¿Cómo sabría un atacante los IP de Gateway de los 2 puntos finales de VPN?

Está asumiendo que el atacante tiene conocimiento de ambos dispositivos. La dirección particular que has anotado no es ajena a ataques aleatorios . SANS Internet Storm Center lo enumera, también ha aparecido en otras listas de vigilancia. Se puede llegar a la conclusión de que esto es parte de una botnet o de alguna otra máquina de escaneo / piratería informática / badguy automatizada.

, las máquinas comprometidas, etc., tienen una tendencia a disparar enormes cantidades de exploraciones de reconocimiento contra numerosas cantidades de máquinas. Piénsalo, si fueras un atacante, ¿por qué no aprovecharías una máquina para escanear muchas? Lo que hacen estas máquinas, es recorrer aleatoriamente, y / o definir bloques de red, enumerar lo que es visible, lo que no lo es, y pasar esto a veces a otras máquinas para realizar la explotación.

Considera lo siguiente:

Attacker Botnet
Recon machine: 61.160.213.108
Exploit machine: 10.10.1.2

La máquina de reconocimiento sale de la red en busca de posibles víctimas. Cuando / si los encuentra, por lo general lo pasa a otra máquina para realizar una explotación o un ataque de fuerza bruta. En el caso de que estuvieras atento y notaras una sonda, podrías bloquear la Máquina de Recon, pero la realidad es que la máquina de explotación probablemente participará o implementará el ataque.

Si bien percibe que la Máquina de reconocimiento sabe acerca de su infraestructura, existe una alta probabilidad de que la sonda inicial fuera aleatoria. Entonces, por supuesto, está la alternativa. Alguien está apuntando a su red. En el caso de que lo fueran, no es difícil obtener información sobre las empresas y las redes asociadas con ellas. Considere una compañía aleatoria: ACME, si estuviera apuntando a su red, podría usar Arin y simplemente decir: "Oye Arin, muéstrame qué redes podrían estar asociadas con ACME" y con esa información, puedo apuntar a cada red que encuentre:

Hay muchas maneras en que alguien puede apuntarte, pero supongo que cada red tuya que encontraste fue probablemente aleatoria.

Una posibilidad probable es que simplemente estuvieran escaneando todas las direcciones IP para ese servicio en particular y afectaran a ambos sistemas. ZMap afirma poder escanear todo el espacio IPv4 en menos de 45 minutos.