[VincaSec]

IP 195.222.97.167 (AS42186 - Kancelarija za IT i eUpravu) je po CrowdSec-u označen kao maliciozan, sa vrlo agresivnim ponašanjem koje uključuje skeniranje i POP3/IMAP brute-force. Na VirusTotal-u se vide brojne Passive DNS relacije ka domenima vezanim za Synology QuickConnect, QNAP i remoteWD (*.quickconnect.to,*.synology.me,*.myqnapcloud.com), što ukazuje da je IP bio ili je još uvek povezan sa nekom NAS / remote-access infrastrukturom.

https://app.crowdsec.net/cti/195.222.97.167
https://www.virustotal.com/gui/ip-addres.../relations
https://www.abuseipdb.com/check/195.222.97.167

   
   
   
   
   
   

[milos_rs]

Prema nalazima, ova IP adresa pokušava da upadne u mejl naloge na mejl serverima po internetu. Neki uređaj iza ove IP adrese je verovatno inficiran nekim malverom. Postoje indicije da je iza adresa velika količina NAS uređaja, ali ne mora da znači da je jedan od njih zapravo i akter ovih malicioznih aktivnosti

Prema abuseipdb, IP adresa 195.222.97.167 je počela sa malicioznim ponašanjem 2025-12-01 10:22:08 UTC :

   

i 23 dana kasnije napadi su još uvek aktivni sa ove IP adrese, najnoviji registrovani napad do trenutka pisanja ovog teksta desio se 2025-12-23 14:54:08 :

   

Drugi servis koji generiše blok liste od IP adresa koje se ponašaju na ovaj način, blocklist.de je u nekom trenutku uvrstio ovu IP adresu u blok listu, ali trenutno se ne nalazi blokiranom :

   

Spamhaus je takođe stavio ovu IP adresu na spisak problematičnih :

   

---

Što se tiče poddomena asociranih sa ovom IP adresom, to su adrese koje preko DNS-a pokazuju na IP adresu od raznih NAS uređaja koji automatski kreiraju tu adresu tako što se povezuju na server proizvođača koji onda tim putem zna njihovu eksternu IP adresu i kreira im domen za lakše pristupanje spolja. *.quickconnect.to i *.synology.me su od Synology NAS uređaja, remotewd.com od Western Digital NAS uređaja a myqnapcloud.com od QNAP

Neki od ovih poddomena postoje odavno prema spisku koji daje virustotal za IP adresu, ali sve dok se uređaj aktivno koristi i upaljena je usluga daljinskog pristupa na njima, ovi poddomeni će ostati aktivni. Sa druge strane nije moguće pristupiti im sa spoljnjeg interneta, na IP adresi ne postoje nikakvi servisi te i ovi sami domeni su beskorisni, samo su automatski generisani od strane uređaja što takođe dokazuje da uređaji imaju slobodan pristup ka internetu preko ove IP adrese.

Ovo su sve pronađene adrese koje su u nekom trenutku bile asocirane sa IP adresom 195.222.97.167 :

Code:

device-1f68bf19-e817-42d9-ae0d-eb914724f490.remotewd.com device-4462a41a-268a-44ea-a8d7-7f1fe7c6663e.remotewd.com device-d30f3795-db62-41d9-9de3-5ebca010cf94.remotewd.com kolektiv.direct.quickconnect.to ladanova.direct.quickconnect.to poks2022.direct.quickconnect.to ppdvault.myqnapcloud.com servus2quickconnect.direct.quickconnect.to sume.synology.me uzskolektiv.direct.quickconnect.to uzv.synology.me uzzb.direct.quickconnect.to zinfuli.direct.quickconnect.to

Neke od njih više ne pokazuju na tu IP adresu, na primer synology.me adrese više ne rade. Takođe ni device-1f68bf19-e817-42d9-ae0d-eb914724f490.remotewd.com.

Zanimljivost je ppdvault.myqnapcloud.com koji u ovom trenutku nije na toj IP adresi nego na IP adresi 195.222.97.250 koja takođe pokazuje neke skorašnje indikacije problematičnog ponašanja :