Quantitative Security dedicó del 31 de julio al 9 de octubre de 2026 a la serie pública para cuya producción la revisión de mitad de año había desarrollado las herramientas. La serie abarca desde el reconocimiento en el rango cloud del 31 de julio hasta el señuelo de tarjeta Coinbase no pagada del 9 de octubre, publicada como contenido extenso TLP:CLEAR en X. Agosto dirigió el método hacia adentro: un vecino de GitHub se resolvió a una identidad de ventas de planes de salud, el propio dominio de la empresa se midió como objetivo externo y un año de etiquetas de operadores se cotejó contra el registro. Septiembre llevó esa misma reducción a un firewall residencial y a una fábrica de snowshoe, manteniendo las plataformas sobre las que se asentaban esos casos en su propia clase. Octubre separó un registro de descarte en medición, redes hostiles conocidas y las propias herramientas de la empresa, contrastó una afirmación más amplia sobre Yandex Compute con la documentación del proveedor y siguió un kit de tarjetas hasta una factura que quedó impaga.
Cada producto transforma telemetría bruta y fuentes abiertas en un resultado atribuido, priorizado y listo para la defensa. Un nombre solo se adjunta donde la pieza lo adjunta. La plataforma, el tenant, el proyecto de sondeo y una firma que los supera mantienen la clase que la pieza les asignó. La posición final enumera los métodos utilizados, los métodos mapeados y el grupo, tenant o clase que se asienta sobre cada uno.
La serie de informes
Superficie cloud residual — 31 de julio
Un pase externo estructurado por unas 115 direcciones clasificó producción en vivo, servicios residuales y activos abandonados. El hosting compartido turco en 104.247.165.210 (silaoglu.com, con banner mt-rohan.guzelhosting.com) presentaba una pila completa de correo y web: Pure-FTPd, Dovecot, Exim, MySQL y LiteSpeed, junto con proxies SOCKS5 y HTTP autenticados y certificados de corta duración. El mayor volumen se ubicaba en espacio de Tencent y Aceville, fuertemente filtrado. La minoría que respondió constituía la superficie residual: Nginx Proxy Manager en el puerto 81, una aplicación Next.js activa bajo /arena, proxies autenticados en puertos altos, Escritorio Remoto de Windows con nombres de host de estilo interno y certificados sobrantes de una marca de eSIM GENIEX y de marcas de juegos indonesias y vietnamitas, incluido un título de Dragon Raja aún servido por un anticuado Jetty. Un pequeño conjunto vinculado a Laos en una dirección de Tencent mostraba sitios de estética médica y coches usados en chino, con una huella pública muy escasa. El producto es la misma separación que la revisión de mitad de año aplicó al edge de Google. El volumen de producción y los servicios abandonados son hallazgos distintos, y solo el segundo representa un problema de bloqueo y endurecimiento. https://x.com/i/article/2083245764969635841
Interacción de inteligencia protectora — 1 de agosto
La interacción comenzó cuando una dirección enmascarada geolocalizada en Irán visitó infraestructura de Quantitative Security. La ingeniería social de esa interacción atrapó un conjunto de direcciones, ampliado mediante un sitio creado específicamente para recolectar infraestructura de visitantes. La línea base publicada menciona a GoCodeIT Inc. de Thornhill, Ontario, en proxies autenticados en 65.111.5.29 y 74.119.149.79; un CloudPanel 2.5.2 expuesto en 103.255.134.61 para technofaq.org; un CodePushServer de estilo Microsoft en 152.32.169.33 en el puerto 8888; rejekibet.com como plataforma indonesia de apuestas con dinero real con clones fraudulentos alrededor de la marca; Escritorio Remoto de Windows expuesto a internet, incluido 38.107.237.68; geniex.com como una operación nigeriana de SIM virtual en proceso de cierre, con el propio dominio resolviendo a AWS; y acmmanufacturer.com, anteriormente en espacio residual de Tencent y luego trasladado a Zenlayer a través de chukouplus.com. Los hosts proxy en 104.207.0.0/16 requerían autenticación, presentaban certificados de unos siete días y devolvían 404 en las rutas de administración sondeadas. Los listeners zeus-admin permanecieron filtrados. Una etiqueta de geolocalización en la dirección inicial es el punto de partida de la interacción. El artículo no asigna ningún grupo estatal con nombre. El conjunto de datos se cerró como línea base para la segunda mitad del año. https://x.com/i/article/2083388096285179904
Del balanceador de carga de GitHub a una granja de ventas de planes de salud brasileños — 8 de agosto
Una sesión hotspot del 7 de agosto con QuantumGuard y una captura comenzaron a partir de un pull request de GitHub y una búsqueda IP inversa del balanceador de carga de Seattle 140.82.116.3 (lb-140-82-116-3-sea.github.com). Esa dirección alojaba conjuntamente coindream.site: web en GitHub, SPF de correo apuntando a UltaHost cp5 159.100.6.5, creado el 23 de enero de 2026, registrante con privacidad, DNS de Namecheap. La captura no contenía paquetes hacia las direcciones del caso posterior. UltaHost albergaba del orden de 500 nombres, incluido shelleasternpetroleum.ae registrado a nombre de Christian von Langermann, además de gamingcomission.co, antifraud.click, aranttru.com y pinupcasinorussia.click. Los puertos web se filtraron después a cPanel en 2082 y 2083. pro114.dnspro.com.br en 187.33.241.58 exponía una pila completa de correo y panel, así como MariaDB 10.11.18 público.
