أمضت Quantitative Security الفترة من 31 يوليو حتى 9 أكتوبر 2026 في السلسلة العامة التي هيّأت مراجعة منتصف العام الأدوات اللازمة لإنتاجها. تمتد السلسلة من الاستطلاع النطاقي السحابي في 31 يوليو إلى طُعم بطاقة Coinbase غير المدفوعة في 9 أكتوبر، ونُشرت كمحتوى طويل بصيغة TLP:CLEAR على منصة X. وفي أغسطس، وُجّهت المنهجية نحو الداخل: فجارتُنا على GitHub حُلّت إلى هوية مبيعات خطط صحية، وقِيس نطاق الشركة نفسه كهدف خارجي، وسُوِّيت تسميات شركات الاتصالات لعام كامل مقابل السجل. أما سبتمبر فطبّق الاختزال ذاته على جدار حماية منزلي وعلى مطحنة snowshoe واحدة، وأبقى المنصات التي استضافت تلك الحالات في فئة خاصة بها. وفي أكتوبر، فُصل سجل مهملات إلى قياسات وشبكات عدائية معروفة وأدوات الشركة نفسها، ووُضع ادعاء أوسع حول Yandex Compute بمواجهة وثائق المزوّد، وتُتبعت مجموعة أدوات بطاقات وصولًا إلى فاتورة بقيت دون سداد.
ينقل كل منتج بيانات القياس الخام والمصادر المفتوحة إلى نتيجة مُنسوبة، ذات أولوية، وجاهزة للدفاع. ولا يُرفق اسم إلا حيث يربطه التقرير بذلك. وتحافظ المنصة والمستأجر ومشروع المسح والتوقيع الذي يمر عبر كل منها على الفئة التي منحها إياها التقرير. ويسرد الموضع الختامي الطرق المستخدمة، والطرق المُخطَّطة، والمجموعة أو المستأجر أو الفئة التي تستند إليها كل منها.
سلسلة التقارير
السطح السحابي المتبقي — 31 يوليو
مرور خارجي منظّم عبر نحو 115 عنوانًا فرز بين الإنتاج الحي، والخدمات المتبقية، والأصول المهجورة. وقدّمت خدمة استضافة مشتركة تركية عند 104.247.165.210 (silaoglu.com، بشعار mt-rohan.guzelhosting.com) حزمة بريد وويب كاملة: Pure-FTPd وDovecot وExim وMySQL وLiteSpeed، مع وكلاء SOCKS5 وHTTP موثّقين وشهادات قصيرة العمر بجانبها. تمركز الحجم الأكبر في مساحتي Tencent وAceville وكان مُرشَّحًا بإحكام. أما الأقلية التي استجابت فكانت السطح المتبقي: Nginx Proxy Manager على المنفذ 81، وتطبيق Next.js حي تحت المسار /arena، ووكلاء موثّقون على منافذ عالية، وWindows Remote Desktop بأسماء مضيفين بنمط داخلي، وشهادات متبقية لعلامة GENIEX لشريحة eSIM ولعلامات ألعاب إندونيسية وفيتنامية، بما فيها عنوان Dragon Raja الذي لا يزال يُقدَّم عبر Jetty قديم. وقدّمت مجموعة صغيرة مرتبطة بلاوس على عنوان Tencent واحد مواقع طبية تجميلية وسيارات مستعملة باللغة الصينية ببصمة عامة ضعيفة. والمنتج هو الفصل ذاته الذي طبّقته مراجعة منتصف العام على حافة Google. فحجم الإنتاج والخدمات المهجورة نتيجتان مختلفتان، والثانية فقط تمثل مشكلة حظر وتقوية. https://x.com/i/article/2083245764969635841
التفاعل الاستخباراتي الوقائي — 1 أغسطس
بدأ التفاعل عندما زارت بنية Quantitative Security التحتيةَ عنوانٌ مقنّع حدد الموقع الجغرافي مصدره في إيران. وقد أسفر الهندسة الاجتماعية لتلك التفاعلات عن احتجاز مجموعة عناوين، توسّعت عبر موقع مصمم خصيصًا لحصد بنية الزوار التحتية. ويُسمّي الأساس المنشور شركة GoCodeIT Inc. في ثورنهيل، أونتاريو، على وكلاء موثّقين عند 65.111.5.29 و74.119.149.79؛ ونظام CloudPanel 2.5.2 مكشوف عند 103.255.134.61 لـ technofaq.org؛ وخادم CodePushServer بنمط Microsoft عند 152.32.169.33 على المنفذ 8888؛ وموقع rejekibet.com كمنصة مقامرة إندونيسية بأموال حقيقية تحيط بالعلامة نسخ احتيالية؛ وWindows Remote Desktop مواجه للإنترنت، بما فيه 38.107.237.68؛ وgeniex.com كعملية شريحة افتراضية نيجيرية في طور التصفية، يحلّ النطاق نفسه إلى AWS؛ وacmmanufacturer.com، الذي كان سابقًا في مساحة Tencent المتبقية وانتقل لاحقًا إلى Zenlayer عبر chukouplus.com. تطلّب مضيفو الوكلاء في 104.207.0.0/16 مصادقة، وقدّموا شهادات تدوم نحو سبعة أيام، وأعادوا 404 على مسارات الإدارة المفحوصة. وبقيت مستقبلات Zeus-admin مرشّحة. وتُعد تسمية الموقع الجغرافي على العنوان الافتتاحي بداية التفاعل. ولا يُسند المقال أي مجموعة دول مسماة. وأُغلقت مجموعة البيانات كأساس للنصف الثاني من العام. https://x.com/i/article/2083388096285179904
من موازن أحمال GitHub إلى مزرعة مبيعات خطط صحية برازيلية — 8 أغسطس
بدأت جلسة نقطة ساخنة في 7 أغسطس مع QuantumGuard والتقاطٍ من طلب سحب (pull request) على GitHub وعكس IP لموازن أحمال سياتل 140.82.116.3 (lb-140-82-116-3-sea.github.com). واستضاف ذلك العنوان بالتشارك coindream.site: ويب على GitHub، وSPF للبريد يشير إلى UltaHost cp5 159.100.6.5، أُنشئ في 23 يناير 2026، بمُسجِّل محمي الخصوصية، وDNS من Namecheap. ولم يحتوِ الالتقاط على حزم إلى عناوين الحالة اللاحقة. واحتفظت UltaHost بنحو 500 اسم، منها shelleasternpetroleum.ae المسجّل باسم Christian von Langermann، بالإضافة إلى gamingcomission.co وantifraud.click وaranttru.com وpinupcasinorussia.click. ورُشّحت منافذ الويب لاحقًا إلى cPanel على 2082 و2083. وكشف pro114.dnspro.com.br عند 187.33.241.58 عن حزمة بريد ولوحة كاملة وMariaDB 10.11.18 عام.
