Quantitative Security dedicó del 31 de julio al 9 de octubre de 2026 a la serie pública para cuya producción la revisión de mitad de año había desarrollado las herramientas. La serie abarca desde el reconocimiento en el rango de la nube del 31 de julio hasta el señuelo de tarjeta de Coinbase sin pagar del 9 de octubre, publicada como contenido extenso TLP:CLEAR en X. Agosto dirigió el método hacia adentro: un vecino de GitHub se resolvió a una identidad de ventas de planes de salud, el propio dominio de la empresa se midió como objetivo externo y un año de etiquetas de operadores se contrastó con el registro. Septiembre llevó esa misma reducción a un firewall residencial y a una fábrica de snowshoe, manteniendo las plataformas que alojaban esos casos en su propia clase. Octubre separó un registro de descarte en medición, redes hostiles conocidas y las propias herramientas de la empresa, planteó una afirmación más amplia sobre Yandex Compute frente a los documentos del proveedor y siguió un kit de tarjetas hasta una factura que quedó impaga.
Cada producto transforma telemetría cruda y fuentes abiertas en un resultado atribuido, priorizado y listo para la defensa. Un nombre solo se adjunta donde la pieza lo adjunta. La plataforma, el tenant, el proyecto de sondeo y una firma que los atraviesa conservan la clase que la pieza les asignó. La posición final enumera los métodos utilizados, los métodos mapeados y el grupo, tenant o clase que corresponde a cada uno.
La serie de informes
Superficie residual en la nube — 31 de julio
Un pase externo estructurado por unas 115 direcciones clasificó producción activa, servicios residuales y activos abandonados. El hosting compartido turco en 104.247.165.210 (silaoglu.com, con banner mt-rohan.guzelhosting.com) presentaba un stack completo de correo y web: Pure-FTPd, Dovecot, Exim, MySQL y LiteSpeed, junto con proxies SOCKS5 y HTTP autenticados y certificados de corta duración. El mayor volumen estaba en espacio de Tencent y Aceville, fuertemente filtrado. La minoría que respondió constituía la superficie residual: Nginx Proxy Manager en el puerto 81, una aplicación Next.js activa bajo /arena, proxies autenticados en puertos altos, Escritorio Remoto de Windows con nombres de host de estilo interno y certificados sobrantes de una marca de eSIM GENIEX y de marcas de juegos indonesias y vietnamitas, incluido un título de Dragon Raja aún servido por un Jetty obsoleto. Un pequeño conjunto vinculado a Laos en una dirección de Tencent mostraba sitios en chino de estética médica y autos usados con una huella pública mínima. El producto es la misma separación que la revisión de mitad de año aplicó al edge de Google. El volumen de producción y los servicios abandonados son hallazgos distintos, y solo el segundo representa un problema de bloqueo y hardening. https://x.com/i/article/2083245764969635841
Interacción de inteligencia protectora — 1 de agosto
La interacción comenzó cuando una dirección enmascarada geolocalizada en Irán visitó la infraestructura de Quantitative Security. La ingeniería social de esa interacción atrapó un conjunto de direcciones, ampliado mediante un sitio creado específicamente para recolectar la infraestructura de los visitantes. La línea base publicada menciona a GoCodeIT Inc. de Thornhill, Ontario, en proxies autenticados en 65.111.5.29 y 74.119.149.79; un CloudPanel 2.5.2 expuesto en 103.255.134.61 para technofaq.org; un CodePushServer de estilo Microsoft en 152.32.169.33 en el puerto 8888; rejekibet.com como plataforma indonesia de apuestas con dinero real con clones fraudulentos alrededor de la marca; Escritorio Remoto de Windows expuesto a internet, incluido 38.107.237.68; geniex.com como una operación nigeriana de SIM virtual en proceso de cierre, con el dominio resolviendo a AWS; y acmmanufacturer.com, antes en espacio residual de Tencent y luego trasladado a Zenlayer a través de chukouplus.com. Los hosts proxy en 104.207.0.0/16 requerían autenticación, presentaban certificados de unos siete días y devolvían 404 en las rutas de administración sondeadas. Los listeners zeus-admin permanecieron filtrados. Una etiqueta de geolocalización en la dirección inicial es el punto de partida de la interacción. El artículo no asigna ningún grupo estatal con nombre. El conjunto de datos se cerró como línea base para la segunda mitad del año. https://x.com/i/article/2083388096285179904
Del balanceador de carga de GitHub a una granja de ventas de planes de salud brasileña — 8 de agosto
Una sesión de hotspot del 7 de agosto con QuantumGuard y una captura comenzaron a partir de un pull request de GitHub y un reverse-IP del balanceador de carga de Seattle 140.82.116.3 (lb-140-82-116-3-sea.github.com). Esa dirección alojaba también coindream.site: web en GitHub, SPF de correo apuntando a UltaHost cp5 159.100.6.5, creado el 23 de enero de 2026, registrante con privacidad, DNS de Namecheap. La captura no contenía paquetes hacia las direcciones del caso posterior. UltaHost albergaba alrededor de 500 nombres, incluido shelleasternpetroleum.ae registrado a nombre de Christian von Langermann, además de gamingcomission.co, antifraud.click, aranttru.com y pinupcasinorussia.click. Los puertos web luego se filtraron a cPanel en 2082 y 2083. pro114.dnspro.com.br en 187.33.241.58 exponía un stack completo de correo y panel, y MariaDB 10.11.18 público.