El nodo principal es shared.qloudhost.com en 45.87.42.74, una granja brasileña de ventas de planes de salud de 2017 a 2025 que utilizaba los nombres de marca Bradesco, Amil, Unimed y SulAmérica. El WHOIS del portafolio central es Fabiola Silva Souza, handle FASSO283, buzón en saudeperfeita.com.br. Los registros públicos del artículo coinciden con el CNPJ 40.950.276/0001-55, Fabiola Silva Souza Seguros Ltda, Mococa, São Paulo, abierto el 23 de febrero de 2021. El sitio puente saudeperfeita.com.br está en HostGator en 162.241.2.92, con usuarios de WordPress admin y nildo, vinculados en el artículo a Roger Oliveira da Silva de Agência Unit y a Leonildo Quintiliano. Tiago Ferreira Pena es un registrante adyacente en los mismos servidores de nombres. Ese mismo nodo también albergaba páginas de bancos falsos, registros de casino y conversores de Paysafe y Neosurf. QloudHost comercializa hosting para casinos. Los servidores de nombres compartidos y el buzón saudeperfeita vinculan a los operadores de planes de salud. La cotenencia en el nodo no extiende esa identidad a los tenants financieros o de apuestas. vendasbradescosaude.com.br permaneció en la dirección qloud después de que OpenDNS, Cloudflare y DNS4EU lo clasificaran como phishing. Quedaron abiertos en la pieza: el portafolio completo de registro.br, la URL original del pull request y los pivotes secundarios sobre von Langermann. https://x.com/i/article/2085939414463631360
El dominio propio como objetivo externo — 15 de agosto
Del 9 al 14 de agosto, quantitativesecurity.org fue examinado con los mismos movimientos iniciales que usaría un cazador externo. El origen estaba limpio. El hosting es anycast multitenant de Squarespace, con el conjunto p07 de NS1 más el DNS de Squarespace, Let’s Encrypt en los nombres de cliente y un 403 desde las direcciones desnudas portando un certificado DigiCert para *.squarespace.com. nmap reportó una implementación Go net/http mientras la cabecera Server decía Squarespace. Ese par es un único edge descrito en dos capas. Unas 1.900 nombres .academy comparten la plataforma. Se probaron indicadores de clase Gophish y estuvieron ausentes. QuantC y QuantumGuard registraron el autorreconocimiento como ruido de plataforma, que es la verdad fundamental que esos sensores necesitan. El riesgo residual material es la identidad: sin MX, sin SPF, sin DMARC y un registro próximo a caducar en septiembre de 2026. Un origen limpio cuyo canal de correo no está firmado sigue siendo una superficie de ataque. https://x.com/i/article/2088437251508436992
Niveles de capacidad — 15 de agosto
Un ensayo complementario separa a las bandas criminales de los actores respaldados por estados según sus tácticas y los dólares acumulados, y reserva una tercera categoría para el trabajo de exposición que no toma nada. En el extremo inferior, el ejemplo mapeado del ensayo es un interlocutor conocido como Man hands, también llamado Tiffany M.: suplantación de billeteras de hardware y soporte de exchanges, al menos 5 millones de dólares, Trezor y Coinbase, correos falsificados de BitcoinIRA, paneles suministrados por asociados, seguridad operativa débil. Esa cifra es el total de robos del ensayo para ese interlocutor. Ejemplos de nivel medio en la misma pieza son Dritan Kapllani Jr. con unos 19 millones de dólares, y John Daghita, apodado Lick, con más de 46 millones de dólares procedentes de billeteras incautadas por el Servicio de Alguaciles de EE. UU., con una actividad sospechosa más amplia estimada por el ensayo por encima de los 90 millones de dólares, posteriormente arrestado. El ejemplo criminal superior es la banda de Greavys, Wiz y Box, unos 243 millones de dólares de un solo acreedor de Genesis. Los ejemplos respaldados por estados son Lazarus y el robo de Bybit de febrero de 2025 de unos 1.500 millones de dólares; UAC-0145, vinculado en el ensayo a Sandworm / APT44, utilizando entrevistas de trabajo falsas contra profesionales de TI ucranianos y una configuración VPN como vector de entrega; y Laundry Bear, descrito como el uso vinculado a Rusia de credenciales comprometidas contra gobierno, defensa e infraestructura crítica. https://x.com/i/article/2088672299868377088
