1. परिचय — एक अंतर्ज्ञान से शुरू हुई जांच #

“ऐसा लग रहा है कि हाल में block किए गए हमलों की संख्या घट रही है।”

BASTION के production ऑपरेशन को शुरू हुए लगभग एक महीना हुआ था। हमारी टीम के अंदर यह टिप्पणी सुनने को मिली। क्या यह सिर्फ एक अहसास था, या हमलों में वाकई गिरावट आई थी? — यही सोचकर attack logs का विश्लेषण करते हुए हमने पाया कि **1 मई 2026 को एक असामान्य spike हुआ था**।

उस एक ही दिन में लगभग 40,000 block हुए — सामान्य दैनिक volume का तीन गुना।

लेकिन जैसे-जैसे हम डेटा में गहराई से उतरे, एक बिल्कुल अलग कहानी सामने आई। यह लेख उसी “सच्ची जांच” का रिकॉर्ड है।

2. परिकल्पना का सत्यापन — जापान-लक्षित थ्योरी खारिज हुई #

अगर यह “जापान के Golden Week को लक्षित हमला” होता, तो पड़ोसी देशों (चीन, कोरिया, रूस) से reconnaissance गतिविधि में बढ़ोतरी दिखनी चाहिए थी। लेकिन डेटा ने कुछ और ही दिखाया।

पड़ोसी देशों का अनुपात वास्तव में घटा। जो बढ़ा, वह “अज्ञात small-scale ASNs” का एक समूह था। सिर्फ इसी से “जापान-लक्षित थ्योरी” खारिज हो गई।

इसके अलावा, वेब सर्वर-स्तर के Agents द्वारा capture किए गए events 1 मई को वास्तव में कम थे (सामान्य दिन की 570 lines के मुकाबले 432 lines)। इस spike की असली प्रकृति L1/L4 TCP port scanning थी, न कि जापानी वेबसाइटों को लक्षित कोई campaign।

तो फिर, **ये “अज्ञात ASNs” आखिर थे क्या?** यहीं से जांच अपने गंभीर चरण में पहुंची।

3. “अज्ञात ASNs” की एक-एक करके पहचान #

हमने केवल सार्वजनिक रूप से उपलब्ध जानकारी का उपयोग किया। विशेष रूप से:

• Team Cymru की whois सेवा — ASN से organization की mapping
• Spamhaus DROP / EDROP / ASNDROP लिस्ट — ज्ञात bot infrastructure
• Tor Project की Exit Node लिस्ट — anonymized communications का पता लगाना

सिर्फ इन्हीं से आप उल्लेखनीय गहराई तक खोज कर सकते हैं। किसी commercial license की जरूरत नहीं।

हमारी जांच का लक्ष्य वे 41 ASNs थे जो 1 मई के spike में प्रमुखता से उभरे। इन्होंने एक वैश्विक स्तर की bot economy की संरचना उजागर कर दी।

4. सबसे बड़ी खोज — मुख्य संदिग्ध निकला Namecheap #

प्रारंभिक जांच में, 1 मई के spike के शीर्ष attack sources में से एक था **AS22612**, एक “अज्ञात” ASN। इसने एक ही दिन में 1,152 events trigger किए।

जब हमने इसे Team Cymru पर देखा:

AS22612 | US | arin | 2011-06-21 | NAMECHEAP-NET - Namecheap, Inc., US

Namecheap — एक domain registrar और VPS provider। दुनिया भर में मशहूर कंपनी, लेकिन security जगत में abuse response की सुस्ती के लिए जानी जाती है, जिससे यह हमलावरों में लोकप्रिय है।

और भी दिलचस्प था इसका behavioral pattern। AS22612 30 में से सिर्फ 4 दिन दिखाई दिया, और अकेले 1 मई को इसके कुल events का 99% (1,152/1,163) दर्ज हुआ। यह “सिर्फ 1 मई के लिए किराए पर लिए गए disposable VPS” का classic व्यवहार है।

5. Bot infrastructure की 3-layer संरचना #

जैसे-जैसे जांच आगे बढ़ी, हमने पाया कि 1 मई के spike में शामिल attack sources तीन अलग-अलग layers में बंटे हुए थे।

