Quantitative Security widmete sich vom 31. Juli bis zum 9. Oktober 2026 der öffentlichen Serie, für deren Produktion die Halbzeitbilanz die nötigen Werkzeuge geschaffen hatte. Die Serie reicht von der Cloud-Range-Reconnaissance am 31. Juli bis zum unbezahlten Coinbase-Karten-Köder am 9. Oktober und wurde als TLP:CLEAR-Langformate auf X veröffentlicht. Im August wurde die Methode nach innen gekehrt: Ein GitHub-Nachbar ließ sich einer Krankenversicherungs-Vertriebsidentität zuordnen, die eigene Domain des Unternehmens wurde als externes Ziel vermessen und ein Jahr an Carrier-Labels gegen das Register abgeglichen. Im September wurde dieselbe Reduktion auf eine Firewall in einem Privathaushalt und auf eine Snowshoe-Mühle angewandt, während die Plattformen, auf denen diese Fälle liefen, in ihrer eigenen Klasse verblieben. Im Oktober wurde ein Verwerfungsprotokoll in Messung, bekannte feindliche Netze und die eigenen Werkzeuge des Unternehmens aufgeteilt, eine weitergehende Behauptung über Yandex Compute anhand der Anbieterdokumente geprüft und ein Kartenset bis zu einer Rechnung verfolgt, die unbezahlt blieb.
Jedes Produkt führt rohe Telemetrie und offene Quellen zu einem attribuierten, priorisierten und verteidigungsbereiten Ergebnis zusammen. Ein Name wird nur dort angehängt, wo das Stück ihn anhängt. Die Plattform, der Tenant, das Survey-Projekt und eine Signatur, die jedes davon passiert, behalten die Klasse, die das Stück ihnen zugewiesen hat. Die Schlussposition listet die verwendeten Methoden, die zugeordneten Methoden sowie die Gruppe, den Tenant oder die Klasse auf, die jeweils darauf sitzen.
Die Berichtsserie
Residuale Cloud-Oberfläche — 31. Juli
Ein strukturierter externer Durchlauf über etwa 115 Adressen sortierte Live-Produktion, residuale Dienste und aufgegebene Assets. Türkisches Shared Hosting unter 104.247.165.210 (silaoglu.com, mit Banner mt-rohan.guzelhosting.com) präsentierte einen vollständigen Mail- und Web-Stack: Pure-FTPd, Dovecot, Exim, MySQL und LiteSpeed, daneben authentifizierte SOCKS5- und HTTP-Proxys sowie kurzlebige Zertifikate. Das größte Volumen lag im Tencent- und Aceville-Bereich und war streng gefiltert. Die Minderheit, die antwortete, bildete die residuale Oberfläche: Nginx Proxy Manager auf Port 81, eine aktive Next.js-Anwendung unter /arena, authentifizierte Proxys auf hohen Ports, Windows Remote Desktop mit intern wirkenden Hostnamen sowie übrig gebliebene Zertifikate für eine GENIEX-eSIM-Marke und für indonesische und vietnamesische Gaming-Marken, darunter ein Dragon-Raja-Titel, der noch von einem betagten Jetty ausgeliefert wurde. Eine kleine Laos-bezogene Gruppe auf einer Tencent-Adresse zeigte chinesischsprachige Seiten für medizinische Ästhetik und Gebrauchtwagen mit geringer öffentlicher Präsenz. Das Produkt ist dieselbe Trennung, die die Halbzeitbilanz auf Googles Edge angewandt hatte. Produktionsvolumen und aufgegebene Dienste sind unterschiedliche Befunde, und nur Letzteres ist ein Problem für Blockierung und Härtung. https://x.com/i/article/2083245764969635841
Protective-Intelligence-Einsatz — 1. August
Der Einsatz begann, als eine maskierte Adresse mit Geolokalisierung im Iran die Infrastruktur von Quantitative Security besuchte. Social Engineering dieser Interaktion fing eine Reihe von Adressen ein, erweitert durch eine eigens dafür gebaute Seite, die Besucherinfrastruktur sammelte. Die veröffentlichte Baseline nennt GoCodeIT Inc. aus Thornhill, Ontario, auf authentifizierten Proxys unter 65.111.5.29 und 74.119.149.79; ein exponiertes CloudPanel 2.5.2 unter 103.255.134.61 für technofaq.org; einen Microsoft-artigen CodePushServer unter 152.32.169.33 auf Port 8888; rejekibet.com als indonesische Echtgeld-Glücksspielplattform mit Betrugsclones rund um die Marke; internetexponiertes Windows Remote Desktop, darunter 38.107.237.68; geniex.com als nigerianisches Virtual-SIM-Projekt in der Abwicklung, wobei die Domain selbst zu AWS auflöst; sowie acmmanufacturer.com, zuvor auf residualem Tencent-Raum und später über chukouplus.com zu Zenlayer verschoben. Proxy-Hosts in 104.207.0.0/16 erforderten Authentifizierung, präsentierten Zertifikate mit etwa sieben Tagen Laufzeit und lieferten 404 auf den untersuchten Admin-Pfaden. Zeus-Admin-Listener blieben gefiltert. Ein Geolokalisierungslabel auf der Einstiegsadresse ist der Beginn des Einsatzes. Der Artikel weist keine benannte staatliche Gruppe zu. Der Datensatz wurde als Baseline für die zweite Jahreshälfte abgeschlossen. https://x.com/i/article/2083388096285179904
GitHub Load Balancer zu einer brasilianischen Krankenversicherungs-Vertriebsfarm — 8. August
Eine Hotspot-Sitzung am 7. August mit QuantumGuard und einem Capture begann bei einem GitHub-Pull-Request und Reverse-IP des Seattle-Load-Balancers 140.82.116.3 (lb-140-82-116-3-sea.github.com). Diese Adresse hostete gemeinsam mit coindream.site: Web auf GitHub, Mail-SPF auf UltaHost cp5 159.100.6.5 zeigend, erstellt am 23. Januar 2026, Registrant mit Privacy-Schutz, Namecheap-DNS. Der Capture enthielt keine Pakete zu den späteren Falladressen. UltaHost hielt rund 500 Namen, darunter shelleasternpetroleum.ae, registriert auf Christian von Langermann, sowie gamingcomission.co, antifraud.click, aranttru.com und pinupcasinorussia.click. Web-Ports wurden später auf cPanel auf 2082 und 2083 gefiltert. pro114.dnspro.com.br unter 187.33.241.58 legte einen vollständigen Mail- und Panel-Stack sowie eine öffentliche MariaDB 10.11.18 offen.