El vecindario .academy — 17 de agosto
La búsqueda IP inversa del cuarteto connect de Squarespace compiló 2.020 nombres vecinos. 1.898 terminaban en .academy, y 1.767 de ellos aún resolvían únicamente a 198.49.23.144, 198.49.23.145, 198.185.159.144 y 198.185.159.145, AS53831. Aparecieron cincuenta y cuatro direcciones únicas en todo el conjunto. Cuarenta de los cuarenta nombres de Squarespace muestreados devolvieron la cabecera de Squarespace y una cookie crumb. Los reportes de abuso y las URL históricas de malware offline en 198.49.23.145, incluidas rutas de Cobalt Strike y Mozi, se adjuntan en el artículo a otros tenants en el edge compartido. El límite de propiedad es el nombre de marca y las cuatro direcciones connect oficiales. Los nombres escolares quedan fuera de la lista de bloqueo. La reputación que se basa en la dirección en lugar del nombre de host es un coste de plataforma, y se documenta como tal. https://x.com/i/article/2089015652753502208
La capa de identidad — 17 de agosto
La familia de registradores del mismo dominio, los servidores de nombres duales y las cuatro direcciones anycast son la línea base legítima, y son la superficie que copia un imitador. Squarespace, Cloudflare, Vercel, GitHub Pages y AWS Global Accelerator ya cargan con la reputación, las cabeceras y las autoridades certificadoras. Un Host extranjero aún falla de forma cerrada, por lo que un simple bloqueo de dirección es ruidoso. Las palancas que nombra el artículo están en el registrador: una transferencia, un cambio de servidor de nombres, higiene de contactos y un registro antiguo, luego un nombre similar o un nombre arbitrario aparcado en el edge de confianza. Doce de veintisiete ápices .academy atípicos en el recuento complementario estaban registrados en Squarespace Domains y alojados en otro lugar. Los controles que coinciden con la capa manipulada son el bloqueo de registrador, la autenticación multifactor de la plataforma, Certificate Transparency en nombres similares y un registro SPF de fallo estricto donde el dominio no envía correo. https://x.com/i/article/2089012676634738688
Una asignación de Verizon registrada como T-Mobile — 23 de agosto
El 5 de agosto, un informe propio etiquetó el prefijo de cliente 2600:1010:b204:: como de estilo T-Mobile. El terminal siempre ha sido Verizon, propietario original. ARIN muestra NetName WIRELESSDATANETWORK, organización Verizon Business (MCICS), registrado el 6 de abril de 2010, cubriendo de 2600:1000:: a 2600:1017:ffff::. Los feeds suaves de asname y geolocalización llevaron la etiqueta de T-Mobile desde octubre de 2025 hasta el día de ese informe. Una consulta en vivo el 21 de agosto devolvió Team Cymru AS6167 CELLCO-PART y RIPE AS22394 CELLCO. La asignación no se había movido. El orden de trabajo publicado con la pieza es el orden para el resto de esta serie: atribuir la herramienta, luego el tenant, luego el registro. https://x.com/i/article/2091560316878671872
Un inventario de 2023, clasificado — 23 de agosto
Doscientas noventa y cuatro capturas de pantalla de una ruta residencial de Charter en Nueva York a principios de 2023 se trasladaron como un conjunto clasificado: unas 1.450 direcciones IPv4, unas 1.266 de ellas públicas, en una escala explícita de T1 a T5. El pase de 2026 cerró servicios antes de dejar algo abierto. 103.235.46.191 es el edge de analítica de Baidu en Hong Kong, hm.baidu.com, AS55967. 23.82.31.230 es TradingView en Leaseweb. Una dirección del rango de Boeing se colocó en una lista de solo documentos. Informes públicos posteriores de una intrusión de LockBit contra el negocio de piezas de Boeing comparten un nombre organizativo con esa fila documental y no comparten ninguna sesión. La interrupción de voz de Charter en febrero de 2023, las declaraciones de Storm-0558 de julio de 2023, los informes posteriores sobre Salt Typhoon y el propio aviso de Leaseweb del 22 de agosto de 2023 son ventanas de contexto. https://x.com/i/article/2091569041584619520