El nodo principal es shared.qloudhost.com en 45.87.42.74, una granja brasileña de ventas de planes de salud activa entre 2017 y 2025 que usaba los nombres de marca Bradesco, Amil, Unimed y SulAmérica. El WHOIS del portafolio central es Fabiola Silva Souza, handle FASSO283, buzón en saudeperfeita.com.br. Los registros públicos del artículo coinciden con el CNPJ 40.950.276/0001-55, Fabiola Silva Souza Seguros Ltda, Mococa, São Paulo, abierto el 23 de febrero de 2021. El sitio puente saudeperfeita.com.br está en HostGator en 162.241.2.92, con usuarios de WordPress admin y nildo, vinculados en el artículo a Roger Oliveira da Silva de Agência Unit y a Leonildo Quintiliano. Tiago Ferreira Pena es un registrante adyacente en los mismos nameservers. Ese mismo nodo también alojaba páginas de bancos falsos, registro de casino y conversores de Paysafe y Neosurf. QloudHost comercializa hosting para casinos. Los nameservers compartidos y el buzón saudeperfeita vinculan a los operadores de planes de salud. La cotenencia en el nodo no extiende esa identidad a los tenants financieros o de apuestas. vendasbradescosaude.com.br permaneció en la dirección qloud después de que OpenDNS, Cloudflare y DNS4EU lo clasificaran como phishing. Quedaron abiertos en la pieza: el portafolio completo de registro.br, la URL original del pull request y pivotes secundarios sobre von Langermann. https://x.com/i/article/2085939414463631360
El dominio propio como objetivo externo — 15 de agosto
Del 9 al 14 de agosto, quantitativesecurity.org fue examinado con los mismos movimientos iniciales que usaría un atacante externo. El origen estaba limpio. El hosting es anycast multitenant de Squarespace, con el conjunto p07 de NS1 más DNS de Squarespace, Let’s Encrypt en los nombres del cliente y un 403 desde las direcciones desnudas con un certificado DigiCert para *.squarespace.com. nmap reportó una implementación Go net/http mientras el encabezado Server decía Squarespace. Ese par es un único edge descrito en dos capas. Unos 1,900 nombres .academy comparten la plataforma. Se probaron indicadores de clase Gophish y estuvieron ausentes. QuantC y QuantumGuard registraron el autorreconocimiento como ruido de plataforma, que es la verdad fundamental que esos sensores necesitan. El riesgo residual material es la identidad: sin MX, sin SPF, sin DMARC y un registro próximo a vencer en septiembre de 2026. Un origen limpio cuyo canal de correo no está firmado sigue siendo una superficie de ataque. https://x.com/i/article/2088437251508436992
Niveles de capacidad — 15 de agosto
Un ensayo complementario separa a las bandas criminales de los actores respaldados por estados según sus tácticas y el dinero acumulado, y reserva una tercera categoría para el trabajo de exposición que no toma nada. En el extremo inferior, el ejemplo mapeado del ensayo es un operador conocido como Man hands, también llamado Tiffany M.: suplantación de billeteras de hardware y soporte de exchanges, al menos USD 5 millones, Trezor y Coinbase, correos falsificados de BitcoinIRA, paneles provistos por asociados, seguridad operacional débil. Esa cifra es el total de robo del ensayo para ese operador. Ejemplos de nivel medio en la misma pieza son Dritan Kapllani Jr. con unos USD 19 millones, y John Daghita, apodado Lick, con más de USD 46 millones provenientes de billeteras incautadas por el Servicio de Alguaciles de EE. UU., con una actividad sospechada más amplia en el ensayo superior a USD 90 millones, arrestado posteriormente. El ejemplo criminal más alto es la banda de Greavys, Wiz y Box, con unos USD 243 millones de un solo acreedor de Genesis. Los ejemplos respaldados por estados son Lazarus y el robo de Bybit de febrero de 2025 por unos USD 1,500 millones; UAC-0145, vinculado en el ensayo a Sandworm / APT44, usando entrevistas de trabajo falsas contra profesionales de TI ucranianos y una configuración de VPN como vector de entrega; y Laundry Bear, descrito como uso vinculado a Rusia de credenciales comprometidas contra gobierno, defensa e infraestructura crítica. https://x.com/i/article/2088672299868377088
El vecindario .academy — 17 de agosto
El reverse-IP del cuarteto connect de Squarespace compiló 2,020 nombres vecinos. 1,898 terminaban en .academy, y 1,767 de ellos aún resolvían únicamente a 198.49.23.144, 198.49.23.145, 198.185.159.144 y 198.185.159.145, AS53831. Aparecieron cincuenta y cuatro direcciones únicas en todo el conjunto. Cuarenta de cuarenta nombres de Squarespace muestreados devolvieron el encabezado de Squarespace y una cookie crumb. Los reportes de abuso y las URL históricas de malware offline en 198.49.23.145, incluidas rutas de Cobalt Strike y Mozi, se vinculan en el artículo a otros tenants en el edge compartido. La línea de propiedad es el nombre de marca y las cuatro direcciones connect oficiales. Los nombres de escuelas quedan fuera de la lista de bloqueo. La reputación que se basa en la dirección en lugar del nombre de host es un costo de la plataforma, y así se documenta. https://x.com/i/article/2089015652753502208