Der primäre Knoten ist shared.qloudhost.com unter 45.87.42.74, eine brasilianische Krankenversicherungs-Vertriebsfarm von 2017–2025, die die Markennamen Bradesco, Amil, Unimed und SulAmérica nutzt. WHOIS für das Kernportfolio lautet Fabiola Silva Souza, Handle FASSO283, Postfach bei saudeperfeita.com.br. Öffentliche Register im Artikel stimmen mit CNPJ 40.950.276/0001-55, Fabiola Silva Souza Seguros Ltda, Mococa, São Paulo, eröffnet am 23. Februar 2021, überein. Die Brückenseite saudeperfeita.com.br liegt bei HostGator unter 162.241.2.92, mit WordPress-Benutzern admin und nildo, im Artikel verknüpft mit Roger Oliveira da Silva von Agência Unit und mit Leonildo Quintiliano. Tiago Ferreira Pena ist ein angrenzender Registrant auf denselben Nameservern. Derselbe Knoten hielt auch Fake-Bank-Seiten, Casino-Registrierungen sowie Paysafe- und Neosurf-Konverter. QloudHost bewirbt Casino-Hosting. Gemeinsame Nameserver und das saudeperfeita-Postfach verknüpfen die Krankenversicherungsbetreiber. Co-Tenancy auf dem Knoten überträgt diese Identität nicht auf die Finanz- oder Glücksspiel-Tenants. vendasbradescosaude.com.br blieb auf der qloud-Adresse, nachdem OpenDNS, Cloudflare und DNS4EU sie bereits als Phishing eingestuft hatten. Offen bleibt im Beitrag: das vollständige registro.br-Portfolio, die ursprüngliche Pull-Request-URL und sekundäre Pivots auf von Langermann. https://x.com/i/article/2085939414463631360
Eigene Domain als externes Ziel — 15. August
Vom 9. bis 14. August wurde quantitativesecurity.org mit denselben Eröffnungszügen untersucht, die ein externer Jäger verwenden würde. Der Origin war sauber. Das Hosting ist Squarespace-Multi-Tenant-Anycast, mit NS1s p07-Set plus Squarespace-DNS, Let’s Encrypt auf den Kundennamen und einem 403 von den nackten Adressen, der ein DigiCert-Zertifikat für *.squarespace.com trägt. nmap meldete eine Go-net/http-Implementierung, während der Server-Header Squarespace nannte. Dieses Paar ist eine Edge, beschrieben auf zwei Schichten. Etwa 1.900 .academy-Namen teilen sich die Plattform. Indikatoren der Gophish-Klasse wurden getestet und waren nicht vorhanden. QuantC und QuantumGuard erfassten die Selbst-Reconnaissance als Plattformrauschen – genau die Grundwahrheit, die diese Sensoren benötigen. Das materielle Restrisiko ist die Identität: kein MX, kein SPF, kein DMARC und eine Registrierung, die im September 2026 ausläuft. Ein sauberer Origin, dessen Mail-Spur unsigniert ist, bleibt eine Angriffsfläche. https://x.com/i/article/2088437251508436992
Fähigkeitsstufen — 15. August
Ein Begleitessay trennt kriminelle Crews von staatlich unterstützten Akteuren anhand von Taktiken und kumulierten Dollarbeträgen und reserviert eine dritte Kategorie für Aufdeckungsarbeit, die nichts nimmt. Am unteren Ende ist das zugeordnete Beispiel des Essays ein Anrufer, bekannt als Man hands, auch Tiffany M. genannt: Impersonation von Hardware-Wallet- und Börsen-Support, mindestens 5 Millionen US-Dollar, Trezor und Coinbase, gespoofte BitcoinIRA-Mails, Panels von Komplizen geliefert, schwache operative Sicherheit. Diese Zahl ist die Gesamtsumme des Diebstahls dieses Anrufers laut Essay. Beispiele der mittleren Stufe im selben Beitrag sind Dritan Kapllani Jr. mit etwa 19 Millionen US-Dollar und John Daghita, genannt Lick, mit mehr als 46 Millionen US-Dollar aus vom U.S. Marshals Service beschlagnahmten Wallets, wobei die im Essay weiter gefasste mutmaßliche Aktivität über 90 Millionen US-Dollar liegt; er wurde später verhaftet. Das höhere kriminelle Beispiel ist die Crew aus Greavys, Wiz und Box mit etwa 243 Millionen US-Dollar von einem einzigen Genesis-Gläubiger. Staatlich unterstützte Beispiele sind Lazarus und der Bybit-Diebstahl vom Februar 2025 über etwa 1,5 Milliarden US-Dollar; UAC-0145, im Essay mit Sandworm / APT44 verknüpft, das gefälschte Vorstellungsgespräche gegen ukrainische IT-Fachkräfte und eine VPN-Konfiguration als Auslieferungsweg nutzte; sowie Laundry Bear, beschrieben als russlandbezogene Nutzung kompromittierter Zugangsdaten gegen Regierung, Verteidigung und kritische Infrastruktur. https://x.com/i/article/2088672299868377088
Die .academy-Nachbarschaft — 17. August
Reverse-IP des Squarespace-Connect-Quartetts ergab 2.020 Nachbarnamen. 1.898 endeten auf .academy, und 1.767 davon lösten weiterhin ausschließlich zu 198.49.23.144, 198.49.23.145, 198.185.159.144 und 198.185.159.145, AS53831, auf. Vierundfünfzig eindeutige Adressen erschienen in der gesamten Menge. Von vierzig stichprobenartig geprüften Squarespace-Namen lieferten vierzig den Squarespace-Header und ein Crumb-Cookie zurück. Missbrauchsberichte und historische Offline-Malware-URLs auf 198.49.23.145, darunter Cobalt-Strike- und Mozi-Pfade, werden im Artikel anderen Tenants auf der gemeinsamen Edge zugeordnet. Die Grundstücksgrenze ist der Markenname und die vier offiziellen Connect-Adressen. Schulnamen bleiben von der Blockliste verschont. Reputation, die auf der Adresse statt auf dem Hostnamen basiert, ist ein Plattformkostenfaktor und wird als solcher dokumentiert. https://x.com/i/article/2089015652753502208
