A Russian phone number, WhatsApp, and 140 outbound SSH alerts
2 days ago
- 来自iPhone的SSH扫描的IDS警报实际上是由WhatsApp的连接竞争行为引起的，而非恶意活动。
- 作者最初误解了IDS规则，该规则在2分钟内达到5个SYN的阈值时触发，而不是针对单个连接。
- 受控的数据包捕获显示，启动WhatsApp会触发10-24个并行连接到各种服务器的突发，一旦正常连接成功，这些连接就会被放弃。
- 该手机有一个俄罗斯号码，这种行为被推测为WhatsApp为受限地区用户嵌入的审查规避功能。
- 未发现被入侵的证据；设备检查结果正常，流量极小且仅与启动WhatsApp相关。
- 经验教训：仔细阅读检测规则，检查所有设备是否存在相同行为，建立空闲基线，进行受控测试，并在基于采样日志构建理论之前捕获流量。