العقدة الأساسية هي shared.qloudhost.com عند 45.87.42.74، وهي مزرعة مبيعات خطط صحية برازيلية من 2017–2025 تستخدم أسماء العلامات Bradesco وAmil وUnimed وSulAmérica. ويظهر في WHOIS للمحفظة الأساسية اسم Fabiola Silva Souza، بالمعرّف FASSO283، وصندوق بريد على saudeperfeita.com.br. وتتطابق السجلات العامة في المقال مع CNPJ 40.950.276/0001-55، Fabiola Silva Souza Seguros Ltda، في موسوكا، ساو باولو، فُتح في 23 فبراير 2021. ويقع موقع الجسر saudeperfeita.com.br على HostGator عند 162.241.2.92، بمستخدمَي WordPress هما admin وnildo، ويربطهما المقال بـ Roger Oliveira da Silva من Agência Unit وبـ Leonildo Quintiliano. أما Tiago Ferreira Pena فهو مُسجِّل مجاور على خوادم الأسماء ذاتها. واحتوت العقدة نفسها أيضًا صفحات بنوك مزيفة، وتسجيل كازينو، ومحوّلات Paysafe وNeosurf. وتُروّج QloudHost لاستضافة الكازينوهات. وتربط خوادم الأسماء المشتركة وصندوق بريد saudeperfeita مشغّلي الخطط الصحية. ولا تمتد المشاركة في العقدة لتُسقط تلك الهوية على مستأجري القطاع المالي أو المقامرة. وبقي vendasbradescosaude.com.br على عنوان qloud بعد أن صنّفه OpenDNS وCloudflare وDNS4EU كتصيد احتيالي. وبقي مفتوحًا في التقرير: المحفظة الكاملة على registro.br، وعنوان طلب السحب الأصلي، والمحاور الثانوية حول von Langermann. https://x.com/i/article/2085939414463631360
النطاق الخاص كهدف خارجي — 15 أغسطس
في الفترة من 9 إلى 14 أغسطس، فُحص quantitativesecurity.org بالحركات الافتتاحية ذاتها التي يستخدمها صياد خارجي. وكان المصدر نظيفًا. والاستضافة هي Squarespace متعددة المستأجرين anycast، مع مجموعة p07 من NS1 بالإضافة إلى DNS من Squarespace، وLet’s Encrypt على أسماء العملاء، ورد 403 من العناوين المجردة يحمل شهادة DigiCert لـ *.squarespace.com. وأبلغ nmap عن تنفيذ Go net/http بينما قال ترويسة Server إنها Squarespace. وهذا الزوج هو حافة واحدة موصوفة بطبقتين. ويتشارك نحو 1,900 اسم .academy المنصة ذاتها. واختُبرت مؤشرات من فئة Gophish وكانت غائبة. وسجّل QuantC وQuantumGuard الاستطلاع الذاتي كضوضاء منصة، وهي الحقيقة الميدانية التي تحتاجها تلك المستشعرات. والخطر المتبقي المادي هو الهوية: لا MX، ولا SPF، ولا DMARC، وتسجيل يقترب من انتهاء الصلاحية في سبتمبر 2026. فالمصدر النظيف الذي يكون مسار بريده غير موقّع يبقى سطح هجوم. https://x.com/i/article/2088437251508436992
مستويات القدرة — 15 أغسطس
يفصل مقال مرافق بين العصابات الإجرامية والجهات الفاعلة المدعومة دوليًا حسب التكتيكات وحسب الدولارات التراكمية، ويحتفظ بفئة ثالثة لأعمال التعرض التي لا تأخذ شيئًا. وفي الطرف الأدنى، المثال المُخطَّط في المقال هو متصل يُعرف باسم Man hands، ويُسمى أيضًا Tiffany M.: انتحال محفظة عتادية ودعم منصات تداول، بما لا يقل عن 5 ملايين دولار، Trezor وCoinbase، وبريد BitcoinIRA مزوّر، ولوحات يوفّرها شركاء، وأمن عملياتي ضعيف. وهذا الرقم هو إجمالي السرقة في المقال لذلك المتصل. ومن أمثلة المستوى المتوسط في التقرير ذاته Dritan Kapllani Jr. بنحو 19 مليون دولار، وJohn Daghita، الملقب بـ Lick، بأكثر من 46 مليون دولار من محافظ صادرتها خدمة U.S. Marshals، مع نشاط مشتبه به أوسع في المقال يتجاوز 90 مليون دولار، واعتُقل لاحقًا. والمثال الإجرامي الأعلى هو عصابة Greavys وWiz وBox، بنحو 243 مليون دولار من دائن Genesis واحد. ومن الأمثلة المدعومة دوليًا Lazarus وسرقة Bybit في فبراير 2025 البالغة نحو 1.5 مليار دولار؛ وUAC-0145، المرتبط في المقال بـ Sandworm / APT44، باستخدام مقابلات عمل مزيفة ضد متخصصي تقنية المعلومات الأوكرانيين وإعداد VPN كوسيلة توصيل؛ وLaundry Bear، الموصوف بأنه استخدام مرتبط بروسيا لبيانات اعتماد مخترقة ضد الحكومة والدفاع والبنية التحتية الحيوية. https://x.com/i/article/2088672299868377088
حيّ .academy — 17 أغسطس
جمع عكس IP لرباعية اتصال Squarespace 2,020 اسم جار. وانتهى 1,898 منها بـ .academy، وما زال 1,767 منها يحلّ فقط إلى 198.49.23.144 و198.49.23.145 و198.185.159.144 و198.185.159.145، AS53831. وظهر 54 عنوانًا فريدًا في المجموعة كلها. وأعاد أربعون من أربعين اسم Squarespace مُعيَّنًا ترويسة Squarespace وملف تعريف ارتباط crumb. وترتبط تقارير الإساءة وعناوين البرمجيات الخبيثة التاريخية غير المتصلة على 198.49.23.145، بما فيها مسارات Cobalt Strike وMozi، في المقال بمستأجرين آخرين على الحافة المشتركة. وخط الملكية هو اسم العلامة والعناوين الرسمية الأربعة للاتصال. وتبقى أسماء المدارس خارج قائمة الحظر. أما السمعة التي تعتمد على العنوان بدلاً من اسم المضيف فهي تكلفة منصة، وموثقة على هذا النحو. https://x.com/i/article/2089015652753502208