GitHub en Fastly — 27 de agosto
QS-NetHarden se ejecutó con anclaje a red desde un teléfono. El inicio de la captura fue a las 09:08 PDT del 26 de agosto. NetCloak presentó una nueva identidad de Windows. Los señuelos Artillery estaban activos con el ban desactivado. Phantom-QS rotó Firefox 128. Nada en el registro del honeypot esa mañana es un impacto remoto. El DNS es el operador: el proxy de chat, el balanceador de carga de GitHub, Actions, Copilot, luego release-assets.githubusercontent.com. El prefijo de cobertura 185.199.108.0/22 es RIPE US-GITHUB-20170413, organización GitHub, origen BGP AS54113 Fastly. La propia lista de direcciones publicada de Fastly no lo incluye. El conjunto .133 es el comodín de contenido. El conjunto .154 son versiones y paquetes. La puerta de entrada de Actions es Microsoft 13.107.42.0/24 y 13.107.43.0/24, y pipelines.actions resolvió a 13.107.43.16 en ese pase. URLhaus contiene URL de malware en el nombre release-assets, y Harden-Runner lo ha marcado. El nombre de host es el camión. El actor es la carga y el siguiente salto que no es GitHub. Bloquea el servidor virtual subsiguiente. Deja intactos la hoja, el comodín de Fastly, Azure Front Door, las instantáneas regionales y el sensor. https://x.com/i/article/2093021792923508736
Una fábrica de leads snowshoe — 29 de agosto, continuado el 7 de septiembre
El 27 de agosto, una única bandeja de entrada recibió 72 mensajes no solicitados de seguros de auto y tarjetas de crédito, 156 enlaces únicos, 71 dominios From. La agrupación por asunto produjo tres pares duplicados. La invariante es el token e6jbv4z en cada cuerpo y cada enlace. Los clics usan una etiqueta de dos letras en un ápice antiguo y una ruta PHP de la forma /r más dígitos hexadecimales. Policy Plug representa 51 de los 72. Easy Insurance Match, Endurance e Indigo and Destiny Mastercard son disfraces. Un subconjunto amplio copia el número NMLS 1136 de LendingTree y una dirección de Charlotte. LendingTree es la víctima del robo de pie de página. El correo y los clics se asientan en NForce, AS43350, en 185.47.200.0/24 y 185.47.203.0/24: nginx, PHP 7.4.33, 443 cerrado, 25 filtrado. Los dominios son inventario antiguo de Name.com. Una petición HEAD recibe un 403 genérico de nginx. Un GET tipo navegador recibe un 302 hacia una landing de CAKE, oferta a=44 y c=2701, en taobmaets.com, o una página de cancelación de suscripción en keycanvascanvas.com. Los archivos adjuntos nombrados como archivos de Office son texto plano. ClamAV dio limpio. Una cabecera Host, mediaignorance.com, devolvió el mismo cuerpo de 52.667 bytes desde siete direcciones en el /24. El WHOIS sin redactar de cuatro ápices nombra a Robert Carpino, tratado en los artículos como un pivote. El comprador detrás de la oferta de CAKE no está identificado. El 7 de septiembre se publicó una cosecha adicional del mismo token y la misma forma de ruta, con disfraces de seguros de auto e Indigo, como ya presente en la base de datos de AT&T. La publicación afirma un conjunto de servidores de nombres compartido y no lo imprime. La acción de defensa es el token, la ruta y los dos prefijos de NForce, reportados a abuse@nforce.com y al registrador, identificándose la línea NMLS robada como robo de un pie de página. https://x.com/i/article/2093528643779825664 https://x.com/i/article/2093532720119083008 https://x.com/i/article/2097103637160022017
Firewall residencial, primer pase — 5 de septiembre