Die Identitätsschicht — 17. August
Registrar-Familie, doppelte Nameserver und vier Anycast-Adressen derselben Domain bilden die legitime Baseline – und sie sind die Oberfläche, die ein Nachahmer kopiert. Squarespace, Cloudflare, Vercel, GitHub Pages und AWS Global Accelerator tragen bereits die Reputation, die Header und die Zertifizierungsstellen. Ein fremder Host fällt immer noch geschlossen aus, daher ist eine einfache Adressblockierung verrauscht. Die im Artikel genannten Hebel sitzen beim Registrar: ein Transfer, eine Nameserver-Änderung, Kontakthygiene und eine gealterte Registrierung, dann entweder ein ähnlich aussehender Name oder ein beliebiger Name, geparkt auf der vertrauenswürdigen Edge. Zwölf von siebenundzwanzig Ausreißer-.academy-Apexes in der Begleitzählung waren bei Squarespace Domains registriert und woanders gehostet. Die Kontrollen, die zur manipulierten Schicht passen, sind Registrar-Lock, plattformseitige Multi-Faktor-Authentifizierung, Certificate Transparency bei ähnlich aussehenden Namen und ein Hard-Fail-SPF-Eintrag, wenn die Domain keine Mails versendet. https://x.com/i/article/2089012676634738688
Eine Verizon-Zuteilung, erfasst als T-Mobile — 23. August
Am 5. August labelte ein eigener Bericht das Client-Präfix 2600:1010:b204:: als T-Mobile-artig. Das Mobilgerät war jedoch immer nur bei Verizon, Erstbesitzer. ARIN zeigt NetName WIRELESSDATANETWORK, Organisation Verizon Business (MCICS), registriert am 6. April 2010, Bereich 2600:1000:: bis 2600:1017:ffff::. Weiche asname- und Geolokalisierungsfeeds trugen das T-Mobile-Label von Oktober 2025 bis zum Tag jenes Berichts. Ein Live-Abruf am 21. August lieferte Team Cymru AS6167 CELLCO-PART und RIPE AS22394 CELLCO. Die Zuteilung hatte sich nicht bewegt. Die mit dem Beitrag veröffentlichte Arbeitsreihenfolge gilt für den Rest dieser Serie: erst das Werkzeug attribuieren, dann den Tenant, dann das Register. https://x.com/i/article/2091560316878671872
Ein Inventar von 2023, gerankt — 23. August
Zweihundertvierundneunzig Screenshots von einem Charter-Wohnanschluss in New York Anfang 2023 wurden als geranktes Set weitergeführt: etwa 1.450 IPv4-Adressen, davon rund 1.266 öffentlich, auf einer expliziten Skala von T1 bis T5. Der Durchlauf von 2026 schloss Dienste, bevor er irgendetwas offenließ. 103.235.46.191 ist Baidus Hongkonger Analytics-Edge, hm.baidu.com, AS55967. 23.82.31.230 ist TradingView auf Leaseweb. Eine Adresse aus dem Boeing-Bereich wurde auf eine reine Dokumentenliste gesetzt. Spätere öffentliche Berichte über eine LockBit-Intrusion bei Boeings Ersatzteilgeschäft teilen einen Organisationsnamen mit jener Dokumentenzeile, aber keine Sitzung. Der Sprachausfall bei Charter im Februar 2023, die Storm-0558-Erklärungen vom Juli 2023, spätere Salt-Typhoon-Berichte und Leasewebs eigene Mitteilung vom 22. August 2023 sind Kontextfenster. https://x.com/i/article/2091569041584619520
GitHub auf Fastly — 27. August
QS-NetHarden lief über ein Phone-Tethering. Capture-Start war 09:08 PDT am 26. August. NetCloak präsentierte eine neue Windows-Identität. Artillery-Köder waren aktiv, der Ban deaktiviert. Phantom-QS rotierte Firefox 128. Nichts im Honeypot-Log jenes Morgens ist ein Remote-Treffer. Der DNS ist der Operator: der Chat-Proxy, GitHubs Load Balancer, Actions, Copilot, dann release-assets.githubusercontent.com. Das abdeckende Präfix 185.199.108.0/22 ist RIPE US-GITHUB-20170413, Organisation GitHub, BGP-Origin AS54113 Fastly. Fastlys eigene veröffentlichte Adressliste enthält es nicht. Das .133-Set ist der Content-Catch-all. Das .154-Set umfasst Releases und Pakete. Die Eingangstür für Actions ist Microsoft 13.107.42.0/24 und 13.107.43.0/24, und pipelines.actions löste in diesem Durchlauf zu 13.107.43.16 auf. URLhaus führt Malware-URLs unter dem release-assets-Namen, und Harden-Runner hat ihn markiert. Der Hostname ist der Lkw. Der Akteur ist die Fracht und der nächste Hop, der nicht GitHub ist. Den nachgelagerten virtuellen Server blockieren. Das Leaf, den Fastly-Catch-all, Azure Front Door, die regionalen Snapshots und den Sensor in Ruhe lassen. https://x.com/i/article/2093021792923508736
Eine Snowshoe-Lead-Mühle — 29. August, fortgesetzt am 7. September
