Ce que les scanners SIP racontent d'eux-mêmes

10/09/2026 :: fr :: SIP, honeypot, VoIP, scan, securite

Dans le premier article, j’ai présenté le contexte du honeypot SIP et les grandes masses de trafic : 48 721 111 requêtes, 12 634 617 signatures et 57 970 IP distinctes entre novembre 2021 et septembre 2026.

Cette deuxième partie regarde les comportements. Les chiffres ne permettent pas d’attribuer une attaque à une personne ou à une organisation, mais ils donnent une bonne idée des stratégies employées : exploration très large, répétition insistante, User-Agents trompeurs, bruteforce d’identifiants et sondes reconnaissables.

Une petite minorité d’IP produit beaucoup de trafic

Les adresses sont remplacées par leur rang. Ce classement reste stable uniquement dans cette photographie du jeu de données.

Les dix premières IP totalisent 4 308 050 requêtes, soit 8,84 % de tout le trafic. Les profils diffèrent fortement : IP-04 génère presque une signature par requête, tandis qu’IP-05 répète beaucoup un petit ensemble de signatures. La première ressemble à une exploration large ; la seconde, à une campagne insistante sur des combinaisons plus limitées.

Il s’agit d’une interprétation comportementale, pas d’une attribution. Une IP peut être une machine compromise, un relais, un VPN, une adresse réattribuée ou une infrastructure partagée.

Les sous-réseaux /24

Regrouper les sources par /24 sert surtout à vérifier si un gros volume vient d’un bloc entier ou d’une seule machine. Dans cet instantané, le préfixe le plus actif dépasse 1,32 million de requêtes réparties sur 147 IP, tandis qu’un autre dépasse 542 000 requêtes avec une seule IP active.

Un volume élevé au niveau /24 ne signifie donc pas toujours un botnet distribué. Il peut indiquer une plage vraiment active, mais aussi une seule source très bavarde dans un bloc autrement silencieux.

Combien de temps une IP reste visible ?

Pour chaque IP, j’ai calculé l’écart entre sa première et sa dernière observation. Il vaut mieux parler de durée d’observation que de durée d’utilisation : deux requêtes séparées par quatre ans ne prouvent pas une activité continue entre les deux.

• durée médiane : 40,4 heures ;
• durée moyenne : 59,9 jours ;
• 75 % des IP disparaissent en moins de 69,9 jours ;
• 90 % disparaissent en moins de 144,8 jours ;
• durée maximale observée : 1 655 jours, soit environ quatre ans et six mois ;
• 39 IP ont été observées sur une période supérieure à quatre ans.

Le graphique rend visible le contraste : beaucoup d’adresses ne font que passer, mais la longue traîne existe vraiment. Les volumes deviennent faibles après un an, pourtant ils ne tombent jamais complètement à zéro.

Le cas des IP les plus anciennes est révélateur. Les sources aux durées d’observation les plus longues ont surtout envoyé des requêtes OPTIONS espacées. Cela ressemble à une sonde ou à un contrôle périodique très stable, mais plusieurs explications restent possibles : service légitime mal configuré, scanner récurrent, équipement conservant une IP fixe, NAT partagé ou réattribution de la même adresse à plusieurs machines.

Les User-Agents mentent souvent

Le champ User-Agent ressemble à une source d’attribution tentante, mais il est entièrement contrôlé par l’émetteur. Un scanner peut annoncer le nom d’un softphone réel, utiliser une chaîne fabriquée ou changer d’identité à chaque campagne.

Il faut donc le traiter comme un indicateur de campagne, pas comme l’identité d’un logiciel. Sa vraie valeur apparaît lorsqu’on le croise avec la méthode, la cible, la fréquence et la période.

Les dix premières chaînes représentent ensemble 34,4 millions de requêtes, soit environ 70,6 % de tout le trafic observé.

La hiérarchie est très asymétrique : pplsip domine largement, puis un groupe de chaînes entre 2,4 et 3,4 millions de requêtes se détache du reste. Ce classement parle surtout de familles de campagnes et de configurations d’outils, pas directement d’opérateurs.

Ces noms ne signifient pas que 3,4 millions de requêtes proviennent réellement de téléphones Polycom ou que 3 millions viennent de postes Avaya. Dans une requête SIP, le scanner choisit librement son User-Agent. Reprendre le nom d’un équipement courant peut servir à imiter un terminal, à tester des règles spécifiques ou simplement à utiliser la valeur par défaut d’un outil.

pplsip est justement la valeur par défaut du paramètre User-Agent dans SIPPTS, la suite d’outils SIP de Pepelux. La chaîne ne prouve pas que chaque paquet vient du dépôt officiel, car l’option -ua est configurable et le code peut être repris ou modifié, mais elle explique pourquoi ce libellé revient massivement dans des campagnes automatisées. friendly-scanner reste de son côté associé à SIPVicious, tandis que des chaînes comme erafsadfasfa semblent volontairement artificielles. PBX ou ims sont plus génériques.

Les gros volumes de REGISTER

REGISTER représente près de 33,4 millions de requêtes dans la base. Sur ce honeypot sans comptes utilisateurs, les très gros volumes sont compatibles avec de la découverte d’identifiants ou du bruteforce automatisé.

Les IP sont remplacées par des identifiants REG-01, REG-02, etc. La colonne “identifiants testés” correspond au nombre de valeurs appelantes distinctes ; le nombre de destinataires est ici identique ou presque identique.

REG-01 et REG-03 combinent un volume élevé, un seul User-Agent et des dizaines de milliers d’identifiants distincts sur une période courte. REG-10 concentre plus de 307 000 requêtes en moins d’une journée. Ces profils sont fortement compatibles avec des campagnes automatisées d’énumération ou de bruteforce.

REG-05 et REG-07 sont différents : plusieurs User-Agents et une activité répartie sur près de deux ans. Une même IP publique peut être partagée, réattribuée ou utilisée par plusieurs machines ; leur persistance ne suffit donc pas à conclure qu’il s’agit d’un acteur unique.

Quelques sondes reconnaissables

Une partie du trafic ne ressemble ni à du bruteforce REGISTER, ni à des tentatives d’appel INVITE. On voit aussi des requêtes OPTIONS très ponctuelles, souvent envoyées sans User-Agent, qui servent plutôt à reconnaître un service SIP exposé.

Je garde l’analyse détaillée de ces signatures dans l’article suivant, parce qu’elle dépend davantage des champs From, To, Call-ID et CSeq que du volume brut par source. Ici, le point important est simplement que le corpus mélange des campagnes insistantes et des sondes beaucoup plus légères.

Ce que je retiens

Le trafic SIP exposé sur Internet mélange plusieurs comportements. Certains ressemblent à du balayage très large, avec peu de requêtes par IP. D’autres sont beaucoup plus insistants, avec des centaines de milliers de tentatives REGISTER ou INVITE. Les User-Agents aident à regrouper des familles de comportements, mais ils ne prouvent pas l’identité d’un outil ou d’un acteur.

Cette lecture comportementale donne une base utile, mais elle ne dit pas encore grand-chose des identifiants placés dans les en-têtes SIP. C’est le sujet du troisième article : Ce que les identifiants SIP révèlent des scanners.

Notes méthodologiques

• Les classements IP et /24 sont calculés sur la table complète, puis anonymisés par rang.
• Aucune adresse IP brute n’est publiée dans cet article.
• La durée d’observation d’une IP est l’écart entre son plus ancien first_seen et son plus récent last_seen. Elle ne mesure pas une activité continue.
• Un User-Agent SIP est déclaratif et ne doit pas être traité comme une preuve d’attribution.