طبقة الهوية — 17 أغسطس
تشكل عائلة مُسجِّل النطاق ذاته، وخوادم الأسماء المزدوجة، وعناوين anycast الأربعة الأساس المشروع، وهي السطح الذي ينسخه المُقلِّد. وتحمل Squarespace وCloudflare وVercel وGitHub Pages وAWS Global Accelerator بالفعل السمعة والترويسات وسلطات الشهادات. ويفشل المضيف الأجنبي بالإغلاق، لذا يكون حظر العناوين البسيط مزعجًا. وتقع الروافع التي يذكرها المقال عند المُسجِّل: نقل، وتغيير خادم أسماء، ونظافة جهات الاتصال، وتسجيل قديم، ثم إما اسم مشابه أو اسم عشوائي مركون على الحافة الموثوقة. وسُجّلت اثنتا عشرة من سبع وعشرين قمة .academy شاذة في العد المرافق لدى Squarespace Domains واستُضيفت في مكان آخر. والضوابط المطابقة للطبقة التي يجري التلاعب بها هي قفل المُسجِّل، والمصادقة متعددة العوامل للمنصة، وشفافية الشهادات على الأسماء المشابهة، وسجل SPF بالفشل الحتمي حيث لا يرسل النطاق أي بريد. https://x.com/i/article/2089012676634738688
تخصيص Verizon مسجَّل كـ T-Mobile — 23 أغسطس
في 5 أغسطس، وصف تقرير ذاتي بادئة العميل 2600:1010:b204:: بأنها بنمط T-Mobile. ولم يكن الجهاز المحمول يومًا سوى Verizon، للمالك الأصلي. ويُظهر ARIN الاسم الشبكي WIRELESSDATANETWORK، ومؤسسة Verizon Business (MCICS)، مسجّل في 6 أبريل 2010، يغطي من 2600:1000:: حتى 2600:1017:ffff::. وحملت تغذيات asname والموقع الجغرافي المرنة تسمية T-Mobile من أكتوبر 2025 حتى يوم ذلك التقرير. وأعاد سحب حي في 21 أغسطس Team Cymru AS6167 CELLCO-PART وRIPE AS22394 CELLCO. ولم ينتقل التخصيص. والترتيب العملي المنشور مع التقرير هو ترتيب بقية هذه السلسلة: انسب الأداة، ثم المستأجر، ثم السجل. https://x.com/i/article/2091560316878671872
جرد 2023، مُرتَّب — 23 أغسطس
حُملت 294 لقطة شاشة من مسار سكني تابع لـ Charter في نيويورك في أوائل 2023 كمجموعة مرتبة: نحو 1,450 عنوان IPv4، حوالي 1,266 منها عام، على مقياس صريح من T1 إلى T5. وأغلق مرور 2026 الخدمات قبل أن يترك أي شيء مفتوحًا. والعنوان 103.235.46.191 هو حافة تحليلات Baidu في هونغ كونغ، hm.baidu.com، AS55967. و23.82.31.230 هو TradingView على Leaseweb. ووُضع عنوان بنطاق Boeing في قائمة الوثائق فقط. ويتشارك الإبلاغ العام اللاحق عن اختراق LockBit لأعمال قطع Boeing اسمًا تنظيميًا مع ذلك الصف الوثائقي ولا يتشارك أي جلسة. ويُعد انقطاع الصوت لدى Charter في فبراير 2023، وتصريحات Storm-0558 في يوليو 2023، والتقارير اللاحقة عن Salt Typhoon، وإشعار Leaseweb نفسه في 22 أغسطس 2023 نوافذ سياقية. https://x.com/i/article/2091569041584619520
GitHub على Fastly — 27 أغسطس
عُمل QS-NetHarden على ربط هاتف. وبدأ الالتقاط الساعة 09:08 بتوقيت PDT في 26 أغسطس. وقدّم NetCloak هوية Windows جديدة. وكانت أفخاخ Artillery تعمل مع إيقاف الحظر. وبدّل Phantom-QS بين Firefox 128. ولا شيء في سجل الفخ ذلك الصباح يمثل إصابة عن بُعد. وDNS هو المشغّل: وكيل الدردشة، وموازن أحمال GitHub، وActions، وCopilot، ثم release-assets.githubusercontent.com. والبادئة الغطائية 185.199.108.0/22 هي RIPE US-GITHUB-20170413، مؤسسة GitHub، منشأ BGP هو AS54113 Fastly. ولا تتضمن قائمة العناوين المنشورة الخاصة بـ Fastly نفسها هذا العنوان. ومجموعة .133 هي حاوية المحتوى الشاملة. ومجموعة .154 للإصدارات والحزم. والباب الأمامي لـ Actions هو Microsoft 13.107.42.0/24 و13.107.43.0/24، وحلّ pipelines.actions إلى 13.107.43.16 في ذلك المرور. ويحمل URLhaus عناوين برمجيات خبيثة على اسم release-assets، وقد وضع Harden-Runner علامة عليه. واسم المضيف هو الشاحنة. والفاعل هو الحمولة والقفزة التالية التي ليست GitHub. احظر الخادم الافتراضي التابع. واترك الورقة، وحاوية Fastly الشاملة، وAzure Front Door، واللقطات الإقليمية، والمستشعر كما هي. https://x.com/i/article/2093021792923508736
مطحنة عملاء Snowshoe واحدة — 29 أغسطس، استمرت في 7 سبتمبر
