовые фейковые заказы в интернет-магазине
• Возврат средств после получения товара

Участие в распределённой атаке на отказ в обслуживании (обычно в составе ботнета).

• SYN-флуд на порты 80/443
• UDP-амплификация через открытые резолверы
• HTTP-флуд на страницу входа

Брутфорс учётных данных FTP.

• Тысячи попыток входа по FTP за минуты
• Словарная атака на ftp-аккаунты хостинга

Атака переразмеренными IP-пакетами.

• Фрагментированные ICMP-пакеты суммарно больше 65 535 байт
• Пакеты с неверным смещением фрагмента

Фишинговые сайты и/или письма.

• Копия страницы входа банка на чужом домене
• Письма с требованием «подтвердить пароль»
• Ссылка на поддельный платёжный шлюз

Мошенничество в VoIP-телефонии.

• Фрод-звонки через SIP-транк
• Подмена номера для звонков на платные линии

Открытый прокси, открытый релей или выходной узел Tor.

• SOCKS5-прокси без авторизации
• Открытый SMTP-релей
• Выходной узел Tor

Спам в комментариях и на форумах, реферер-спам или спам через CMS.

• Сотни комментариев со ссылками на казино
• Реферер-спам в веб-аналитике
• Спам-вставки через уязвимый плагин CMS

Спам-письма, заражённые вложения и фишинговые письма.

• Массовая рекламная рассылка
• Письма с вложениями .zip/.js
• Фишинговые письма от имени сервиса

Спам-комментарии в блогах CMS.

• Автокомментарии WordPress со ссылками
• Трекбэк-спам на записи блога

Сопутствующая категория: адрес VPN-выхода.

• Запросы с коммерческого VPN-сервиса
• Адрес клиента корпоративного VPN

Сканирование открытых портов и уязвимых сервисов.

• Перебор портов 1..65535
• Поиск открытых 22/3389/445
• Паттерн, характерный для Zmap/Masscan

Попытки несанкционированного взлома.

• Подбор пароля администратора
• Эксплуатация RCE-уязвимости
• Загрузка веб-шелла

Попытки SQL-инъекций.

• ' OR 1=1 -- в параметре id
• UNION SELECT для выгрузки хэшей паролей
• Сигнатуры sqlmap в запросах

Подмена адреса отправителя e-mail.

• Письма с чужим From при провале SPF/DKIM
• Рассылка от имени домена банка

Перебор учётных данных на веб-логинах и сервисах SSH, FTP, SIP, SMTP, RDP и других.

• Повторяющиеся POST /login с разными паролями
• Ошибки аутентификации SSH
• Перебор NLA на RDP

Скрейпинг страниц и боты, игнорирующие robots.txt.

• Скрейпер каталога товаров
• Обход директив robots.txt
• Массовые запросы без пауз

Хост, вероятно, заражён и используется для атак или размещения вредоносного контента.

• C2-трафик с хоста
• Раздача вредоносных файлов
• Участие в ботнете

Пробы и эксплуатация установленных веб-приложений: CMS, интернет-магазины, форумы, phpMyAdmin и другие.

• Запросы к /.git/config, /wp-login.php, /phpmyadmin
• LFI/RFI/XSS/XXE-попытки
• Сканирование плагинов и тем CMS

Злоупотребления SSH (используется вместе с более конкретными категориями).

• Перебор SSH-паролей
• Попытки входа под root

Атака, нацеленная на устройства интернета вещей.

• Эксплойты камер и роутеров
• Попытки Telnet на порт 23
• Mirai-подобные сигнатуры