Un registro de gateway residencial de AT&T contenía 296 eventos a lo largo de 26 minutos, 188 direcciones únicas, 169 de ellas públicas. El fragmento es la radiación de fondo de una IPv4 pública. Las tarjetas del 31 de agosto ya habían nombrado a QNAX, Recyber, Infrawatch, Xpanse, Censys, Pfcloud y CHINANET. Tres hallazgos eran nuevos. QNAX 45.140.193.187 impactó la WAN diez veces en 21 minutos. El artículo cita 408 reportes de AbuseIPDB de 170 fuentes, todos hostiles, y una fuerza bruta VNC en tcp/5900 usando RFB 003.008. qnax.sh vende ese producto de VPS, RDP y consola VNC. El primer entrante nombrado dentro de una red Spamhaus DROP fue Pfcloud 176.65.149.233, en 176.65.148.0/22, a las 11:58. n8n.pfcloud.io se asienta en 176.65.148.168. sso.pfcloud.io se identifica como authentik. El spray de Tamatiya y 4vendeta a través de 79.124.58.0/24, 79.124.49.0/24 y 78.128.114.0/24 incluye 79.124.58.90, cuyo nombre inverso es ip-58-90.superbit.host y cuyo alias es urlforward.topdns.com, la misma dirección de DigitalOcean que ns-usa.topdns.com en 143.198.68.197. Una expansión pasiva de topdns.com devolvió 517 etiquetas, muchas de ellas colisiones de marca, casi todas sin direcciones. El servidor de nombres permanece desbloqueado. Los hosts prioritarios son 45.140.193.187, 79.124.58.18, 79.124.58.90, 79.124.49.90, 78.128.114.46 y 78.128.114.162. Las redes opcionales son los fragmentos de clientes y operaciones de Tamatiya y Pfcloud 176.65.148.0/22 más 204.76.203.0/24. Dejados intactos con ellos: TopDNS, recolectores de CriminalIP, edges de Cloudflare, escáneres de censo y Telepoint 78.128.42.0/24. Los contactos de abuso publicados con la pieza son abuse@qnax.com.br y noc@4vendeta.com. El sensor estaba en un hotspot. No se escaneó la LAN. La pieza se apoya en la nota de Tamatiya del 24 de julio de la serie de la primera mitad. Un puntero web del 4 de septiembre lleva el título de la serie y apunta al sitio de la empresa; el registro en X de la medición es este artículo y el siguiente. https://x.com/i/article/2096029788624523264
Firewall residencial, resto — 6 de septiembre
Las ventanas del 29 de agosto y del 5 de septiembre juntas produjeron 530 eventos únicos y 270 direcciones públicas entrantes. Esta segunda pieza es el remanente de 105, tras apartar los escáneres de censo y los observadores comerciales nombrados. Setenta y cuatro de 108 direcciones verificadas aparecieron en un feed público ese día. Ninguna apareció en Feodo, SSLBL, ThreatFox o Emerging Threats. Veintiuna se ubicaban en prefijos Spamhaus DROP fechados el 4 de septiembre, incluido el /22 de Pfcloud. El artículo cita un relato del 25 de junio sobre explotación de UniFi OS lanzada desde 176.65.148.183 en ese prefijo, y la adición por parte de CISA el 23 de junio de CVE-2026-34908, CVE-2026-34909 y CVE-2026-34910. Ghosty 43.228.157.0/24 y Stormcloud 94.154.43.0/24 son vecindarios Mirai en URLhaus en la misma pieza. La dirección entrante restante más ruidosa seguía siendo QNAX 45.140.193.187, con el recuento del artículo en 412 reportes, vista por última vez el 1 de septiembre en el puerto 5000. 46.146.238.1 es un host exacto de URLhaus para un dropper de puerto alto, con telnet abierto. UniFi OS en 195.252.206.160 no tuvo impacto en el feed de direcciones y es una coincidencia de clase de servicio con SAB-067, CVE-2026-77550, fechado el 26 de agosto. EMBNEX 16.5.0.0/24 son ocho orígenes de volcado; el sitio web embnex.com está en CloudFront. Un breve fragmento HTML idéntico en redes no relacionadas es una página sumidero. La recomendación es bloquear las redes. https://x.com/i/article/2096732079388299264
Salida de hotspot a un nodo de gestión — 14 de septiembre
El tráfico de un dispositivo personal en un hotspot de iPhone alcanzó 113.176.118.150, nombrado static.vnpt.vn y rdp.cdmt.vn. La dirección presenta MikroTik RouterOS 6.49.13, Nginx Proxy Manager en el puerto 80, HTTPS restringido por nombre en 443, un inicio de sesión público de MeshCentral en 5009, un inicio de sesión público de UniFi en 8443, dos demonios SSH en 8080 y 8090, y un servicio no identificado de estilo CONNECT en 8088 que involucraba el nombre de CloudFront d3azdm1q0gvo54.cloudfront.net. La hipótesis publicada es un gateway y nodo de gestión expuesto a internet. La salida hacia él desde un hotspot personal permanece no autorizada hasta que se mapee a una aplicación, usuario o dispositivo conocido. https://x.com/i/article/2099540826854715392