Am 27. August erhielt ein einzelnes Postfach 72 unaufgeforderte Kfz-Versicherungs- und Kreditkartennachrichten, 156 eindeutige Links, 71 From-Domains. Betreff-Clustering ergab drei Dublettenpaare. Die Invariante ist das Token e6jbv4z in jedem Body und jedem Link. Klicks nutzen ein Zwei-Buchstaben-Label auf einem gealterten Apex und einen PHP-Pfad der Form /r plus Hexadezimalziffern. Policy Plug macht 51 der 72 aus. Easy Insurance Match, Endurance sowie Indigo und Destiny Mastercard sind Kostüme. Eine große Teilmenge kopiert LendingTrees NMLS-Nummer 1136 und eine Straßenadresse in Charlotte. LendingTree ist das Opfer des Footer-Diebstahls. Mail und Klicks liegen bei NForce, AS43350, in 185.47.200.0/24 und 185.47.203.0/24: nginx, PHP 7.4.33, 443 geschlossen, 25 gefiltert. Die Domains sind gealtertes Name.com-Inventar. Ein HEAD-Request erhält einen generischen nginx-403. Ein browserähnlicher GET erhält einen 302 zu einem CAKE-Lander, Angebot a=44 und c=2701, auf taobmaets.com, oder zu einer Abmeldeseite auf keycanvascanvas.com. Anhänge, die wie Office-Dateien benannt sind, sind Plaintext. ClamAV war sauber. Ein Host-Header, mediaignorance.com, lieferte denselben 52.667 Byte großen Body von sieben Adressen im /24 zurück. Ungeschwärztes WHOIS auf vier Apexes nennt Robert Carpino, in den Artikeln als Pivot behandelt. Der Käufer hinter dem CAKE-Angebot ist nicht identifiziert. Am 7. September wurde eine weitere Ernte desselben Tokens und derselben Pfadstruktur, Kfz-Versicherungs- und Indigo-Kostüme, als bereits in AT&Ts Datenbank vorhanden veröffentlicht. Der Beitrag behauptet ein gemeinsames Nameserver-Set, druckt es aber nicht ab. Defender-Maßnahmen sind das Token, der Pfad und die beiden NForce-Präfixe, gemeldet an abuse@nforce.com und an den Registrar, wobei die gestohlene NMLS-Zeile als Diebstahl eines Footers identifiziert wird. https://x.com/i/article/2093528643779825664 https://x.com/i/article/2093532720119083008 https://x.com/i/article/2097103637160022017
Wohn-Firewall, erster Durchlauf — 5. September
Ein Log eines AT&T-Wohngateways enthielt 296 Ereignisse über 26 Minuten, 188 eindeutige Adressen, davon 169 öffentlich. Der Ausschnitt ist die Hintergrundstrahlung einer öffentlichen IPv4. Karten vom 31. August hatten bereits QNAX, Recyber, Infrawatch, Xpanse, Censys, Pfcloud und CHINANET benannt. Drei Befunde waren neu. QNAX 45.140.193.187 traf das WAN zehnmal in 21 Minuten. Der Artikel zitiert 408 AbuseIPDB-Meldungen von 170 Quellen, alle feindlich, sowie einen VNC-Brute-Force auf tcp/5900 mit RFB 003.008. qnax.sh verkauft genau dieses VPS-, RDP- und Console-VNC-Produkt. Der erste benannte eingehende Treffer innerhalb eines Spamhaus-DROP-Netzes war Pfcloud 176.65.149.233, in 176.65.148.0/22, um 11:58 Uhr. n8n.pfcloud.io sitzt auf 176.65.148.168. sso.pfcloud.io identifiziert sich als authentik. Das Spray von Tamatiya und 4vendeta über 79.124.58.0/24, 79.124.49.0/24 und 78.128.114.0/24 umfasst 79.124.58.90, dessen Reverse-Name ip-58-90.superbit.host und dessen Alias urlforward.topdns.com lautet – dieselbe DigitalOcean-Adresse wie ns-usa.topdns.com unter 143.198.68.197. Eine passive Erweiterung von topdns.com lieferte 517 Labels, viele davon Markenkollisionen, fast alle ohne Adressen. Der Nameserver bleibt unblockiert. Prioritäts-Hosts sind 45.140.193.187, 79.124.58.18, 79.124.58.90, 79.124.49.90, 78.128.114.46 und 78.128.114.162. Optionale Netze sind die Kunden- und Betriebsslices von Tamatiya sowie Pfcloud 176.65.148.0/22 plus 204.76.203.0/24. Mit ihnen in Ruhe gelassen: TopDNS, CriminalIP-Sammler, Cloudflare-Edges, Census-Scanner und Telepoint 78.128.42.0/24. Die mit dem Beitrag veröffentlichten Abuse-Kontakte sind abuse@qnax.com.br und noc@4vendeta.com. Der Sensor hing an einem Hotspot. Das LAN wurde nicht gescannt. Der Beitrag baut auf der Tamatiya-Notiz vom 24. Juli aus der ersten Halbjahresserie auf. Ein Website-Verweis vom 4. September trägt den Serientitel und zeigt auf die Unternehmensseite; der X-Datensatz der Messung ist dieser und der nächste Artikel. https://x.com/i/article/2096029788624523264
Wohn-Firewall, Restbestand — 6. September
Die Zeitfenster vom 29. August und 5. September ergaben zusammen 530 eindeutige Ereignisse und 270 eingehende öffentliche Adressen. Dieser zweite Beitrag ist der Rest von 105, nachdem Census-Scanner und die benannten kommerziellen Beobachter beiseitegelegt worden waren. Vierundsiebzig von 108 geprüften Adressen erschienen an jenem Tag in einem öffentlichen Feed. Keine erschien in Feodo, SSLBL, ThreatFox oder Emerging Threats. Einundzwanzig lagen in Spamhaus-DROP-Präfixen vom 4. September, darunter das Pfcloud-/22. Der Artikel zitiert einen Bericht vom 25. Juni über die Ausnutzung von UniFi OS, gestartet von 176.65.148.183 in jenem Präfix, sowie die Aufnahme von CVE-2026-34908, CVE-2026-34909 und CVE-2026-34910 durch die CISA am 23. Juni. Ghosty 43.228.157.0/24 und Stormcloud 94.154.43.0/24 sind Mirai-Nachbarschaften auf URLhaus im selben Beitrag. Die lauteste verbleibende eingehende Adresse war weiterhin QNAX 45.140.193.187, wobei der Artikel 412 Meldungen zählt, zuletzt gesehen am 1. September auf Port 5000. 46.146.238.1 ist ein exakter URLhaus-Host für einen Dropper auf hohem Port, mit offenem Telnet. UniFi OS auf 195.252.206.160 hatte keinen Treffer in Adress-Feeds und ist ein Service-Class-Match zu SAB-067, CVE-2026-77550, datiert auf den 26. August. EMBNEX 16.5.0.0/24 sind acht Dump-Ursprünge; die Website embnex.com liegt auf CloudFront. Ein identischer kurzer HTML-Blob auf nicht verwandten Netzen ist eine Sink-Seite. Die Empfehlung lautet, die Netze zu blockieren. https://x.com/i/article/2096732079388299264