في 27 أغسطس، تلقّى صندوق وارد واحد 72 رسالة غير مرغوب فيها للتأمين على السيارات وبطاقات الائتمان، و156 رابطًا فريدًا، و71 نطاقًا في خانة From. وأنتج تجميع الموضوعات ثلاثة أزواج مكررة. والثابت هو الرمز e6jbv4z في كل نص وكل رابط. وتستخدم النقرات تسمية من حرفين على قمة قديمة ومسار PHP بالصيغة /r متبوعًا بأرقام سداسية عشرية. ويمثل Policy Plug 51 من أصل 72. أما Easy Insurance Match وEndurance وIndigo وDestiny Mastercard فهي أقنعة. وتنسخ مجموعة فرعية كبيرة رقم NMLS الخاص بـ LendingTree وهو 1136 وعنوان شارع في شارلوت. وLendingTree هي ضحية سرقة التذييل. ويقع البريد والنقرات على NForce، AS43350، في 185.47.200.0/24 و185.47.203.0/24: nginx، PHP 7.4.33، المنفذ 443 مغلق، و25 مرشّح. والنطاقات هي جرد قديم من Name.com. ويتلقى طلب HEAD رد 403 nginx عام. ويتلقى طلب GET شبيه بالمتصفح رد 302 نحو صفحة هبوط CAKE، العرض a=44 وc=2701، على taobmaets.com، أو صفحة إلغاء اشتراك على keycanvascanvas.com. والمرفقات المسماة كملفات Office هي نص عادي. وكان ClamAV نظيفًا. وأعاد ترويسة مضيف واحدة، mediaignorance.com، النص ذاته بحجم 52,667 بايت من سبعة عناوين في /24. ويذكر WHOIS غير المحجوب لأربع قمم اسم Robert Carpino، ويُعامل في المقالات كمحور. ولم يُحدَّد المشتري خلف عرض CAKE. وفي 7 سبتمبر، نُشر حصد إضافي للرمز ذاته وشكل المسار ذاته، بأقنعة التأمين على السيارات وIndigo، كونه موجودًا بالفعل في قاعدة بيانات AT&T. ويؤكد المنشور وجود مجموعة خوادم أسماء مشتركة واحدة ولا يطبعها. وإجراء Defender هو الرمز والمسار وبادئتا NForce، أُبلغ عنها إلى abuse@nforce.com وإلى المُسجِّل، مع تحديد سطر NMLS المسروق كسرقة تذييل. https://x.com/i/article/2093528643779825664 https://x.com/i/article/2093532720119083008 https://x.com/i/article/2097103637160022017
جدار حماية منزلي، المرور الأول — 5 سبتمبر
احتوى سجل بوابة AT&T سكنية على 296 حدثًا خلال 26 دقيقة، و188 عنوانًا فريدًا، 169 منها عام. وهذه الشريحة هي الإشعاع الخلفي لعنوان IPv4 عام. وكانت البطاقات من 31 أغسطس قد سمّت بالفعل QNAX وRecyber وInfrawatch وXpanse وCensys وPfcloud وCHINANET. وكانت ثلاث نتائج جديدة. وضرب QNAX 45.140.193.187 شبكة WAN عشر مرات في 21 دقيقة. ويستشهد المقال بـ 408 تقارير AbuseIPDB من 170 مصدرًا، جميعها عدائية، وهجوم قوة غاشمة على VNC عبر tcp/5900 باستخدام RFB 003.008. ويبيع qnax.sh ذلك المنتج من VPS وRDP وconsole-VNC. وكان أول وافد مسمّى داخل شبكة Spamhaus DROP هو Pfcloud 176.65.149.233، في 176.65.148.0/22، الساعة 11:58. ويقع n8n.pfcloud.io على 176.65.148.168. ويعرّف sso.pfcloud.io نفسه كـ authentik. ويتضمن رش Tamatiya و4vendeta عبر 79.124.58.0/24 و79.124.49.0/24 و78.128.114.0/24 العنوان 79.124.58.90، الذي اسمه العكسي ip-58-90.superbit.host واسمه المستعار urlforward.topdns.com، وهو عنوان DigitalOcean ذاته كـ ns-usa.topdns.com عند 143.198.68.197. وأعاد التوسيع السلبي لـ topdns.com 517 تسمية، كثير منها تصادمات علامات تجارية، وتقريبًا كلها دون عناوين. ويبقى خادم الأسماء غير محظور. والمضيفون ذوو الأولوية هم 45.140.193.187 و79.124.58.18 و79.124.58.90 و79.124.49.90 و78.128.114.46 و78.128.114.162. والشبكات الاختيارية هي شرائح عملاء وعمليات Tamatiya وPfcloud 176.65.148.0/22 بالإضافة إلى 204.76.203.0/24. وتُرك معها: TopDNS، وجامعو CriminalIP، وحواف Cloudflare، وماسحات التعداد، وTelepoint 78.128.42.0/24. وجهات الاتصال المتعلقة بالإساءة المنشورة مع التقرير هي abuse@qnax.com.br وnoc@4vendeta.com. وكان المستشعر على نقطة اتصال. ولم تُفحص الشبكة المحلية. ويقع التقرير على ملاحظة Tamatiya في 24 يوليو من سلسلة النصف الأول. ويشير مؤشر موقع في 4 سبتمبر إلى عنوان السلسلة ويشير إلى موقع الشركة؛ وسجل X للقياس هو هذا المقال والذي يليه. https://x.com/i/article/2096029788624523264
جدار حماية منزلي، الباقي — 6 سبتمبر
أنتجت نافذتا 29 أغسطس و5 سبتمبر معًا 530 حدثًا فريدًا و270 عنوانًا عامًا واردًا. وهذا التقرير الثاني هو الـ 105 المتبقية، بعد تنحية ماسحات التعداد والباحثين التجاريين المسمّين. وظهر 74 من 108 عناوين مفحوصة في تغذية عامة ذلك اليوم. ولم يظهر أي منها في Feodo أو SSLBL أو ThreatFox أو Emerging Threats. وجلس 21 في بادئات Spamhaus DROP المؤرخة في 4 سبتمبر، بما فيها /22 الخاصة بـ Pfcloud. ويستشهد المقال برواية في 25 يونيو عن استغلال UniFi OS أُطلق من 176.65.148.183 في تلك البادئة، وإضافة CISA في 23 يونيو لـ CVE-2026-34908 وCVE-2026-34909 وCVE-2026-34910. ويُعد Ghosty 43.228.157.0/24 وStormcloud 94.154.43.0/24 حيّين لـ Mirai على URLhaus في التقرير ذاته. وظل أعلى عنوان وارد متبقٍ هو QNAX 45.140.193.187، مع عدد التقارير في المقال عند 412، شوهد آخر مرة في 1 سبتمبر على المنفذ 5000. و46.146.238.1 هو مضيف URLhaus مطابق لبرنامج إسقاط على منفذ عالٍ، مع telnet مفتوح. ولم يحقق UniFi OS على 195.252.206.160 أي تطابق في تغذية العناوين وهو تطابق فئة خدمة مع SAB-067، CVE-2026-77550، المؤرخ في 26 أغسطس. وEMBNEX 16.5.0.0/24 هو ثمانية منشآت تفريغ؛ وموقع embnex.com على CloudFront. وتُعد كتلة HTML قصيرة متطابقة على شبكات غير مرتبطة صفحة مصرف. والتوصية هي حظر الشبكات. https://x.com/i/article/2096732079388299264