Una lista de espera ligera — 22 de septiembre
uythjmnglk.xyz se registró en Dynadot el 14 de septiembre de 2026, con proxy de privacidad, en el par de servidores de nombres de Cloudflare phoenix y wilson, sin DNSSEC. Solo responden el ápice y www. Fuera de la red local, la aplicación era una lista de espera titulada “You’re on the list”, que enviaba un correo electrónico a una ruta de suscripción bajo el token v:897qvxac7fny03ac. En el gateway de AT&T, el mismo nombre devolvía una breve página intersticial cuyo motivo era malware. Esa página es el operador, no el origen. Las dos direcciones de Cloudflare frente al nombre aparecen en un apéndice de Mystic Stealer de junio de 2023. Son anycast compartido, y median tres años entre ese apéndice y este registro. Los nombres de casino y 4D del mismo día en el mismo registrador usan un par de servidores de nombres distinto. Un par más antiguo aloja la landing “A little chicken” vinculada a una ruta de afiliado de FanPartners. Esos clústeres se mantienen alejados de esta semilla. Las direcciones de Cloudflare se mantienen fuera de cualquier lista de bloqueo de campañas. https://x.com/i/article/2101850617815908352
Avisos de CAC y DEERS — 28 de septiembre
Dos avisos llegaron a un Gmail personal desde CACExpiration-DoNotReply@mail.mil, el 9 de marzo de 2026 y el 7 de mayo de 2026. El mensaje de mayo superó SPF, DKIM y DMARC. DKIM era d=mail.mil, selector EEMSG2021v1a, política reject. El identificador del mensaje nombra a UHIL19PA53.eemsg.mail.mil en 214.24.21.199. El firmante S/MIME es benefits.notifications@mail.mil, emitido por DOD SW CA-83, válido del 15 de octubre de 2025 al 15 de octubre de 2028. El banner de Gmail indica que el From y el firmante difieren. Los dos buzones son distintos, y esa diferencia basta para generar el banner. Los cuerpos dicen que faltan dos documentos de identidad e indican al destinatario que visite RAPIDS para subirlos, con un plazo de 120 días en marzo y uno de 60 días, hasta el 6 de julio, en mayo. No se enviaron documentos. La tarjeta siguió funcionando.
El programa oficial que cita el artículo comenzó con avisos de DMDC en enero de 2026. Para agosto, unos 215.000 miembros activos y de reserva incumplían la normativa. El Ejército había revisado unas 111.000 tarjetas, sin ninguna revocada al 2 de septiembre. Unos 21.500 Marines seguían pendientes en julio. Una línea oficial del 3 de septiembre, publicada el 8 de septiembre, describe una actualización de registro administrativo, sin fraude ni brecha reclamada por los documentos faltantes. MARADMIN 393/26 exige dos documentos originales, en persona. El cuerpo de marzo decía subirlos.
La clase que el artículo mantiene en la columna de vocabulario es un cuerpo introducido en el firmante o antes de él, por lo que las comprobaciones siguen siendo válidas. Una reescritura tras la verificación de Gmail queda descartada, porque DKIM pasó. No se tenía a mano ningún archivo de mensaje original ni ninguna parte de firma. El host de correo es AS345, 214.24.21.0/24, un bloque del Defense Network Information Center de 1998. www.cac.mil es un nombre en Akamai, con direcciones 23.62.46.164 y 23.62.46.182, respondiendo 403, y el certificado en ese edge lleva www.cac.mil junto con un conjunto de nombres de pentagon, defense y department. Las aplicaciones de DMDC idco, myaccess y pki resuelven en AS27064 sobre distintas direcciones 214, incluyendo pki.dmdc.osd.mil en 214.16.194.24. Nada se comparte entre el prefijo de correo y esos prefijos de aplicación. Un producto de geolocalización sitúa las consultas 214 en Columbus, Ohio. Otro las sitúa en Rose Hill, Virginia. Es una única asignación.
