Nocus Networks LLC : pourquoi ils scannent vos ports (et pourquoi c'est OK)
Cette connexion « suspecte » ? C'est un honeypot de recherche sécurité.
Voir des tentatives de connexion répétées depuis Nocus Networks LLC dans vos logs firewall ? Ne paniquez pas. Ce sont les gentils.
Qu'est-ce que Nocus Networks ?
- Organisation légitime de recherche cybersécurité
- Opère un Honeynet — systèmes volontairement vulnérables déployés pour attirer attaquants
- Mission : « Fournir visibilité dans l'activité hackers tout en protégeant la communauté internet »
- Données partagées avec FAI, CERTs, flux threat intel pour améliorer défenses globales
Pourquoi ils tapent votre IP
- Scan internet-wide : ils sondent l'espace IPv4 pour trouver services exposés (RDP, SSH, bases de données, IoT)
- Monitoring passif : leurs honeypots reçoivent attaques ; ils remontent aux IPs sources
- Votre IP est apparue dans :
- Connexions sortantes vers leurs honeypots (appareil compromis ?)
- Scans provenant de votre netblock (hébergement partagé, sortie VPN, sortie Tor)
- Collatéral : ils scannent tout le monde ; vous êtes dans le recensement
Faut-il s'inquiéter ?
- Risque faible : ils n'exploitent pas — ils observent
- Signal fort : si vous les voyez scanner vous, votre firewall fait son job (logue paquets droppés)
- Action : vérifiez pas de compromission réelle. Check connexions sortantes inattendues. Mettez à jour services exposés.
Que faire
- Confirmez c'est Nocus : WHOIS
nocus.net→ AS396356, abuse@nocus.net - Checkez vos logs pour connexions entrantes réussies (pas juste scans bloqués)
- Assurez patching, MFA, pas de creds par défaut, pas de ports admin ouverts au monde
- Optionnel : bloquez leur ASN si bruit gêne — mais perdez bénéfice threat intel
En résumé
Nocus c'est la garde de quartier qui vérifie les poignées de porte. Ce ne sont pas les cambrioleurs. Votre porte verrouillée (firewall) a fait son job.