La capa de identidad — 17 de agosto
La familia de registradores del mismo dominio, los nameservers duales y las cuatro direcciones anycast son la línea base legítima, y son la superficie que copia un imitador. Squarespace, Cloudflare, Vercel, GitHub Pages y AWS Global Accelerator ya cargan con la reputación, los encabezados y las autoridades certificadoras. Un Host extranjero igualmente falla de forma cerrada, por lo que un simple bloqueo de dirección genera ruido. Las palancas que nombra el artículo están en el registrador: una transferencia, un cambio de nameserver, higiene de contactos y un registro antiguo, luego un nombre similar o un nombre arbitrario estacionado en el edge confiable. Doce de veintisiete dominios apex .academy atípicos en el conteo complementario estaban registrados en Squarespace Domains y alojados en otro lugar. Los controles que coinciden con la capa manipulada son el bloqueo de registrador, la autenticación multifactor de la plataforma, Certificate Transparency en nombres similares y un registro SPF de fallo estricto donde el dominio no envía correo. https://x.com/i/article/2089012676634738688
Una asignación de Verizon registrada como T-Mobile — 23 de agosto
El 5 de agosto, un informe propio etiquetó el prefijo de cliente 2600:1010:b204:: como de estilo T-Mobile. El dispositivo siempre ha sido Verizon, propietario original. ARIN muestra NetName WIRELESSDATANETWORK, organización Verizon Business (MCICS), registrado el 6 de abril de 2010, cubriendo de 2600:1000:: a 2600:1017:ffff::. Los feeds suaves de asname y geolocalización llevaron la etiqueta de T-Mobile desde octubre de 2025 hasta el día de ese informe. Una consulta en vivo el 21 de agosto devolvió Team Cymru AS6167 CELLCO-PART y RIPE AS22394 CELLCO. La asignación no se había movido. El orden de trabajo publicado con la pieza es el orden para el resto de esta serie: atribuir la herramienta, luego el tenant, luego el registro. https://x.com/i/article/2091560316878671872
Un inventario de 2023, clasificado — 23 de agosto
Doscientas noventa y cuatro capturas de pantalla de una ruta residencial de Charter en Nueva York a principios de 2023 se trasladaron como un conjunto clasificado: unas 1,450 direcciones IPv4, alrededor de 1,266 públicas, en una escala explícita de T1 a T5. El pase de 2026 cerró servicios antes de dejar algo abierto. 103.235.46.191 es el edge de analítica de Baidu en Hong Kong, hm.baidu.com, AS55967. 23.82.31.230 es TradingView en Leaseweb. Una dirección del rango de Boeing se colocó en una lista de solo documentos. Informes públicos posteriores sobre una intrusión de LockBit contra el negocio de repuestos de Boeing comparten un nombre organizacional con esa fila documental y no comparten ninguna sesión. La interrupción de voz de Charter en febrero de 2023, las declaraciones de Storm-0558 de julio de 2023, informes posteriores sobre Salt Typhoon y el propio aviso de Leaseweb del 22 de agosto de 2023 son ventanas de contexto. https://x.com/i/article/2091569041584619520
GitHub en Fastly — 27 de agosto
QS-NetHarden se ejecutó con tethering de un teléfono. La captura comenzó a las 09:08 PDT del 26 de agosto. NetCloak presentó una nueva identidad de Windows. Los señuelos de Artillery estaban activos con el ban desactivado. Phantom-QS rotó Firefox 128. Nada en el registro del honeypot esa mañana es un impacto remoto. El DNS es el operador: el proxy de chat, el balanceador de carga de GitHub, Actions, Copilot, luego release-assets.githubusercontent.com. El prefijo que lo cubre, 185.199.108.0/22, es RIPE US-GITHUB-20170413, organización GitHub, origen BGP AS54113 Fastly. La propia lista de direcciones publicada de Fastly no lo incluye. El conjunto .133 es el comodín de contenido. El conjunto .154 son releases y paquetes. La puerta de entrada de Actions es Microsoft 13.107.42.0/24 y 13.107.43.0/24, y pipelines.actions resolvió a 13.107.43.16 en ese pase. URLhaus contiene URL de malware en el nombre release-assets, y Harden-Runner lo ha marcado. El nombre de host es el camión. El actor es la carga y el siguiente salto que no es GitHub. Bloquea el servidor virtual subsiguiente. Deja intactos el leaf, el comodín de Fastly, Azure Front Door, las instantáneas regionales y el sensor. https://x.com/i/article/2093021792923508736
Una fábrica de leads snowshoe — 29 de agosto, continuado el 7 de septiembre