Tres registros adyacentes se mantienen en sus propios carriles. Una página de marketing en email.usfhp.net del 20 de julio es una propiedad real de US Family Health Plan con medición ordinaria de clase HubSpot. Una carta de intercambio de archivos fechada el 18 de septiembre describe acceso sin cifrar desde octubre de 2025 hasta el 16 de julio de 2026, descubierto el 16 de julio, y el artículo la deja sin vincular a esta línea From. Un aviso de IDScan del 4 de septiembre se refiere a cuentas cloud de clientes. Cifras de unos cuatro millones y de 60 millones de registros son rechazadas en el artículo como totales de víctimas. https://x.com/i/article/2104388574397554688
Diecisiete minutos de descartes — 3 de octubre
Una exportación de descartes residenciales impresa de 05:55 a 06:12 el 3 de octubre contenía 234 filas, 110 direcciones extranjeras y 166 incrementos de aciertos. Cada fila es una caída, y la exportación no tiene puerto de destino. Una lectura posterior que desplaza la ventana unas cinco horas es el mismo evento en un reloj distinto. Cincuenta y uno de los 57 aciertos de escáner corresponden a proyectos de sondeo de internet conocidos: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid, Nokia Deepfield y sus vecinos. Diez direcciones exactas se repiten desde agosto, incluyendo 4vendeta 79.124.49.90, SS-Net 80.94.95.226, Ghosty 43.228.157.10 y Amarutu 89.42.231.200. QNAX y Recyber están ausentes de esta ventana. Nuevos miembros de redes conocidas incluyen Pfcloud 204.76.203.4 y Stormcloud 94.154.43.203. Los nombres de malware en el /24 de Stormcloud se asientan en direcciones hermanas. La dirección que tocó el registro es el descarte, y el nombre de familia permanece en la hermana donde realmente fue archivado.
Ocho caídas de política UDP son la cola de una comprobación de lista de proxies del 20 de septiembre, paquetes que envió la red monitorizada. Dos filas de paquetes inválidos de Amazon no llevan aciertos de listas de amenazas. Un enriquecimiento de anclaje (tether) separado esa misma mañana muestra una ruta ordinaria de operador y contenido: Verizon, Comcast, Lumen, Cogent, Google y Cloudflare. La sesión que no se explica por sí misma es 87.250.250.108, denominada cloud.yandex.ru. El único acierto de Spamhaus DROP en la coincidencia de lista reciente es 140.222.19.75 y 140.222.19.77 dentro de 140.222.0.0/16, SBL693942, leído como un patrón de secuestro en espacio antiguo de NSFNET y dejado fuera de una lista de bloqueo de hosts. Colapsar proyectos de medición, escáneres blindados y las propias herramientas del operador en una sola lista de indicadores fabrica un incidente. https://x.com/i/article/2106513298426597376
Yandex Compute, contra el registro público — 4 de octubre
Una afirmación inicial en circulación decía que el Estado ruso lee a los invitados de Yandex Cloud combinando custodia de claves, acceso al hipervisor, clones silenciosos de disco, un mapa de núcleos fijado, un demonio de almacenamiento personalizado y un flujo de interceptación legal en el planificador. El artículo contrasta esa afirmación con los propios documentos de computación de Yandex y con lo que ya había en este host. El cifrado de disco por defecto usa una clave de plataforma. Una clave de cliente sigue viviendo en el servicio de claves de Yandex, y desactivarla es un interruptor de apagado. La memoria del invitado es memoria ordinaria del proceso QEMU, así que el operador del host está en el mismo lado del límite de confianza que el invitado en ejecución. No hay libvirt. La migración en vivo, los hosts dedicados y el cambio de compilaciones de QEMU en el mismo host son comportamiento publicado del producto. Un pin de host-id desactiva la migración en vivo y se escribe a través de la API de computación por un principal que ya puede actualizar la instancia. La interfaz del invitado no lleva esa escritura. Lo que las páginas citadas no muestran es una suscripción de interceptación legal al socket de control del hipervisor, a las decisiones del planificador o a las reglas de afinidad de host, y tampoco muestran el clon silencioso, el mapa fijo de núcleos, el demonio personalizado ni la ruta tunelizada del ensayo más amplio. Se inventariaron nombres inversos locales que contenían yandex. 