Hotspot-Egress zu einem Management-Knoten — 14. September
Traffic von einem persönlichen Gerät über einen iPhone-Hotspot erreichte 113.176.118.150, benannt als static.vnpt.vn und rdp.cdmt.vn. Die Adresse präsentiert MikroTik RouterOS 6.49.13, Nginx Proxy Manager auf Port 80, namensgebundenes HTTPS auf 443, einen öffentlichen MeshCentral-Login auf 5009, einen öffentlichen UniFi-Login auf 8443, zwei SSH-Daemons auf 8080 und 8090 sowie einen nicht identifizierten CONNECT-artigen Dienst auf 8088, der den CloudFront-Namen d3azdm1q0gvo54.cloudfront.net einbezog. Die veröffentlichte Hypothese ist ein internetexponiertes Gateway und ein Management-Knoten. Egress dorthin von einem persönlichen Hotspot bleibt unautorisiert, bis er einer bekannten Anwendung, einem Benutzer oder einem Gerät zugeordnet ist. https://x.com/i/article/2099540826854715392
Eine dünne Warteliste — 22. September
uythjmnglk.xyz wurde am 14. September 2026 bei Dynadot registriert, mit Privacy-Proxy, auf dem Cloudflare-Nameserver-Paar phoenix und wilson, ohne DNSSEC. Nur Apex und www antworten. Außerhalb des lokalen Netzwerks war die Anwendung eine Warteliste mit dem Titel „You’re on the list“, die eine E-Mail an einen Subscription-Pfad unter dem Token v:897qvxac7fny03ac postete. Am AT&T-Gateway lieferte derselbe Name eine kurze Interstitial-Seite zurück, deren Begründung Malware war. Diese Seite ist der Carrier, nicht der Origin. Die beiden Cloudflare-Adressen vor dem Namen erscheinen in einem Mystic-Stealer-Anhang vom Juni 2023. Sie sind geteiltes Anycast, und zwischen jenem Anhang und dieser Registrierung liegen drei Jahre. Casino- und 4D-Namen vom selben Tag beim selben Registrar nutzen ein anderes Nameserver-Paar. Ein älteres Paar hostet den „A little chicken“-Lander, der mit einem FanPartners-Affiliate-Pfad verknüpft ist. Diese Cluster bleiben von diesem Seed unberührt. Die Cloudflare-Adressen bleiben von jeder Kampagnen-Blockliste verschont. https://x.com/i/article/2101850617815908352
CAC- und DEERS-Mitteilungen — 28. September
Zwei Mitteilungen erreichten ein persönliches Gmail-Postfach von CACExpiration-DoNotReply@mail.mil, am 9. März 2026 und am 7. Mai 2026. Die Mai-Nachricht bestand SPF, DKIM und DMARC. DKIM war d=mail.mil, Selektor EEMSG2021v1a, Policy reject. Der Nachrichtenbezeichner nennt UHIL19PA53.eemsg.mail.mil unter 214.24.21.199. Der S/MIME-Signer ist benefits.notifications@mail.mil, ausgestellt von DOD SW CA-83, gültig vom 15. Oktober 2025 bis zum 15. Oktober 2028. Der Gmail-Bannerhinweis lautet, dass Absender und Signierer abweichen. Die beiden Postfächer sind unterschiedlich, und dieser Unterschied reicht aus, um den Hinweis zu erzeugen. Die Bodys besagen, dass zwei Ausweisdokumente fehlen, und fordern den Empfänger auf, RAPIDS zu besuchen, um sie hochzuladen – mit einer 120-Tage-Frist im März und einer 60-Tage-Frist bis zum 6. Juli im Mai. Es wurden keine Dokumente eingereicht. Die Karte funktionierte weiter.
Das im Artikel zitierte offizielle Programm begann mit DMDC-Mitteilungen im Januar 2026. Bis August waren etwa 215.000 aktive Soldaten und Reservisten nicht konform. Die Army hatte rund 111.000 Karten geprüft, ohne dass bis zum 2. September welche widerrufen wurden. Etwa 21.500 Marines hatten im Juli noch Nachholbedarf. Eine offizielle Linie vom 3. September, veröffentlicht am 8. September, beschreibt eine administrative Registeraktualisierung, wobei weder Betrug noch ein Datenleck wegen der fehlenden Dokumente behauptet werden. MARADMIN 393/26 verlangt zwei Originaldokumente, persönlich vorgelegt. Der März-Body sprach vom Hochladen.
Die Klasse, die der Artikel in der Vokabularspalte beibehält, ist eine Instanz, die beim Signierer oder davor eingeführt wurde, daher bestehen die Prüfungen weiterhin. Eine Neufassung nach der Verifizierung durch Gmail entfällt, weil DKIM bestanden hat. Weder die ursprüngliche Nachrichtendatei noch ein Signaturteil lagen vor. Der Mail-Host ist AS345, 214.24.21.0/24, ein Defense Network Information Center-Block aus dem Jahr 1998. www.cac.mil ist ein Name auf Akamai, Adressen 23.62.46.164 und 23.62.46.182, antwortet mit 403, und das Zertifikat an diesem Edge trägt www.cac.mil zusammen mit einem Satz von Pentagon-, Verteidigungs- und Department-Namen. Die DMDC-Anwendungen idco, myaccess und pki lösen im AS27064 auf verschiedenen 214-Adressen auf, darunter pki.dmdc.osd.mil unter 214.16.194.24. Zwischen dem Mail-Präfix und diesen Anwendungspräfixen gibt es keine Überschneidungen. Ein Geolokalisierungsprodukt verortet die 214-Abfragen in Columbus, Ohio. Ein anderes platziert sie in Rose Hill, Virginia. Es handelt sich um eine einzige Zuweisung.