5.1 Layer 1: Disposable infrastructure — “24 घंटे में गायब हो जाने वाला attack infrastructure” #

दुनिया भर के budget VPS providers से short-term किराए पर लिए जाते हैं, सिर्फ हमले के दिन सक्रिय रहते हैं और फिर गायब हो जाते हैं। हमने जिन providers की पहचान की, उनमें शामिल हैं IOFLOOD (USA), Biznet (इंडोनेशिया), Layerstack (हांगकांग), Rackforest (हंगरी), Wolast (बांग्लादेश), SKSA (मलेशिया) — वैश्विक रूप से वितरित।

विशेष रूप से दिलचस्प था: AS208220 (OFFERHOSTINC, Seychelles)। ASN registration की तारीख: 19 मई 2025 — 1 मई के हमले से सिर्फ छह महीने पहले। हमलावर लगातार अपना infrastructure नया करते रहते हैं।

5.2 Layer 2: Bulletproof hosters — Spamhaus द्वारा आधिकारिक रूप से “bot operation infrastructure” घोषित 32 providers #

ये वे providers हैं जो Spamhaus की ASN-DROP लिस्ट (उन ASNs की Spamhaus की आधिकारिक सूची जिन्हें “botnet operation infrastructure” माना गया है) में आधिकारिक रूप से दर्ज हैं।

इनमें से 1 मई के spike में शामिल थे:

• Aeza (रूस)
• Stark Industries (मोल्दोवा)
• PROSPERO (रूस)
• DMZHOST (Seychelles)
• STORMINDUSTRIES (लक्ज़मबर्ग)
• IP Volume Inc (नीदरलैंड)
• VPSVAULTHOST (यूनाइटेड किंगडम)
• Serverion (नीदरलैंड)
• 24 अन्य

ये एक ऐसे business model पर चलते हैं जो abuse reports को नज़रअंदाज़ करता है और हमलावरों से premium दरें वसूलता है। Bulletproof hosting के नाम से मशहूर, ये वैश्विक स्तर पर legitimate gray-zone व्यवसाय के रूप में काम करते हैं।

भौगोलिक वितरण (देश के अनुसार ASN संख्या): GB 6, DE 3, HK 3, NL 2, UA 2, MD 2, SC 2, BG 2, RO 2, US 2, RU 2, LT 1, LU 1, SG 1, IR 1. **अस्पष्ट कानूनी अधिकार-क्षेत्र वाले jurisdictions में केंद्रित।**

5.3 Layer 3: Persistent major cloud — लगातार चालू रहने वाला “background noise” #

Google Cloud, AWS, DigitalOcean, Linode, Vultr, Hetzner, OVH, Contabo — ऐसे major cloud providers जिन्हें कोई भी इस्तेमाल कर सकता है। ये पूरे 30 दिनों में सक्रिय दिखे, और 1 मई को इनकी गतिविधि कई गुना बढ़ गई।

चूंकि legitimate ग्राहक और हमलावर एक ही infrastructure साझा करते हैं, ASN-स्तर पर blocking कोई विकल्प नहीं है। हमें अलग-अलग IP के behavioral patterns देखकर केवल malicious VM instances की पहचान करनी होगी।

6. Tor था 0% — Anonymity पर भारी आर्थिक तर्कसंगतता #

हमारी जांच का एक चौंकाने वाला निष्कर्ष था Tor की usage rate।

Tor exit node matches: 0 / 5,317 IPs (0.000%)

हमलावर Tor जैसे anonymization networks का उपयोग नहीं कर रहे थे। कारण स्पष्ट है: Tor धीमा है, bandwidth limits हैं, और bot scanning के लिए अनुपयुक्त है। इसके बजाय, “disposable VPS आर्थिक रूप से ज्यादा तर्कसंगत है” — track हो भी जाएं तो बस इस्तेमाल करके आगे बढ़ जाओ।

7. Behavioral pattern विश्लेषण — Persistence से उजागर होती “infrastructure की प्रकृति” #

30 दिनों के logs का उपयोग करके हमने विश्लेषण किया कि हर ASN 1 मई के अलावा अन्य दिनों में भी दिखा या नहीं।

“Burn rate” है 53.7%। आधे से अधिक ASNs short-term consumption model पर चल रहे थे।

लगातार सक्रिय रहने वाले 19 ASNs ज्यादातर Google Cloud / AWS / DigitalOcean / Vultr / Hetzner थे — बड़े cloud providers जहां legitimate ग्राहक और हमलावर साथ-साथ मौजूद हैं। इसका मतलब है कि “केवल malicious instances को अलग पहचानना” जरूरी है।

8. Defense के लिए निहितार्थ — BASTION के design decisions सही साबित हुए #

इस जांच से पता चला कि BASTION के कई design decisions, पीछे मुड़कर देखें तो, सही विकल्प थे।