El 27 de agosto, una sola bandeja de entrada recibió 72 mensajes no solicitados de seguros de auto y tarjetas de crédito, 156 enlaces únicos, 71 dominios From. La agrupación por asunto produjo tres pares duplicados. La constante es el token e6jbv4z en cada cuerpo y cada enlace. Los clics usan una etiqueta de dos letras en un apex antiguo y una ruta PHP de la forma /r más dígitos hexadecimales. Policy Plug representa 51 de los 72. Easy Insurance Match, Endurance e Indigo and Destiny Mastercard son disfraces. Un subconjunto grande copia el número NMLS 1136 de LendingTree y una dirección callejera de Charlotte. LendingTree es la víctima del robo de pie de página. El correo y los clics están en NForce, AS43350, en 185.47.200.0/24 y 185.47.203.0/24: nginx, PHP 7.4.33, 443 cerrado, 25 filtrado. Los dominios son inventario antiguo de Name.com. Una solicitud HEAD recibe un 403 genérico de nginx. Un GET tipo navegador recibe un 302 hacia una landing de CAKE, oferta a=44 y c=2701, en taobmaets.com, o una página de cancelación de suscripción en keycanvascanvas.com. Los archivos adjuntos nombrados como archivos de Office son texto plano. ClamAV dio limpio. Un encabezado Host, mediaignorance.com, devolvió el mismo cuerpo de 52,667 bytes desde siete direcciones en el /24. El WHOIS sin redactar de cuatro apexes nombra a Robert Carpino, tratado en los artículos como un pivote. El comprador detrás de la oferta de CAKE no está identificado. El 7 de septiembre se publicó otra recolección con el mismo token y la misma forma de ruta, disfraces de seguros de auto e Indigo, como ya presente en la base de datos de AT&T. La publicación afirma un conjunto de nameservers compartido y no lo imprime. La acción de defensa es el token, la ruta y los dos prefijos de NForce, reportados a abuse@nforce.com y al registrador, con la línea NMLS robada identificada como robo de un pie de página. https://x.com/i/article/2093528643779825664 https://x.com/i/article/2093532720119083008 https://x.com/i/article/2097103637160022017
Firewall residencial, primer pase — 5 de septiembre
Un registro de gateway residencial de AT&T contenía 296 eventos en 26 minutos, 188 direcciones únicas, 169 de ellas públicas. El fragmento es la radiación de fondo de una IPv4 pública. Las tarjetas del 31 de agosto ya habían nombrado a QNAX, Recyber, Infrawatch, Xpanse, Censys, Pfcloud y CHINANET. Tres hallazgos eran nuevos. QNAX 45.140.193.187 impactó la WAN diez veces en 21 minutos. El artículo cita 408 reportes de AbuseIPDB de 170 fuentes, todos hostiles, y un ataque de fuerza bruta VNC en tcp/5900 usando RFB 003.008. qnax.sh vende ese producto de VPS, RDP y consola VNC. El primer entrante nombrado dentro de una red Spamhaus DROP fue Pfcloud 176.65.149.233, en 176.65.148.0/22, a las 11:58. n8n.pfcloud.io está en 176.65.148.168. sso.pfcloud.io se identifica como authentik. El spray de Tamatiya y 4vendeta a través de 79.124.58.0/24, 79.124.49.0/24 y 78.128.114.0/24 incluye 79.124.58.90, cuyo nombre inverso es ip-58-90.superbit.host y cuyo alias es urlforward.topdns.com, la misma dirección de DigitalOcean que ns-usa.topdns.com en 143.198.68.197. Una expansión pasiva de topdns.com devolvió 517 etiquetas, muchas de ellas colisiones de marca, casi todas sin direcciones. El nameserver permanece sin bloquear. Los hosts prioritarios son 45.140.193.187, 79.124.58.18, 79.124.58.90, 79.124.49.90, 78.128.114.46 y 78.128.114.162. Las redes opcionales son los fragmentos de clientes y operaciones de Tamatiya y Pfcloud 176.65.148.0/22 más 204.76.203.0/24. Dejados intactos junto a ellos: TopDNS, recolectores de CriminalIP, edges de Cloudflare, escáneres de censo y Telepoint 78.128.42.0/24. Los contactos de abuso publicados con la pieza son abuse@qnax.com.br y noc@4vendeta.com. El sensor estaba en un hotspot. No se escaneó la LAN. La pieza se apoya en la nota de Tamatiya del 24 de julio de la serie de la primera mitad. Un puntero web del 4 de septiembre lleva el título de la serie y apunta al sitio de la empresa; el registro en X de la medición es este artículo y el siguiente. https://x.com/i/article/2096029788624523264
Firewall residencial, resto — 6 de septiembre
Las ventanas del 29 de agosto y el 5 de septiembre juntas produjeron 530 eventos únicos y 270 direcciones públicas entrantes. Esta segunda pieza es el remanente de 105, tras apartar los escáneres de censo y los observadores comerciales nombrados. Setenta y cuatro de 108 direcciones verificadas aparecieron en un feed público ese día. Ninguna apareció en Feodo, SSLBL, ThreatFox o Emerging Threats. Veintiuna estaban en prefijos Spamhaus DROP fechados el 4 de septiembre, incluido el /22 de Pfcloud. El artículo cita un relato del 25 de junio sobre explotación de UniFi OS lanzada desde 176.65.148.183 en ese prefijo, y la adición por parte de CISA el 23 de junio de CVE-2026-34908, CVE-2026-34909 y CVE-2026-34910. Ghosty 43.228.157.0/24 y Stormcloud 94.154.43.0/24 son vecindarios Mirai en URLhaus en la misma pieza. La dirección entrante restante más ruidosa seguía siendo QNAX 45.140.193.187, con el conteo del artículo en 412 reportes, vista por última vez el 1 de septiembre en el puerto 5000. 46.146.238.1 es un host exacto de URLhaus para un dropper de puerto alto, con telnet abierto. UniFi OS en 195.252.206.160 no tuvo coincidencias en feeds de direcciones y es una coincidencia de clase de servicio con SAB-067, CVE-2026-77550, fechado el 26 de agosto. EMBNEX 16.5.0.0/24 son ocho orígenes de volcado; el sitio web embnex.com está en CloudFront. Un blob HTML corto idéntico en redes no relacionadas es una página sinkhole. La recomendación es bloquear las redes. https://x.com/i/article/2096732079388299264