Drei benachbarte Datensätze bleiben auf ihren eigenen Spuren. Eine Marketingseite auf email.usfhp.net vom 20. Juli ist eine echte US Family Health Plan-Eigenschaft mit gewöhnlichem HubSpot-Messverfahren. Ein File-Sharing-Schreiben vom 18. September beschreibt einen unverschlüsselten Zugriff von Oktober 2025 bis zum 16. Juli 2026, entdeckt am 16. Juli, und der Artikel lässt es unverbunden zu dieser From-Zeile. Eine IDScan-Mitteilung vom 4. September betrifft Kunden-Cloud-Konten. Zahlen von etwa vier Millionen und 60 Millionen Datensätzen werden im Artikel als Opferzahlen verworfen. https://x.com/i/article/2104388574397554688
Siebzehn Minuten Discards – 3. Oktober
Ein Export von Wohnnetz-Discards, gedruckt von 05:55 bis 06:12 Uhr am 3. Oktober, enthielt 234 Zeilen, 110 fremde Adressen und 166 Treffer-Inkremente. Jede Zeile ist ein Drop, und der Export hat keinen Zielport. Eine spätere Auslesung, die das Zeitfenster um etwa fünf Stunden verschiebt, ist dasselbe Ereignis auf einer anderen Uhr. Einundfünfzig von 57 Scanner-Treffern sind internetweite Survey-Projekte: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid, Nokia Deepfield und ihre Nachbarn. Zehn exakte Adressen wiederholen sich aus dem August, darunter 4vendeta 79.124.49.90, SS-Net 80.94.95.226, Ghosty 43.228.157.10 und Amarutu 89.42.231.200. QNAX und Recyber fehlen in diesem Fenster. Neue Mitglieder bekannter Netze sind Pfcloud 204.76.203.4 und Stormcloud 94.154.43.203. Malware-Namen auf dem Stormcloud /24 sitzen auf Geschwisteradressen. Die Adresse, die das Log berührte, ist der Discard, und der Familienname bleibt bei der Geschwisteradresse, wo er tatsächlich abgelegt wurde.
Acht UDP-Policy-Drops sind das Ende einer Proxy-Listen-Prüfung vom 20. September, Pakete, die das überwachte Netzwerk gesendet hat. Zwei Amazon-Invalid-Packet-Zeilen tragen keine Threat-List-Treffer. Eine separate Tethering-Anreicherung am selben Morgen zeigt gewöhnliche Carrier- und Content-Pfade: Verizon, Comcast, Lumen, Cogent, Google und Cloudflare. Die Sitzung, die sich nicht selbst erklärt, ist 87.250.250.108, benannt als cloud.yandex.ru. Der einzige Spamhaus-DROP-Treffer im frischen Listenabgleich ist 140.222.19.75 und 140.222.19.77 innerhalb von 140.222.0.0/16, SBL693942, gelesen als Hijack-Muster auf altem NSFNET-Raum und von einer Host-Blockliste entfernt. Messprojekte, Bulletproof-Scanner und die eigenen Tools des Betreibers in einer Indikatorliste zusammenzufassen, fabriziert einen Vorfall. https://x.com/i/article/2106513298426597376
Yandex Compute, gegen die öffentlichen Aufzeichnungen – 4. Oktober
Eine kursierende Anfangsbehauptung besagte, der russische Staat lese Yandex Cloud-Gäste aus, indem er Schlüsselverwaltung, Hypervisor-Zugriff, stille Festplattenklone, eine gepinnte Core-Map, einen benutzerdefinierten Storage-Daemon und einen Lawful-Intercept-Feed am Scheduler kombiniere. Der Artikel stellt diese Behauptung Yandex' eigenen Compute-Dokumenten und dem gegenüber, was bereits auf diesem Host vorhanden war. Die Standard-Festplattenverschlüsselung verwendet einen Plattformschlüssel. Ein Kundenschlüssel verbleibt im Schlüsseldienst von Yandex, und seine Deaktivierung ist ein Kill Switch. Der Gast-Speicher ist gewöhnlicher Speicher des QEMU-Prozesses, daher befindet sich der Betreiber des Hosts auf derselben Seite der Vertrauensgrenze wie der laufende Gast. Es gibt kein libvirt. Live-Migration, dedizierte Hosts und ein Build-Wechsel von QEMU auf demselben Host sind veröffentlichtes Produktverhalten. Ein Host-ID-Pin deaktiviert die Live-Migration und wird über die Compute-API von einem Principal geschrieben, der die Instanz ohnehin aktualisieren kann. Die Gast-Schnittstelle führt diesen Schreibvorgang nicht aus. Was die zitierten Seiten nicht zeigen, ist ein Lawful-Intercept-Abo auf den Hypervisor-Control-Socket, auf Scheduler-Entscheidungen oder auf Host-Affinitätsregeln, und sie zeigen weder den stillen Klon, die feste Core-Map, den benutzerdefinierten Daemon noch den getunnelten Pfad aus dem breiteren Essay. Lokale Reverse-Namen, die „yandex“ enthalten, wurden inventarisiert. 45.87.42.74 bleibt die qloudhost-Sales-Farm aus dem August, ein anderer Name. 87.250.250.108, die unerklärte Sitzung aus dem Discard-Beitrag, fehlte in jener früheren Tabelle. Die Registrierung trennt Yandex.Cloud LLC für die Cloud-Objekte von YANDEX LLC für das Unternehmensnetzwerk. Abgeschlossene API-Zertifikate lauten Yandex, Moskau, GlobalSign. Ein Werbename hat noch einen hängenden Reverse-Pointer unter 77.88.21.179. https://x.com/i/article/2106548730942152704
Ein unbezahlter Coinbase-Card-Köder – 9. Oktober
Zwei Telegraph-Seiten, telegra.ph/NCO-09-27 und graph.org/UIN-10-05, teilen sich einen Weiterleitungslink. Beide liegen auf 149.154.164.13. Sie wurden am 27. September und am 5. Oktober veröffentlicht. Der Link ist rss2.sayler.at/go/337413/z274x264 auf 107.189.20.230 und leitet weiter zu einem Coinbase Card-Kit unter 97ee1.ralind.at auf 31.59.121.53. Das eigene Skript des Kits nennt 22 Schritte, vom Index bis zu einer Fast-Pay-Seite. Ein Originalbeitrag vom 6. Oktober nennt diese Zahl und druckt dieselben 22 Dateinamen. Die Seiten zeigen einen Kontostand von 39.437,16 $. Die Skripte wurden zuletzt am 26. August 2026 geändert. Elf Gebühren-Codes werden genannt. Nur y2a4u234, die Interbank-Zeile über 58 $, wurde verfolgt, hin zu bitpays.at unter 31.57.29.11, Stream 4374w2. Eine synthetische Übermittlung um 03:45 GMT am 9. Oktober lieferte eine Weiterleitung zu einer BTCPay-Rechnung, 6QTpVwNe9CynFTXZFJE8Yk, auf btcpay369329.lndyn.com unter 172.81.177.1 zurück. Status: Neu. Achtundfünfzig Dollar, 0,00070469 BTC, Kurs 82.306,45 $, Adresse bc1qexqsudur4860kva5789qcvkmpdk4j9wrfrsmzy. Die Bezahlt-Prüfung gab null zurück. Es wurde keine Zahlung gesendet.