خروج نقطة اتصال إلى عقدة إدارة — 14 سبتمبر
وصلت حركة مرور من جهاز شخصي على نقطة اتصال iPhone إلى 113.176.118.150، المسمّى static.vnpt.vn وrdp.cdmt.vn. ويقدّم العنوان MikroTik RouterOS 6.49.13، وNginx Proxy Manager على المنفذ 80، وHTTPS مقيّد بالاسم على 443، وتسجيل دخول MeshCentral عام على 5009، وتسجيل دخول UniFi عام على 8443، وخدمتَي SSH على 8080 و8090، وخدمة غير محددة بنمط CONNECT على 8088 تضمنت اسم CloudFront d3azdm1q0gvo54.cloudfront.net. والفرضية المنشورة هي بوابة وعقدة إدارة مواجهة للإنترنت. ويبقى الخروج نحوها من نقطة اتصال شخصية غير مصرّح به حتى يرتبط بتطبيق أو مستخدم أو جهاز معروف. https://x.com/i/article/2099540826854715392
قائمة انتظار ضعيفة — 22 سبتمبر
سُجّل uythjmnglk.xyz لدى Dynadot في 14 سبتمبر 2026، عبر وكيل خصوصية، على زوج خوادم أسماء Cloudflare المسمّى phoenix وwilson، دون DNSSEC. وتستجيب القمة وwww فقط. وخارج الشبكة المحلية، كان التطبيق قائمة انتظار بعنوان "You’re on the list"، ينشر بريدًا إلكترونيًا إلى مسار اشتراك تحت الرمز v:897qvxac7fny03ac. وعلى بوابة AT&T، أعاد الاسم ذاته فاصلة قصيرة سببها برمجيات خبيثة. وتلك الصفحة هي الناقل، وليس المصدر. ويظهر عنوانا Cloudflare أمام الاسم في ملحق Mystic Stealer في يونيو 2023. وهما anycast مشتركان، وتفصل ثلاث سنوات بين ذلك الملحق وهذا التسجيل. وتستخدم أسماء الكازينو و4D في اليوم ذاته لدى المُسجِّل نفسه زوج خوادم أسماء مختلف. ويستضيف زوج أقدم صفحة الهبوط "A little chicken" المرتبطة بمسار تابع لـ FanPartners. وتبقى تلك المجموعات بعيدة عن هذه البذرة. ويبقى عنوانا Cloudflare خارج أي قائمة حظر حملات. https://x.com/i/article/2101850617815908352
إشعارات CAC وDEERS — 28 سبتمبر
وصل إشعاران إلى Gmail شخصي من CACExpiration-DoNotReply@mail.mil، في 9 مارس 2026 و7 مايو 2026. واجتازت رسالة مايو SPF وDKIM وDMARC. وكان DKIM هو d=mail.mil، والمحدد EEMSG2021v1a، والسياسة reject. ويذكر معرّف الرسالة UHIL19PA53.eemsg.mail.mil عند 214.24.21.199. والموقّع S/MIME هو benefits.notifications@mail.mil، صادر عن DOD SW CA-83، صالح من 15 أكتوبر 2025 حتى 15 أكتوبر 2028. وشعار Gmail هو أن خانة From والموقّع يختلفان. وصندوقا البريد مختلفان، وذلك الاختلاف كافٍ لإنتاج الشعار. وتقول النصوص إن وثيقتَي هوية مفقودتان وتطلب من المتلقي زيارة RAPIDS لرفعهما، بمهلة 120 يومًا في مارس ومهلة 60 يومًا، بحلول 6 يوليو، في مايو. ولم تُقدَّم أي وثائق. واستمرت البطاقة في العمل.
وبدأ البرنامج الرسمي الذي يستشهد به المقال بإشعارات DMDC في يناير 2026. وبحلول أغسطس، كان نحو 215,000 عضو عامل واحتياطي غير متوافقين. وراجع الجيش نحو 111,000 بطاقة، دون إلغاء أي منها حتى 2 سبتمبر. وكان نحو 21,500 من مشاة البحرية لا يزالون ناقصين في يوليو. ويصف بيان رسمي في 3 سبتمبر، نُشر في 8 سبتمبر، تحديث سجل إداري، دون ادعاء احتيال أو اختراق للوثائق المفقودة. ويتطلب MARADMIN 393/26 وثيقتين أصليتين، شخصيًا. بينما قال نص مارس ارفعها.
الفئة التي يحتفظ بها المقال في عمود المفردات هي كيان مُقدَّم عند المُوقِّع أو قبله، لذا لا تزال الفحوصات ناجحة. أما إعادة الكتابة بعد تحقق Gmail فهي مستبعدة، لأن DKIM نجح. لم يكن هناك ملف رسالة أصلي ولا جزء توقيع متاح. مضيف البريد هو AS345، 214.24.21.0/24، وهو كتلة تابعة لمركز معلومات شبكات الدفاع تعود لعام 1998. النطاق www.cac.mil هو اسم على Akamai، بالعناوين 23.62.46.164 و 23.62.46.182، ويستجيب برمز 403، وتحمل الشهادة على تلك الحافة النطاق www.cac.mil إلى جانب مجموعة من الأسماء المرتبطة بالبنتاغون والدفاع والوزارة. تطبيقات DMDC وهي idco و myaccess و pki تُحلّ في AS27064 على عناوين 214 مختلفة، بما في ذلك pki.dmdc.osd.mil عند 214.16.194.24. لا يوجد شيء مشترك بين بادئة البريد وبادئات تلك التطبيقات. أحد منتجات تحديد الموقع الجغرافي يضع استعلامات 214 في كولومبوس بولاية أوهايو. وآخر يضعها في روز هيل بولاية فرجينيا. إنها تخصيص واحد.