8.1 Automatic expiring TTL “disposable cycles” से मेल खाता है #

BASTION जानबूझकर finite TTL के साथ intentional blocks का automatic expiration लागू करता है। शुरू में यह निर्णय “स्थायी false positive registration को रोकने” के लिए लिया गया था, लेकिन पीछे देखने पर यह attack infrastructure के सामान्य जीवनकाल से मेल खा गया — एक तर्कसंगत design decision।

8.2 अलग-अलग IP blocking नहीं, ASN-स्तर detection अनिवार्य है #

Disposable VPS हर 24 घंटे में IP बदल लेते हैं। अलग-अलग IP का पीछा करना बेकार है। ऐसे behavior patterns को पकड़ना जहां एक ही ASN के कई IP एक साथ विविध scans करते हैं, IP बदलने पर भी detection संभव बनाता है। BASTION ठीक यही approach ASN-स्तर grouping के साथ group correlation detection के जरिए लागू करता है।

8.3 Spamhaus ASN-DROP के साथ integration #

Spamhaus आधिकारिक रूप से 410 ASNs को bulletproof hosters के रूप में चिन्हित करता है। इनसे आने वाले traffic को स्वतः suspicious माना जा सकता है। BASTION भविष्य के updates में बढ़ी हुई sensitivity के साथ ASN-DROP लिस्ट का automatic ingestion लागू करने की योजना रखता है।

8.4 24/7 automatic defense का महत्व #

चूंकि हमले उन्हीं समयों में केंद्रित होते हैं जब SOC स्टाफ कम होता है, ऐसा defense system अनिवार्य है जो बिना किसी इंसान की मौजूदगी के अपने आप काम करे। BASTION को शुरुआत से ही इसी premise पर design किया गया था।

9. सबक — “शायद कुछ नहीं” वाली जांच से क्या दिखाई दिया #

टीम के भीतर की एक साधारण-सी टिप्पणी — “attack blocks घटते दिख रहे हैं” — एक ऐसी जांच तक ले गई जिसने अंततः वैश्विक स्तर की bot economy की संरचना को दृश्यमान कर दिया।

निष्कर्षों का सारांश:

1. 1 मई का spike जापान-लक्षित नहीं था, बल्कि वैश्विक bot गतिविधि में उछाल था
2. मुख्य कारण था 24 घंटे के लिए किराए पर लिए गए Namecheap VPS से किए गए disposable हमले
3. दुनिया भर के सस्ते VPS बड़े पैमाने पर attack infrastructure के रूप में खपाए जा रहे हैं
4. Spamhaus द्वारा चिन्हित 32 bulletproof hosters उस दिन शामिल थे
5. Tor का उपयोग शून्य, सब कुछ VPS-आधारित — आधुनिक हमलावर आर्थिक तर्कसंगतता से चलते हैं
6. BASTION का automatic expiring TTL, ASN-स्तर detection और 24/7 automatic defense अंततः इस “disposable economy” के खिलाफ सही design विकल्प साबित हुए

हमारे प्रारंभिक सवाल पर लौटें: “क्या घटी हुई block count का मतलब यह है कि BASTION काम कर रहा है?” — हम अभी निश्चित रूप से नहीं कह सकते। 30 दिनों का डेटा बहुत कम है। हमें अन्य लंबी छुट्टियों (Obon, साल के अंत/नए साल) के दौरान भी वही observations जारी रखनी होंगी और repeatability की पुष्टि करनी होगी।

फिर भी, जांच के दौरान मिली insights मूल सवाल के जवाब से कहीं ज्यादा मूल्यवान साबित हुईं।

10. भविष्य की दिशा #

• Obon (13-15 अगस्त) और साल के अंत/नए साल (29 दिसंबर – 4 जनवरी) के दौरान repeatability की पुष्टि — क्या जापान-विशिष्ट छुट्टियों के दौरान भी ऐसे ही spikes आते हैं
• Spamhaus से ASN-DROP का automatic ingestion — BASTION की sensitivity determination में integration
• “Short-term VPS campaign detection” का algorithm में रूपांतरण — “कम समय में high-volume scanning करने वाले ASNs” की यांत्रिक पहचान
• Calendar-linked automatic sensitivity adjustment — छुट्टियों से पहले/बाद में सख्त thresholds

हम इन्हें क्रमशः लागू करेंगे। BASTION का विकास जारी है।