Salida de hotspot a un nodo de gestión — 14 de septiembre
El tráfico de un dispositivo personal en un hotspot de iPhone alcanzó 113.176.118.150, nombrado static.vnpt.vn y rdp.cdmt.vn. La dirección presenta MikroTik RouterOS 6.49.13, Nginx Proxy Manager en el puerto 80, HTTPS restringido por nombre en 443, un inicio de sesión público de MeshCentral en 5009, un inicio de sesión público de UniFi en 8443, dos demonios SSH en 8080 y 8090, y un servicio no identificado de estilo CONNECT en 8088 que involucraba el nombre de CloudFront d3azdm1q0gvo54.cloudfront.net. La hipótesis publicada es un gateway y nodo de gestión expuesto a internet. La salida hacia él desde un hotspot personal permanece no autorizada hasta que se mapee a una aplicación, usuario o dispositivo conocido. https://x.com/i/article/2099540826854715392
Una lista de espera ligera — 22 de septiembre
uythjmnglk.xyz se registró en Dynadot el 14 de septiembre de 2026, con proxy de privacidad, en el par de nameservers phoenix y wilson de Cloudflare, sin DNSSEC. Solo responden el apex y www. Fuera de la red local, la aplicación era una lista de espera titulada “You’re on the list”, que enviaba un correo electrónico a una ruta de suscripción bajo el token v:897qvxac7fny03ac. En el gateway de AT&T, el mismo nombre devolvía una breve página intersticial cuyo motivo era malware. Esa página es el operador, no el origen. Las dos direcciones de Cloudflare frente al nombre aparecen en un apéndice de Mystic Stealer de junio de 2023. Son anycast compartido, y hay tres años entre ese apéndice y este registro. Los nombres de casino y 4D del mismo día en el mismo registrador usan un par de nameservers diferente. Un par más antiguo aloja la landing “A little chicken” vinculada a una ruta de afiliado de FanPartners. Esos clústeres quedan fuera de esta semilla. Las direcciones de Cloudflare quedan fuera de cualquier lista de bloqueo de campañas. https://x.com/i/article/2101850617815908352
Avisos de CAC y DEERS — 28 de septiembre
Dos avisos llegaron a un Gmail personal desde CACExpiration-DoNotReply@mail.mil, el 9 de marzo de 2026 y el 7 de mayo de 2026. El mensaje de mayo pasó SPF, DKIM y DMARC. DKIM era d=mail.mil, selector EEMSG2021v1a, política reject. El identificador del mensaje nombra a UHIL19PA53.eemsg.mail.mil en 214.24.21.199. El firmante S/MIME es benefits.notifications@mail.mil, emitido por DOD SW CA-83, válido del 15 de octubre de 2025 al 15 de octubre de 2028. El banner de Gmail indica que el From y el firmante difieren. Los dos buzones son diferentes, y esa diferencia basta para generar el banner. Los cuerpos dicen que faltan dos documentos de identidad e indican al destinatario visitar RAPIDS para subirlos, con un plazo de 120 días en marzo y uno de 60 días, hasta el 6 de julio, en mayo. No se enviaron documentos. La tarjeta siguió funcionando.
El programa oficial que cita el artículo comenzó con avisos de DMDC en enero de 2026. Para agosto, unos 215,000 miembros activos y de reserva incumplían la norma. El Ejército había revisado unas 111,000 tarjetas, sin ninguna revocada al 2 de septiembre. Unos 21,500 Marines aún tenían pendientes en julio. Una línea oficial del 3 de septiembre, publicada el 8 de septiembre, describe una actualización administrativa de registros, sin fraude ni brecha reclamada por los documentos faltantes. MARADMIN 393/26 exige dos documentos originales, en persona. El cuerpo de marzo decía subirlos.
La clase que el artículo mantiene en la columna de vocabulario es un cuerpo introducido en el firmante o antes de él, por lo que las verificaciones siguen pasando. Una reescritura tras la verificación de Gmail queda descartada, porque DKIM pasó. No se tuvo a mano ningún archivo de mensaje original ni ninguna parte de firma. El host de correo es AS345, 214.24.21.0/24, un bloque del Defense Network Information Center de 1998. www.cac.mil es un nombre en Akamai, direcciones 23.62.46.164 y 23.62.46.182, respondiendo 403, y el certificado en ese edge lleva www.cac.mil junto con un conjunto de nombres de pentagon, defense y department. Las aplicaciones de DMDC idco, myaccess y pki resuelven en AS27064 sobre distintas direcciones 214, incluyendo pki.dmdc.osd.mil en 214.16.194.24. Nada se comparte entre el prefijo de correo y esos prefijos de aplicación. Un producto de geolocalización ubica las consultas 214 en Columbus, Ohio. Otro las ubica en Rose Hill, Virginia. Es una sola asignación.