تبقى ثلاثة سجلات متجاورة في مساراتها الخاصة. صفحة تسويقية على email.usfhp.net بتاريخ 20 يوليو هي ملكية حقيقية لبرنامج US Family Health Plan مع قياس عادي من فئة HubSpot. رسالة مشاركة ملفات مؤرخة في 18 سبتمبر تصف وصولاً غير مشفر من أكتوبر 2025 حتى 16 يوليو 2026، تم اكتشافه في 16 يوليو، ويتركها المقال دون ربطها بسطر المرسل (From) هذا. إشعار IDScan بتاريخ 4 سبتمبر يتعلق بحسابات العملاء السحابية. ويُرفض في المقال اعتبار أعداد تقارب أربعة ملايين و60 مليون سجل كمجموع للضحايا. https://x.com/i/article/2104388574397554688
سبع عشرة دقيقة من حزم Discard — 3 أكتوبر
احتوى تصدير لحزم discard سكنية مطبوع من 05:55 إلى 06:12 في 3 أكتوبر على 234 صفاً، و110 عناوين أجنبية، و166 زيادة في التطابقات. كل صف يمثل إسقاطاً، ولا يحتوي التصدير على منفذ وجهة. قراءة لاحقة تزيح النافذة بنحو خمس ساعات تمثل الحدث نفسه على ساعة مختلفة. واحد وخمسون من أصل 57 تطابق ماسح ضوئي تُنسب إلى مشاريع مسح إنترنت واسعة النطاق: Infrawatch، و Cortex Xpanse، و Censys، و Shadowserver، و Stretchoid، و Nokia Deepfield، وجيرانها. تتكرر عشرة عناوين بالضبط من أغسطس، بما في ذلك 4vendeta 79.124.49.90، و SS-Net 80.94.95.226، و Ghosty 43.228.157.10، و Amarutu 89.42.231.200. يغيب QNAX و Recyber عن هذه النافذة. يشمل الأعضاء الجدد في الشبكات المعروفة Pfcloud 204.76.203.4 و Stormcloud 94.154.43.203. تستقر أسماء البرمجيات الخبيثة على شبكة Stormcloud /24 في عناوين شقيقة. العنوان الذي لمس السجل هو الـ discard، ويبقى اسم العائلة على العنوان الشقيق حيث تم إيداعه فعلياً.
ثمانية إسقاطات لسياسة UDP هي ذيل فحص لقائمة وكلاء بروكسي بتاريخ 20 سبتمبر، وهي حزم أرسلتها الشبكة المراقبة. لا يحمل صفان لحزم Amazon غير الصالحة أي تطابقات مع قوائم التهديدات. إثراء ربط منفصل في الصباح نفسه يمثل مسار ناقل ومحتوى عادياً: Verizon، و Comcast، و Lumen، و Cogent، و Google، و Cloudflare. الجلسة التي لا تفسر نفسها هي 87.250.250.108، المسماة cloud.yandex.ru. التطابق الوحيد مع Spamhaus DROP في مطابقة القائمة الجديدة هو 140.222.19.75 و 140.222.19.77 داخل 140.222.0.0/16، SBL693942، والذي يُقرأ كنمط اختطاف على مساحة NSFNET القديمة وتُرك خارج قائمة حظر المضيفين. دمج مشاريع القياس، والماسحات الضوئية المحصنة، وأدوات المشغل نفسه في قائمة مؤشرات واحدة يخلق حادثة مصطنعة. https://x.com/i/article/2106513298426597376
Yandex Compute، في مواجهة السجل العام — 4 أكتوبر
ادعاء أولي كان متداولاً يقول إن الدولة الروسية تقرأ ضيوف Yandex Cloud عبر الجمع بين حيازة المفاتيح، والوصول إلى الـ hypervisor، واستنساخ الأقراص بصمت، وخريطة نواة مثبتة، وخادم تخزين مخصص، وتغذية اعتراض قانوني على المجدول. يضع المقال هذا الادعاء في مواجهة وثائق الحوسبة الخاصة بـ Yandex وما كان موجوداً بالفعل على هذا المضيف. يستخدم تشفير القرص الافتراضي مفتاح المنصة. مفتاح العميل لا يزال موجوداً في خدمة مفاتيح Yandex، وتعطيله بمثابة زر إيقاف طارئ. ذاكرة الضيف هي ذاكرة عادية لعملية QEMU، لذا يكون مشغل المضيف على نفس الجانب من حدود الثقة كالضيف العامل. لا يوجد libvirt. الترحيل الحي، والمضيفون المخصصون، والتبديل بين إصدارات QEMU على نفس المضيف هي سلوكيات منتج منشورة. تثبيت host-id يعطل الترحيل الحي ويُكتب عبر واجهة برمجة تطبيقات الحوسبة بواسطة كيان يمكنه بالفعل تحديث المثيل. واجهة الضيف لا تحمل تلك العملية الكتابية. ما لا تظهره الصفحات المستشهد بها هو اشتراك اعتراض قانوني في مقبس التحكم بالـ hypervisor، أو في خيارات المجدول، أو في قواعد ارتباط المضيف، كما أنها لا تظهر الاستنساخ الصامت، أو خريطة النواة الثابتة، أو الخادم المخصص، أو المسار النفقي في المقال الأوسع. تم جرد الأسماء العكسية المحلية التي تحتوي على yandex. يبقى 45.87.42.74 مزرعة مبيعات qloudhost لشهر أغسطس، باسم مختلف. أما 87.250.250.108، الجلسة غير المفسرة من مقال الـ discard، فكان غائباً عن تلك الجدولة السابقة. يفصل التسجيل شركة Yandex.Cloud LLC المعنية بالكائنات السحابية عن YANDEX LLC المعنية بشبكة المؤسسة. شهادات واجهة برمجة التطبيقات المكتملة هي Yandex، موسكو، GlobalSign. لا يزال أحد الأسماء الإعلانية يحمل مؤشراً عكسياً معلّقاً عند 77.88.21.179. https://x.com/i/article/2106548730942152704
طُعم بطاقة Coinbase غير مدفوع — 9 أكتوبر
تشترك صفحتا Telegraph، telegra.ph/NCO-09-27 و graph.org/UIN-10-05، في رابط متابعة واحد. كلاهما يقع على 149.154.164.13. نُشرتا في 27 سبتمبر و 5 أكتوبر. الرابط هو rss2.sayler.at/go/337413/z274x264 على 107.189.20.230، ويعيد التوجيه إلى حزمة بطاقة Coinbase Card على 97ee1.ralind.at عند 31.59.121.53. يُسمّي البرنامج النصي الخاص بالحزمة 22 خطوة، من الفهرس وحتى صفحة الدفع السريع. تنص منشور أصلي بتاريخ 6 أكتوبر على هذا العدد وتطبع أسماء الملفات الـ 22 ذاتها. تُظهر الصفحات رصيداً قدره 39,437.16 دولاراً. تم تعديل البرامج النصية آخر مرة في 26 أغسطس 2026. تم تسمية أحد عشر رمز رسوم. فقط الرمز y2a4u234، وهو خط بين البنوك بقيمة 58 دولاراً، تمت متابعته، وصولاً إلى bitpays.at عند 31.57.29.11، التدفق 4374w2. أعاد إرسال اصطناعي في الساعة 03:45 بتوقيت غرينتش يوم 9 أكتوبر توجيهًا إلى فاتورة BTCPay، 6QTpVwNe9CynFTXZFJE8Yk، على btcpay369329.lndyn.com عند 172.81.177.1. الحالة: جديدة. ثمانية وخمسون دولاراً، 0.00070469 BTC، السعر 82,306.45 دولاراً، العنوان bc1qexqsudur4860kva5789qcvkmpdk4j9wrfrsmzy. أعاد فحص الدفع صفراً. لم يتم إرسال أي دفعة.