ip-api verortet das Kit in Paris und das Zahlungsformular in Riga. QuantumGuard und das Ursprungsregister platzieren 31.57.29.0/24 in den Vereinigten Arabischen Emiraten, AS56971. sayler.at, ralind.at und bitpays.at nutzen DNSPod. Die Notiz vom 6. Oktober, auf dem Objekt mit der SOA-Seriennummer 1789107920, platziert dieses Objekt in Zaandam unter AS14956, RouterHosting und FranTech. Der Artikel vom 9. Oktober wiederholt diese Platzierung nicht. Die Nameserver von Telegraph, die Nameserver von GoDaddy für graph.org und die DNSPod-Adressen sind Shared DNS. 144.31.93.214 liegt außerhalb dieser Kette. Sowohl der Essay vom 15. August als auch dieser Köder verwenden das Wort Coinbase. Das Beispiel des Essays ist eine Telefon-Imitationsgruppe. Dieser Beitrag ist eine Seite, ein Tracker, ein Card-Kit und eine Rechnung, die unbezahlt blieb. https://x.com/i/article/2108597864108871681
Abschlussposition
Zwei Listen schließen die Serie ab. Die erste umfasst die Methoden, die Quantitative Security verwendete. Die zweite enthält die Methoden, die die Beiträge kartierten, jeweils mit der Gruppe, dem Tenant oder der Klasse, die der Beitrag ihnen zuordnete. Die Beispiele des Essays bleiben unter dem Essay vom 15. August. Geschwister-Tags bleiben auf der Geschwisteradresse. Survey-Projekte bleiben im Mess-Eimer. Wo ein Beitrag keine Gruppe nennt, endet die Zeile beim Tenant, beim Netz oder bei der Klasse.
Verwendete Methoden
- Strukturierte externe Durchläufe über Banner, Zertifikate und lauschende Dienste, wobei aufgegebene Assets vom Produktionsvolumen getrennt wurden.
- Ein Besucherengagement, das durch Social Engineering eröffnet und dann durch Open-Source-Anreicherung erweitert wurde. Nur Reconnaissance.
- Reverse-IP-, WHOIS- und Registerabfragen, E-Mail-Authentifizierungsdatensätze sowie ein Packet Capture, abgeglichen mit den Adressen, die diese Datensätze nannten.
- Die eigene Domain des Unternehmens, durch denselben Einstiegspunkt geschickt, den ein externer Jäger nutzen würde, wobei die Selbst-Reconnaissance als Sensorrauschen beibehalten wurde.
- Soft-Geolocation- und asname-Feeds, abgeglichen mit ARIN, RIPE und Team Cymru. Die Reihenfolge lautet: Tool, dann Tenant, dann Register.
- Ein geranktes historisches Inventar, abgeschlossen zur Dienstidentität, bevor ein öffentlicher Vorfall damit verknüpft wurde.
- On-Path-DNS- und Honeypot-Logs, so ausgelesen, dass die eigenen Sitzungen des Unternehmens von entfernten Treffern getrennt bleiben.
- E-Mails, reduziert auf ein invariantes Token, ein HEAD-Request gegen einen Browser-GET gesetzt und ein gemeinsamer Virtual-Host-Body über das Präfix hinweg gehasht.
- Wohnnetz-Discards, abgeglichen mit AbuseIPDB, Spamhaus DROP, URLhaus, Feodo, SSLBL, ThreatFox und Emerging Threats, wobei die passive Namenserweiterung den Nameserver von der Blockliste fernhält.
- Hotspot-Egress als Assoziation beibehalten, und die Folgemesse zeitlich von der ersten Sitzung getrennt.
- Registrar, Nameserver-Paar und Carrier-Interstitial vom Ursprungscontent getrennt.
- SPF, DKIM, DMARC und S/MIME gemeinsam gelesen und bei einer Klasse belassen, wenn das signierte Original nicht vorlag.
- Ein Discard-Export, eingeteilt in Survey-Projekte, wiederkehrende feindliche Netze, die eigenen Pakete des Unternehmens und die Sitzung, die sich nicht selbst erklärte.
- Compute-Dokumente des Anbieters gegen eine breitere Behauptung gelesen, wobei die unbelegten Klauseln aus dem Befund herausgelassen wurden.
- Eine Köderkette, verfolgt durch den Tracker, das Kit, einen Gebühren-Code und eine synthetische unbezahlte Rechnung. Es wurde keine Zahlung gesendet.
Kartierte Methoden und der jeweilige Name
- Restliche Cloud-Dienste und kurzlebige authentifizierte Proxys. Die verbliebenen Marken sind GENIEX, Spieletitel einschließlich Dragon Raja und ein dünnes, mit Laos verbundenes Set aus Medizin-Ästhetik- und Gebrauchtwagen-Seiten.
- Ernte von Besucherinfrastruktur. Die Einstiegsadresse wurde nach Iran geolokalisiert, und der Artikel belässt das Label dort. Die Baseline nennt GoCodeIT Inc. aus Thornhill, Ontario; rejekibet.com und die Scam-Klone rund um diese Marke; sowie geniex.com in der Abwicklungsphase.
