Veel bezoekers uit Ukraine

[golden]

Goedemiddag,

Ik was benieuwd of iemand het volgende ook ervaart.

Afgelopen dagen is er sprake geweest van een hoop geinfecteerde omgevingen met Ransomware welke in Ukraine begonnen is.

Echter vandaag krijgen we van een klant van ons de melding dat er enorm veel bezoekers uit Ukraine op hun site zitten (google analytics).

Ik kan zelf niet herleiden wat het doel ervan is en waarom ze erop zitten. Het lijkt me niet een manier van hacken, gezien ze verder niet navigeren.

Verder draaien de servers op een linux omgeving: 1 varnish en daarachter via een intern netwerk meerdere backend servers.

Bij de Varnish staat enkel de port 80 & 443 open. De rest is volledig afgesloten via een firewall. Ook in de logs kunnen we verder niks terugvinden.

Dus iemand enig idee waarom en wat het doel is van de bezoekers? Op de bijgevoegde afbeelding komen ze uit meerdere plaatsen. Gister kwamen ze enkel uit "Dnipro"

https://s3.postimg.org/m4q4b4937/Schermafbeelding_2017-06-30_om_15.54.22.png

Alvast bedankt,
Sebastiaan

[t.bloo]

komen ze op IP of op vhost name op die site?

misschien dat de site gebruikt wordt als een of andere "switch" binnen die ransomware aanvallen? kan dan ook een typefout zijn

[golden]

Bedankt voor je reactie. Het bleek een crawler te zijn van 1 van hun partners die bijzonder maar waar volgens analytics uit Ukraine komen. Wel een beetje ongemakkelijk moment zo op dezelfde dagen als ransomware aanvallen haha.

In werkelijkheid stonden servers in Duitsland, dus vandaar konden we geen overeenkomsten tussen analytics vinden en logs.

[t.bloo]

Dat is wel heel ongelukkig ja. Je ziet wel vaker dat geo-ip er een beetje naast zit.

[The-BosS]

Zal wel door het traden van ip ranges komen, ken hier ook paar ranges waar geo-ip usa zegt maar deze toch in belgie announced worden.

[SpectraIP]

Soms duurt het wel een half jaar voordat zoiets wordt geüpdate... hebben wij ook gezien laatst.