تضع خدمة ip-api الحزمة في باريس ونموذج الدفع في ريغا. بينما تضع QuantumGuard وسجل المنشأ النطاق 31.57.29.0/24 في الإمارات العربية المتحدة، AS56971. تستخدم النطاقات sayler.at و ralind.at و bitpays.at خدمة DNSPod. تضع ملاحظة 6 أكتوبر، على الكائن الذي يحمل الرقم التسلسلي SOA 1789107920، ذلك الكائن في زاندام تحت AS14956، RouterHosting و FranTech. ولا يكرر مقال 9 أكتوبر هذا التحديد. خوادم أسماء Telegraph، وخوادم أسماء GoDaddy للنطاق graph.org، وعناوين DNSPod هي خدمات DNS مشتركة. العنوان 144.31.93.214 خارج هذه السلسلة. يستخدم كل من مقال 15 أغسطس وهذا الطُعم كلمة Coinbase. مثال المقال هو عصابة انتحال عبر الهاتف. أما هذا الجزء فهو صفحة، ومتتبع، وحزمة بطاقة، وفاتورة بقيت غير مدفوعة. https://x.com/i/article/2108597864108871681
الموقف الختامي
تختتم قائمتان هذه السلسلة. الأولى هي الأساليب التي استخدمتها Quantitative Security. والثانية هي الأساليب التي رسمتها المقالات، كل منها مع المجموعة أو المستأجر أو الفئة التي وضعها المقال عليها. تبقى أمثلة المقالات تحت مقال 15 أغسطس. تبقى العلامات الشقيقة على العنوان الشقيق. وتبقى مشاريع المسح في فئة القياس. وحيث لا يُسمّي المقال أي مجموعة، ينتهي السطر عند المستأجر، أو الشبكة، أو الفئة.
الأساليب المستخدمة
- تمريرات خارجية منظمة على اللافتات (banners)، والشهادات، والخدمات المستمعة، مع فصل الأصول المهجورة عن حجم الإنتاج.
- تفاعل زائر بدأ بهندسة اجتماعية، ثم توسع عبر إثراء المصادر المفتوحة. استطلاع فقط.
- سحب Reverse-IP، و WHOIS، والسجلات، وسجلات مصادقة البريد، والتقاط حزم تم التحقق منه مقابل العناوين التي سمّتها تلك السجلات.
- نطاق الشركة نفسه، يمر عبر نفس المدخل الذي سيستخدمه صياد خارجي، مع الاحتفاظ بالاستطلاع الذاتي كضوضاء استشعار.
- تغذيات تحديد الموقع الجغرافي التقريبي و asname تم التحقق منها مقابل ARIN، و RIPE، و Team Cymru. الترتيب هو: الأداة، ثم المستأجر، ثم السجل.
- جرد تاريخي مُرتَّب، أُغلق على هوية الخدمة قبل ربط أي حادثة عامة به.
- سجلات DNS على المسار وسجلات مصائد الهاكرز (honeypot)، تُقرأ بحيث تبقى جلسات الشركة نفسها منفصلة عن التطابقات البعيدة.
- تقليل البريد بناءً على رمز ثابت، طلب HEAD مقابل طلب GET للمتصفح، وجسم مضيف افتراضي مشترك واحد تم تجزئته عبر البادئة.
- تقليل حزم discard السكنية مقابل AbuseIPDB، و Spamhaus DROP، و URLhaus، و Feodo، و SSLBL، و ThreatFox، و Emerging Threats، مع ترك التوسع السلبي للأسماء خادم الأسماء خارج قائمة الحظر.
- الاحتفاظ بمخرج نقطة الاتصال الساخنة (hotspot) كارتباط، وتوقيت قياس المتابعة ليكون منفصلاً عن الجلسة الأولى.
- فصل المسجل، وزوج خادم الأسماء، والطبقة البينية للناقل عن محتوى المنشأ.
- قراءة SPF، و DKIM، و DMARC، و S/MIME معاً، والاحتفاظ بها كفئة عندما لا تكون الرسالة الأصلية الموقعة متاحة.
- تصنيف تصدير discard إلى مشاريع مسح، وشبكات عدائية متكررة، وحزم الشركة نفسها، والجلسة التي لم تفسر نفسها.
- قراءة وثائق حوسبة المورد مقابل ادعاء أوسع، مع استبعاد البنود غير المدعومة من النتيجة.
- تتبع سلسلة طُعم عبر المتتبع، والحزمة، ورمز رسوم واحد، وفاتورة اصطناعية غير مدفوعة. لم يتم إرسال أي دفعة.
الأساليب التي تم رسمها، والاسم على كل منها
- خدمات سحابية متبقية ووكلاء بروكسي موثقون قصيرو العمر. العلامات التجارية المتبقية هي GENIEX، وعناوين ألعاب تشمل Dragon Raja، ومجموعة صغيرة مرتبطة بلاوس من مواقع التجميل الطبي والسيارات المستعملة.
- حصد البنية التحتية للزوار. تم تحديد موقع العنوان الأول جغرافياً في إيران، ويترك المقال التصنيف هناك. يُسمّي الخط الأساسي GoCodeIT Inc. من ثورنهيل، أونتاريو؛ و rejekibet.com والنسخ الاحتيالية حول تلك العلامة التجارية؛ و geniex.com في مرحلة التصفية.