- Verkauf von Krankenversicherungen unter Markennamen und eine bereits als Phishing eingestufte Seite auf Shared Hosting. Die zugehörigen Namen sind Registranten. Fabiola Silva Souza und Fabiola Silva Souza Seguros Ltda halten das Kernportfolio. Roger Oliveira da Silva und Leonildo Quintiliano sitzen auf der Bridge-Site. Tiago Ferreira Pena ist ein angrenzender Registrant. Christian von Langermann ist der Registrant von shelleasternpetroleum.ae, einem Co-Tenant. OpenDNS, Cloudflare und DNS4EU stuften vendasbradescosaude.com.br als Phishing ein. Die Fake-Bank-, Casino- und Wallet-Konverter-Seiten auf demselben Knoten bleiben Nachbarn.
- Trusted-Edge-Imitation: ein Lookalike oder ein beliebiger Name, geparkt auf Squarespace, Cloudflare, Vercel, GitHub Pages oder AWS Global Accelerator. Historische Cobalt Strike- und Mozi-URLs auf 198.49.23.145 sind andere Tenants dieses Anycasts.
- Fähigkeitsstufen, im Essay vom 15. August. Diese Namen sind die Beispiele des Essays. Man hands, auch Tiffany M. genannt: Imitation von Hardware-Wallet- und Exchange-Support, gefälschte BitcoinIRA-Mails. Dritan Kapllani Jr. John Daghita, genannt Lick, gegen vom U.S. Marshals Service beschlagnahmte Wallets. Die Greavys-, Wiz- und Box-Crew gegen einen Genesis-Gläubiger. Lazarus, der Bybit-Diebstahl vom Februar 2025. UAC-0145, im Essay mit Sandworm / APT44 verknüpft: gefälschte Vorstellungsgespräche mit einer VPN-Konfiguration als Payload. Laundry Bear: Mit Russland verknüpfte Zugangsdaten gegen Regierung, Verteidigung und kritische Infrastruktur.
- Malware-URLs, getragen auf einem GitHub-Release-Hostname, dessen BGP-Ursprung Fastly ist. Die kartierte Methode ist Fracht auf einem vertrauenswürdigen Hostnamen. Der Block ist der nachfolgende virtuelle Server.
- Snowshoe-Lead-Generierung. Die Kostüme sind Policy Plug, Easy Insurance Match, Endurance sowie Indigo und Destiny Mastercard. LendingTree ist das Opfer eines gestohlenen NMLS-Footers. Die Mails und Klicks sitzen auf NForce, AS43350. Unredigiertes WHOIS nennt Robert Carpino als Pivot. Der Käufer hinter CAKE-Angebot 2701 ist nicht identifiziert.
Scanning aus Wohnnetzen und feindliches Hosting.
- QNAX. Verkauft VPS, RDP und Konsolen-VNC. Die kartierte Methode auf 45.140.193.187 ist RFB-Brute-Force auf tcp/5900.
- Pfcloud. Innerhalb eines Spamhaus-DROP-Präfixes, mit n8n und authentik auf diesem Netz genannt. Ein Bericht vom 25. Juni verortet die Ausnutzung von UniFi OS unter 176.65.148.183 im selben /22. Die CISA-Einträge vom 23. Juni nennen CVE-2026-34908, CVE-2026-34909 und CVE-2026-34910, im Beitrag beschrieben als Mirai-Klasse-Loader.
- Tamatiya und 4vendeta. Der Spray über die Kunden- und Betriebsscheiben. TopDNS bleibt der Forwarder. Recyber steht auf den August-Karten und fehlt im Fenster vom 3. Oktober.
- Ghosty 43.228.157.0/24 und Stormcloud 94.154.43.0/24. Mirai-Nachbarschaften, genannt auf URLhaus. Auf dem Stormcloud /24 sitzen die weiteren Tags, einschließlich ApexBot und LummaStealer, auf Geschwisteradressen. 94.154.43.203 ist die Adresse, die das Oktober-Log berührte.
- Stealc, MooBot, Vidar und XWorm. Genannt auf anderen 193.233-Hosts, auf anderen autonomen Systemen als der Scanner unter 193.233.198.28.
- 46.146.238.1. Ein exakter URLhaus-Host für einen High-Port-Dropper, mit offenem Telnet.
- UniFi OS auf 195.252.206.160. Eine Service-Klassen-Übereinstimmung mit SAB-067, CVE-2026-77550.
- EMBNEX. Acht Dump-Ursprünge. embnex.com ist CloudFront.
- Survey-Projekte in denselben Logs: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid und Nokia Deepfield. Wiederkehrende Netznamen in diesem Mess-Set sind SS-Net und Amarutu.
- Internetzugängliche Management-Dienste auf einer Adresse: MikroTik RouterOS, Nginx Proxy Manager, MeshCentral und UniFi.
- Eine eintägige Warteliste auf einem per Privacy-Proxy geschützten Dynadot-Namen. Der Beitrag nennt keine Gruppe. Mystic Stealer erscheint als Anhang vom Juni 2023, der dieselben Cloudflare-Anycast-Adressen auflistete. FanPartners und der „A little chicken“-Lander nutzen ein anderes Nameserver-Paar.
- E-Mails, die SPF, DKIM und DMARC auf einem Defense Network Information Center-Host passieren, wobei die From-Zeile und der S/MIME-Signierer unterschiedlich sind. Das Programm im Artikel ist die Identitätsprüfungslücke des DMDC. Die kartierte Klasse ist eine Instanz, die beim Signierer oder davor eingeführt wurde. Das File-Sharing-Schreiben vom September bleibt bei seinen eigenen Daten.
- Eine breitere Behauptung über das Auslesen von Yandex Cloud-Gästen. Die Dokumente stützen einen Plattform-Verschlüsselungsschlüssel, einen Kundenschlüssel, der ein Kill Switch innerhalb von Yandex' eigenem Schlüsseldienst bleibt, und Gast-Speicher als gewöhnlichen Speicher des QEMU-Prozesses. 87.250.250.108, benannt als cloud.yandex.ru, bleibt die Sitzung, die der Discard-Beitrag nicht erklären konnte.
- Ein mehrstufiger Card-Köder: zwei Telegraph-Seiten, ein Tracker, ein 22-stufiges Kit, ein Gebühren-Code-Zahlungsformular und eine unbezahlte BTCPay-Rechnung. Das Coinbase-Beispiel vom 15. August bleibt die Telefon-Imitationsgruppe des Essays, Man hands. Dieser Beitrag ist die Seite, der Tracker, das Kit und die unbezahlte Rechnung.