Tres registros adyacentes se mantienen en sus propios carriles. Una página de marketing en email.usfhp.net del 20 de julio es una propiedad real de US Family Health Plan con medición ordinaria de clase HubSpot. Una carta de recurso compartido de archivos fechada el 18 de septiembre describe acceso no cifrado desde octubre de 2025 hasta el 16 de julio de 2026, descubierto el 16 de julio, y el artículo la deja sin unir a esta línea From. Un aviso de IDScan del 4 de septiembre se refiere a cuentas cloud de clientes. Los conteos de unos cuatro millones y de 60 millones de registros se rechazan en el artículo como totales de víctimas. https://x.com/i/article/2104388574397554688
Diecisiete minutos de descartes — 3 de octubre
Una exportación de descartes residenciales impresa de 05:55 a 06:12 el 3 de octubre contenía 234 filas, 110 direcciones extranjeras y 166 incrementos de aciertos. Cada fila es una caída, y la exportación no tiene puerto de destino. Una lectura posterior que desplaza la ventana unas cinco horas es el mismo evento en otro reloj. Cincuenta y uno de 57 aciertos de escáner son proyectos de sondeo de internet con nombre propio: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid, Nokia Deepfield y sus vecinos. Diez direcciones exactas se repiten desde agosto, incluyendo 4vendeta 79.124.49.90, SS-Net 80.94.95.226, Ghosty 43.228.157.10 y Amarutu 89.42.231.200. QNAX y Recyber están ausentes de esta ventana. Nuevos miembros de redes conocidas incluyen Pfcloud 204.76.203.4 y Stormcloud 94.154.43.203. Los nombres de malware en el /24 de Stormcloud se asientan en direcciones hermanas. La dirección que tocó el registro es el descarte, y el nombre de familia permanece en la hermana donde realmente se archivó.
Ocho caídas de política UDP son la cola de una verificación de lista de proxies del 20 de septiembre, paquetes que envió la red monitoreada. Dos filas de paquetes inválidos de Amazon no traen aciertos de listas de amenazas. Un enriquecimiento de anclaje (tether) separado esa misma mañana muestra ruta ordinaria de operador y contenido: Verizon, Comcast, Lumen, Cogent, Google y Cloudflare. La sesión que no se explica por sí misma es 87.250.250.108, llamada cloud.yandex.ru. El único acierto de Spamhaus DROP en la coincidencia de lista fresca es 140.222.19.75 y 140.222.19.77 dentro de 140.222.0.0/16, SBL693942, leído como un patrón de secuestro en espacio antiguo de NSFNET y dejado fuera de una lista de bloqueo de hosts. Colapsar proyectos de medición, escáneres blindados y las propias herramientas del operador en una sola lista de indicadores fabrica un incidente. https://x.com/i/article/2106513298426597376
Yandex Compute, contra el registro público — 4 de octubre
Una afirmación inicial en circulación decía que el Estado ruso lee a los invitados de Yandex Cloud combinando custodia de claves, acceso al hipervisor, clones silenciosos de disco, un mapa de núcleos fijado, un demonio de almacenamiento personalizado y un feed de interceptación legal en el planificador. El artículo contrasta esa afirmación con los propios documentos de cómputo de Yandex y con lo que ya había en este host. El cifrado de disco por defecto usa una clave de plataforma. Una clave de cliente sigue viviendo en el servicio de claves de Yandex, y desactivarla es un interruptor de apagado. La memoria del invitado es memoria ordinaria del proceso QEMU, así que el operador del host está del mismo lado del límite de confianza que el invitado en ejecución. No hay libvirt. La migración en vivo, los hosts dedicados y el cambio de compilaciones de QEMU en el mismo host son comportamiento publicado del producto. Un pin de host-id desactiva la migración en vivo y se escribe mediante la API de cómputo por un principal que ya puede actualizar la instancia. La interfaz del invitado no lleva esa escritura. Lo que las páginas citadas no muestran es una suscripción de interceptación legal al socket de control del hipervisor, a las decisiones del planificador o a las reglas de afinidad de host, y tampoco muestran el clon silencioso, el mapa fijo de núcleos, el demonio personalizado ni la ruta tunelizada del ensayo más amplio. Se inventariaron nombres inversos locales que contenían yandex. 45.87.42.74 sigue siendo la granja de ventas qloudhost de agosto, un nombre distinto. 87.250.250.108, la sesión inexplicada de la pieza de descartes, estaba ausente de esa tabla anterior. El registro separa a Yandex.Cloud LLC en los objetos cloud de YANDEX LLC en la red empresarial. Los certificados de API completados son Yandex, Moscú, GlobalSign. Un nombre publicitario todavía tiene un puntero inverso colgante en 77.88.21.179. https://x.com/i/article/2106548730942152704
Un señuelo de tarjeta Coinbase impago — 9 de octubre
Dos páginas de Telegraph, telegra.ph/NCO-09-27 y graph.org/UIN-10-05, comparten un enlace de continuación. Ambas residen en 149.154.164.13. Se publicaron el 27 de septiembre y el 5 de octubre. El enlace es rss2.sayler.at/go/337413/z274x264 en 107.189.20.230, y redirige a un kit de Coinbase Card en 97ee1.ralind.at sobre 31.59.121.53. El propio script del kit nombra 22 pasos, desde el índice hasta una página de pago rápido. Una publicación original del 6 de octubre declara ese conteo e imprime los mismos 22 nombres de archivo. Las páginas muestran un saldo de $39,437.16. Los scripts se modificaron por última vez el 26 de agosto de 2026. Se nombran once códigos de tarifa. Solo se siguió y2a4u234, la línea interbancaria de $58, hacia bitpays.at en 31.57.29.11, flujo 4374w2. Un envío sintético a las 03:45 GMT del 9 de octubre devolvió una redirección a una factura BTCPay, 6QTpVwNe9CynFTXZFJE8Yk, en btcpay369329.lndyn.com sobre 172.81.177.1. Estado New. Cincuenta y ocho dólares, 0.00070469 BTC, tasa $82,306.45, dirección bc1qexqsudur4860kva5789qcvkmpdk4j9wrfrsmzy. La comprobación de pagado devolvió cero. No se envió ningún pago.