- مبيعات خطط صحية باسم علامة تجارية، وموقع مصنف بالفعل كتصيد احتيالي، على استضافة مشتركة. الأسماء المرتبطة هم المالكون المسجلون. تمتلك Fabiola Silva Souza و Fabiola Silva Souza Seguros Ltda المحفظة الأساسية. يجلس Roger Oliveira da Silva و Leonildo Quintiliano على الموقع الجسر. Tiago Ferreira Pena هو مالك مسجل مجاور. Christian von Langermann هو المالك المسجل لـ shelleasternpetroleum.ae، وهو مستأجر مشارك. صنفت OpenDNS، و Cloudflare، و DNS4EU النطاق vendasbradescosaude.com.br كتصيد احتيالي. وتبقى صفحات البنك المزيف، والكازينو، ومحول المحافظ على العقدة نفسها كجيران.
- تقليد الحافة الموثوقة: اسم مشابه أو اسم عشوائي متوقف على Squarespace، أو Cloudflare، أو Vercel، أو GitHub Pages، أو AWS Global Accelerator. روابط Cobalt Strike و Mozi التاريخية على 198.49.23.145 هي مستأجرون آخرون لذلك الـ anycast.
- مستويات القدرة، في مقال 15 أغسطس. هذه الأسماء هي أمثلة المقال. Man hands، وتُعرف أيضاً بـ Tiffany M.: انتحال محفظة أجهزة ودعم بورصات، وبريد BitcoinIRA مزيف. Dritan Kapllani Jr. John Daghita، المسمى Lick، ضد محافظ صادرتها خدمة مارشالات الولايات المتحدة. طاقم Greavys، و Wiz، و Box، ضد أحد دائني Genesis. Lazarus، سرقة Bybit في فبراير 2025. UAC-0145، المرتبط في المقال بـ Sandworm / APT44: مقابلات عمل وهمية، مع إعداد VPN كآلية تسليم. Laundry Bear: بيانات اعتماد مرتبطة بروسيا ضد الحكومة والدفاع والبنية التحتية الحيوية.
- روابط برمجيات خبيثة محمولة على اسم مضيف إصدار GitHub الذي يعود منشأ BGP الخاص به إلى Fastly. الأسلوب المرسوم هو حمولة على اسم مضيف موثوق. الكتلة هي الخادم الافتراضي اللاحق.
- توليد عملاء محتملين بأسلوب Snowshoe. الأقنعة هي Policy Plug، و Easy Insurance Match، و Endurance، و Indigo and Destiny Mastercard. LendingTree هي ضحية تذييل NMLS مسروق. يقع البريد والنقرات على NForce، AS43350. يُسمّي WHOIS غير المحرر Robert Carpino كنقطة ارتكاز. المشتري خلف عرض CAKE رقم 2701 غير معروف.
المسح السكني والاستضافة العدائية.
- QNAX. يبيع VPS، و RDP، ووحدة تحكم VNC. الأسلوب المرسوم على 45.140.193.187 هو هجوم القوة الغاشمة RFB على tcp/5900.
- Pfcloud. داخل بادئة Spamhaus DROP، مع تسمية n8n و authentik على تلك الشبكة. حساب بتاريخ 25 يونيو يضع استغلال UniFi OS عند 176.65.148.183 في نفس النطاق /22. تُسمّي إدخالات CISA بتاريخ 23 يونيو CVE-2026-34908، و CVE-2026-34909، و CVE-2026-34910، الموصوفة في المقال كمُحمّل من فئة Mirai.
- Tamatiya و 4vendeta. الرش عبر شرائح العملاء والعمليات. يبقى TopDNS هو المُحوِّل. Recyber موجود على بطاقات أغسطس وغائب عن نافذة 3 أكتوبر.
- Ghosty 43.228.157.0/24 و Stormcloud 94.154.43.0/24. أحياء Mirai مسماة على URLhaus. على شبكة Stormcloud /24، تستقر العلامات الإضافية، بما في ذلك ApexBot و LummaStealer، على عناوين شقيقة. 94.154.43.203 هو العنوان الذي لمس سجل أكتوبر.
- Stealc، و MooBot، و Vidar، و XWorm. مسماة على مضيفي 193.233 الآخرين، على أنظمة مستقلة مختلفة عن الماسح الضوئي عند 193.233.198.28.
- 46.146.238.1. مضيف URLhaus دقيق لبرنامج إسقاط بمنفذ عالٍ، مع telnet مفتوح.
- UniFi OS على 195.252.206.160. تطابق فئة خدمة مع SAB-067، CVE-2026-77550.
- EMBNEX. ثمانية منشآت تفريغ. embnex.com يعمل على CloudFront.
- مشاريع المسح في نفس السجلات: Infrawatch، و Cortex Xpanse، و Censys، و Shadowserver، و Stretchoid، و Nokia Deepfield. تشمل أسماء الشبكات المتكررة في مجموعة القياس تلك SS-Net و Amarutu.
- خدمات الإدارة المواجهة للإنترنت على عنوان واحد: MikroTik RouterOS، و Nginx Proxy Manager، و MeshCentral، و UniFi.
- قائمة انتظار ليوم واحد على اسم Dynadot يعمل عبر وكيل خصوصية. لا يُسمّي المقال أي مجموعة. يظهر Mystic Stealer كملحق لشهر يونيو 2023 أدرج عناوين Cloudflare anycast ذاتها. يستخدم FanPartners وصفحة الهبوط "A little chicken" زوجاً مختلفاً من خوادم الأسماء.
- بريد يجتاز SPF، و DKIM، و DMARC على مضيف مركز معلومات شبكات الدفاع، مع اختلاف سطر المرسل (From) ومُوقّع S/MIME. البرنامج المذكور في المقال هو فجوة إثبات الهوية في DMDC. الفئة المرسومة هي كيان مُقدَّم عند المُوقِّع أو قبله. تبقى رسالة مشاركة الملفات لشهر سبتمبر ضمن تواريخها الخاصة.
- ادعاء أوسع حول قراءة ضيوف Yandex Cloud. تدعم الوثائق مفتاح تشفير منصة، ومفتاح عميل يبقى كزر إيقاف طارئ داخل خدمة مفاتيح Yandex نفسها، وذاكرة الضيف كذاكرة عادية لعملية QEMU. يبقى 87.250.250.108، المسمى cloud.yandex.ru، الجلسة التي لم يتمكن مقال الـ discard من تفسيرها.
- طُعم بطاقة متعدد الخطوات: صفحتا Telegraph، ومتتبع واحد، وحزمة من 22 خطوة، ونموذج دفع برمز رسوم، وفاتورة BTCPay تُركت غير مدفوعة. يبقى مثال Coinbase في 15 أغسطس كعصابة انتحال الهاتف المذكورة في المقال، Man hands. أما هذا الجزء فهو الصفحة، والمتتبع، والحزمة، والفاتورة غير المدفوعة.
