ONYPHE — der verifizierte Scanner-Block und warum die offizielle Liste nicht reicht
von Shopbetreibern für Shopbetreiber.
Wie der PARC-Feed für ONYPHE entstand: ONYPHE publiziert eine offizielle Liste, aber sie ist unvollständig. Per multilingualer Foren-/Suchmaschinen-Recherche + bidirektionalem FCrDNS gegen *.probe.onyphe.net haben wir 8 zusätzliche aktive Probe-Blöcke belegt, u. a. kundendedizierte US-Scanner.
ONYPHE ist ein internet-weiter Attack-Surface- und CTI-Scanner aus Frankreich (seit 2017) — scannt Internet und Dark Web nach exponierten Assets. Kein SEO-Tool. ONYPHE handelt vorbildlich („Ethical Internet Scanning"): feste IPs, Reverse-DNS auf das eigene Projekt, Opt-out per E-Mail. Sie publizieren sogar eine offizielle Liste — die aber, wie wir festgestellt haben, nicht den gesamten aktiven Probe-Bestand abdeckt. Den Rest haben wir per bidirektionalem FCrDNS gegen *.probe.onyphe.net belegt. Teil unseres PARC-Security-Feeds.
onyphe.json — Feed ansehen ONYPHE — offizielle Liste →
Die Blöcke
14 IPv4-Bereiche (1.424 Adressen) + 3 IPv6 — offizielle plus FCrDNS-belegte:
Offiziell (ONYPHE-eigenes ASN AS213412, www.onyphe.io/ip-ranges.txt):
91.196.152.0/24 91.230.168.0/24 91.231.89.0/24
94.231.206.0/24 195.184.76.0/24 51.254.49.96/28
2a14:f100::/29 2001:41d0:33a:a00::400/124 2001:41d0:33d:9200::400/124
Zusätzlich, per FCrDNS belegt (NICHT in der offiziellen Liste):
5.196.200.240/28 (OVH EU — allg. Probe-Block, weiter aktiv)
51.81.14.224/28 scanner1us.tmhcc.probe.onyphe.net
147.135.26.176/28 scanner2us.tmhcc.probe.onyphe.net
51.81.26.64/28 scanner3us.tmhcc.probe.onyphe.net
51.81.253.64/28 scanner4us.tmhcc.probe.onyphe.net
51.81.228.240/28 scanner5us.tmhcc.probe.onyphe.net
51.81.218.64/28 scanner6us.tmhcc.probe.onyphe.net
147.135.58.160/28 scanner7us.tmhcc.probe.onyphe.net
Warum die offizielle Liste nicht reicht
ONYPHEs ip-ranges.txt listet sauber die eigenen Scan-Ranges — alle fünf /24 stammen aus ONYPHEs autonomem System AS213412. Was dort fehlt, sind die kundendedizierten Scanner: ONYPHE betreibt für einzelne Kunden eigene Scanner-Instanzen (hier am Label tmhcc erkennbar), gehostet bei OVH US (AS16276) — sieben /28-Blöcke, systematisch scanner1us…scanner7us benannt. Diese scannen das Internet genauso, sind also für einen Shopbetreiber genauso ONYPHE-Traffic — tauchen aber in der offiziellen Liste nicht auf. Dazu kommt 5.196.200.240/28, ein weiterer aktiver Probe-Block (OVH EU), der in einer älteren Fassung der Liste stand und still entfernt wurde, aber weiterläuft.
Wie wir die Zusatz-Blöcke gefunden haben
Multilinguale Recherche über mehrere Suchmaschinen (EN/DE/RU) förderte Probe-Hostnamen und IP-Bereiche zutage, die nicht in der offiziellen Liste stehen. Jeden Kandidaten haben wir dann bidirektional FCrDNS-geprüft — und das systematische Namensschema erlaubte, die vollständigen Blöcke per scannerNus-01-Auflösung zu enumerieren:
Forward (Hostname -> IP):
scanner3us-10.tmhcc.probe.onyphe.net → 51.81.26.73
Reverse + Forward-Confirm (jede der 16 Adressen je /28):
51.81.26.64 → scanner3us-01.tmhcc.probe.onyphe.net → 51.81.26.64 ✓
5.196.200.241 → cruz.probe.onyphe.net → 5.196.200.241 ✓
Jede der 128 Adressen in den acht Zusatz-/28 löst sich bidirektional auf *.probe.onyphe.net auf (16/16 je Block). Die offiziellen /24 stammen aus ONYPHEs eigenem ASN und werden als deren publizierte Deklaration übernommen.
Reverse-DNS-Muster
{name}.probe.onyphe.net (allgemeine Probes: danny, smith, cruz …)
scanner{N}us-{NN}.tmhcc.probe.onyphe.net (kundendedizierte US-Scanner)