ip-api ubica el kit en París y el formulario de pago en Riga. QuantumGuard y el registro de origen ubican 31.57.29.0/24 en Emiratos Árabes Unidos, AS56971. sayler.at, ralind.at y bitpays.at usan DNSPod. La nota del 6 de octubre, en el objeto que lleva el serial SOA 1789107920, ubica ese objeto en Zaandam bajo AS14956, RouterHosting y FranTech. El artículo del 9 de octubre no repite esa ubicación. Los nameservers de Telegraph, los nameservers de GoDaddy para graph.org y las direcciones de DNSPod son DNS compartido. 144.31.93.214 está fuera de esta cadena. Tanto el ensayo del 15 de agosto como este señuelo usan la palabra Coinbase. El ejemplo del ensayo es un equipo de suplantación telefónica. Esta pieza es una página, un rastreador, un kit de tarjeta y una factura que quedó impaga. https://x.com/i/article/2108597864108871681
Posición de cierre
Dos listas cierran la serie. La primera son los métodos que usó Quantitative Security. La segunda son los métodos que mapearon las piezas, cada uno con el grupo, inquilino o clase que la pieza le asignó. Los ejemplos del ensayo permanecen bajo el ensayo del 15 de agosto. Las etiquetas hermanas permanecen en la dirección hermana. Los proyectos de sondeo se quedan en el cubo de medición. Cuando una pieza no nombra ningún grupo, la línea termina en el inquilino, la red o la clase.
Métodos utilizados
- Pasadas externas estructuradas sobre banners, certificados y servicios en escucha, con los activos abandonados separados del volumen de producción.
- Un acercamiento a visitantes abierto mediante ingeniería social y luego ampliado con enriquecimiento de fuentes abiertas. Solo reconocimiento.
- Extracciones de Reverse-IP, WHOIS y registros, entradas de autenticación de correo y una captura de paquetes verificada contra las direcciones que esos registros nombraban.
- El propio dominio de la empresa, recorrido con la misma apertura que usaría un cazador externo, manteniendo el autorreconocimiento como ruido de sensor.
- Feeds de geolocalización suave y asname verificados contra ARIN, RIPE y Team Cymru. El orden es herramienta, luego inquilino, luego registro.
- Un inventario histórico rankeado, cerrado a identidad de servicio antes de que se le uniera cualquier incidente público.
- Registros de DNS on-path y de honeypot, leídos de modo que las propias sesiones de la empresa queden separadas de los aciertos remotos.
- Correo reducido sobre un token invariante, una petición HEAD contrastada con un GET de navegador y un cuerpo de host virtual compartido hasheado a lo largo del prefijo.
- Descartes residenciales reducidos contra AbuseIPDB, Spamhaus DROP, URLhaus, Feodo, SSLBL, ThreatFox y Emerging Threats, con expansión pasiva de nombres que deja al nameserver fuera de la lista de bloqueo.
- Egreso de hotspot retenido como asociación, y medición de seguimiento cronometrada aparte de la primera sesión.
- Registrador, par de nameservers e intersticial de operador separados del contenido de origen.
- SPF, DKIM, DMARC y S/MIME leídos en conjunto, y retenidos en una clase cuando el original firmado no estaba a mano.
- Una exportación de descartes agrupada en proyectos de sondeo, redes hostiles recurrentes, los propios paquetes de la empresa y la sesión que no se explicó por sí misma.
- Documentos de cómputo del proveedor leídos frente a una afirmación más amplia, dejando fuera del hallazgo las cláusulas no sustentadas.
- Una cadena de señuelo seguida a través del rastreador, el kit, un código de tarifa y una factura sintética impaga. No se envió ningún pago.
Métodos mapeados y el nombre en cada uno
- Servicios cloud residuales y proxies autenticados de corta vida. Las marcas residuales son GENIEX, títulos de juegos incluyendo Dragon Raja, y un delgado conjunto vinculado a Laos de sitios de estética médica y autos usados.
- Cosecha de infraestructura de visitantes. La dirección de apertura se geolocalizó en Irán, y el artículo deja la etiqueta ahí. La línea base nombra a GoCodeIT Inc. de Thornhill, Ontario; rejekibet.com y los clones de estafa alrededor de esa marca; y geniex.com en proceso de cierre.
- Ventas de planes de salud con nombre de marca, y un sitio ya clasificado como phishing, en hosting compartido. Los nombres asociados son titulares de registro. Fabiola Silva Souza y Fabiola Silva Souza Seguros Ltda poseen el portafolio central. Roger Oliveira da Silva y Leonildo Quintiliano están en el sitio puente. Tiago Ferreira Pena es un titular adyacente. Christian von Langermann es el titular de shelleasternpetroleum.ae, un coinquilino. OpenDNS, Cloudflare y DNS4EU clasificaron vendasbradescosaude.com.br como phishing. Las páginas de banco falso, casino y conversor de billetera en el mismo nodo siguen siendo vecinas.
- Imitación de borde confiable: un nombre idéntico o arbitrario estacionado en Squarespace, Cloudflare, Vercel, GitHub Pages o AWS Global Accelerator. Las URL históricas de Cobalt Strike y Mozi en 198.49.23.145 son otros inquilinos de ese anycast.
- Niveles de capacidad, en el ensayo del 15 de agosto. Estos nombres son los ejemplos del ensayo. Man hands, también llamada Tiffany M.: suplantación de billeteras de hardware y soporte de exchange, correo falsificado de BitcoinIRA. Dritan Kapllani Jr. John Daghita, llamado Lick, contra billeteras incautadas por el U.S. Marshals Service. El equipo de Greavys, Wiz y Box, contra un acreedor de Genesis. Lazarus, el robo de Bybit de febrero de 2025. UAC-0145, vinculado en el ensayo a Sandworm / APT44: entrevistas de trabajo falsas, con una configuración de VPN como vector de entrega. Laundry Bear: credenciales vinculadas a Rusia contra gobierno, defensa e infraestructura crítica.
- URL de malware transportadas en un hostname de release de GitHub cuyo origen BGP es Fastly. El método mapeado es carga en un hostname confiable. El bloqueo es el servidor virtual subsiguiente.
- Generación de leads tipo snowshoe. Los disfraces son Policy Plug, Easy Insurance Match, Endurance, e Indigo and Destiny Mastercard. LendingTree es la víctima de un pie de página NMLS robado. El correo y los clics residen en NForce, AS43350. El WHOIS sin redactar señala a Robert Carpino como pivote. El comprador detrás de la oferta CAKE 2701 no está identificado.
Escaneo residencial y hosting hostil.
- QNAX. Vende VPS, RDP y VNC de consola. El método mapeado en 45.140.193.187 es fuerza bruta RFB en tcp/5900.
- Pfcloud. Dentro de un prefijo Spamhaus DROP, con n8n y authentik nombrados en esa red. Una cuenta del 25 de junio ubica explotación de UniFi OS en 176.65.148.183 en el mismo /22. Las entradas de CISA del 23 de junio nombran CVE-2026-34908, CVE-2026-34909 y CVE-2026-34910, descritas en la pieza como un cargador de clase Mirai.
- Tamatiya y 4vendeta. La dispersión a través de las porciones de clientes y operaciones. TopDNS sigue siendo el forwarder. Recyber está en las tarjetas de agosto y ausente de la ventana del 3 de octubre.
- Ghosty 43.228.157.0/24 y Stormcloud 94.154.43.0/24. Vecindarios Mirai nombrados en URLhaus. En el /24 de Stormcloud, las etiquetas adicionales, incluyendo ApexBot y LummaStealer, se asientan en direcciones hermanas. 94.154.43.203 es la dirección que tocó el registro de octubre.
- Stealc, MooBot, Vidar y XWorm. Nombrados en otros hosts 193.233, en sistemas autónomos distintos al escáner en 193.233.198.28.
- 46.146.238.1. Un host exacto de URLhaus para un dropper de puerto alto, con telnet abierto.
- UniFi OS en 195.252.206.160. Una coincidencia de clase de servicio con SAB-067, CVE-2026-77550.
- EMBNEX. Ocho orígenes de volcado. embnex.com es CloudFront.
- Proyectos de sondeo en los mismos registros: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid y Nokia Deepfield. Los nombres de red repetidos en ese conjunto de medición incluyen SS-Net y Amarutu.
- Servicios de administración expuestos a internet en una dirección: MikroTik RouterOS, Nginx Proxy Manager, MeshCentral y UniFi.
- Una lista de espera de un día en un nombre de Dynadot con proxy de privacidad. La pieza no nombra ningún grupo. Mystic Stealer aparece como un apéndice de junio de 2023 que listaba las mismas direcciones anycast de Cloudflare. FanPartners y el lander “A little chicken” usan un par de nameservers distinto.
- Correo que pasa SPF, DKIM y DMARC en un host del Defense Network Information Center, con la línea From y el firmante S/MIME distintos. El programa en el artículo es la brecha de prueba de identidad de DMDC. La clase mapeada es un cuerpo introducido en el firmante o antes de él. La carta de recurso compartido de archivos de septiembre se queda con sus propias fechas.
- Una afirmación más amplia sobre la lectura de invitados de Yandex Cloud. Los documentos respaldan una clave de cifrado de plataforma, una clave de cliente que sigue siendo un interruptor de apagado dentro del propio servicio de claves de Yandex, y la memoria del invitado como memoria ordinaria del proceso QEMU. 87.250.250.108, llamada cloud.yandex.ru, sigue siendo la sesión que la pieza de descartes no pudo explicar.
- Un señuelo de tarjeta de múltiples pasos: dos páginas de Telegraph, un rastreador, un kit de 22 pasos, un formulario de pago con código de tarifa y una factura BTCPay que quedó impaga. El ejemplo de Coinbase del 15 de agosto sigue siendo el equipo de suplantación telefónica del ensayo, Man hands. Esta pieza es la página, el rastreador, el kit y la factura impaga.