45.87.42.74 sigue siendo la granja de ventas qloudhost de agosto, un nombre distinto. 87.250.250.108, la sesión inexplicada de la pieza de descartes, estaba ausente de aquella tabla anterior. El registro separa a Yandex.Cloud LLC en los objetos cloud de YANDEX LLC en la red empresarial. Los certificados de API completados son Yandex, Moscú, GlobalSign. Un nombre publicitario todavía tiene un puntero inverso colgante en 77.88.21.179. https://x.com/i/article/2106548730942152704
Un señuelo de tarjeta Coinbase impagado — 9 de octubre
Dos páginas de Telegraph, telegra.ph/NCO-09-27 y graph.org/UIN-10-05, comparten un enlace de continuación. Ambas residen en 149.154.164.13. Fueron publicadas el 27 de septiembre y el 5 de octubre. El enlace es rss2.sayler.at/go/337413/z274x264 en 107.189.20.230, y redirige a un kit de Coinbase Card en 97ee1.ralind.at sobre 31.59.121.53. El propio script del kit nombra 22 pasos, desde el índice hasta una página de pago rápido. Una publicación original del 6 de octubre indica esa cifra e imprime los mismos 22 nombres de archivo. Las páginas muestran un saldo de $39,437.16. Los scripts se modificaron por última vez el 26 de agosto de 2026. Se nombran once códigos de tarifa. Solo se siguió y2a4u234, la línea interbancaria de $58, hacia bitpays.at en 31.57.29.11, flujo 4374w2. Un envío sintético a las 03:45 GMT del 9 de octubre devolvió una redirección a una factura BTCPay, 6QTpVwNe9CynFTXZFJE8Yk, en btcpay369329.lndyn.com sobre 172.81.177.1. Estado New. Cincuenta y ocho dólares, 0.00070469 BTC, tasa $82,306.45, dirección bc1qexqsudur4860kva5789qcvkmpdk4j9wrfrsmzy. La comprobación de pagado devolvió cero. No se envió ningún pago.
ip-api sitúa el kit en París y el formulario de pago en Riga. QuantumGuard y el registro de origen sitúan 31.57.29.0/24 en Emiratos Árabes Unidos, AS56971. sayler.at, ralind.at y bitpays.at usan DNSPod. La nota del 6 de octubre, sobre el objeto que lleva el serial SOA 1789107920, sitúa ese objeto en Zaandam bajo AS14956, RouterHosting y FranTech. El artículo del 9 de octubre no repite esa ubicación. Los nameservers de Telegraph, los nameservers de GoDaddy para graph.org y las direcciones de DNSPod son DNS compartido. 144.31.93.214 está fuera de esta cadena. El ensayo del 15 de agosto y este señuelo usan ambos la palabra Coinbase. El ejemplo del ensayo es una banda de suplantación telefónica. Esta pieza es una página, un rastreador, un kit de tarjeta y una factura que quedó impagada. https://x.com/i/article/2108597864108871681
Posición de cierre
Dos listas cierran la serie. La primera son los métodos que usó Quantitative Security. La segunda son los métodos que mapearon las piezas, cada uno con el grupo, inquilino o clase que la pieza le asignó. Los ejemplos del ensayo permanecen bajo el ensayo del 15 de agosto. Las etiquetas hermanas permanecen en la dirección hermana. Los proyectos de sondeo permanecen en el cubo de medición. Cuando una pieza no nombra ningún grupo, la línea termina en el inquilino, la red o la clase.
Métodos utilizados
- Pasadas externas estructuradas sobre banners, certificados y servicios en escucha, con los activos abandonados separados del volumen de producción.
- Un contacto con visitantes iniciado mediante ingeniería social y luego ampliado con enriquecimiento de fuentes abiertas. Solo reconocimiento.
- Extracciones de Reverse-IP, WHOIS y registros, entradas de autenticación de correo y una captura de paquetes comprobada contra las direcciones que esos registros nombraban.
- El propio dominio de la empresa, recorrido con la misma apertura que usaría un cazador externo, manteniendo el autorreconocimiento como ruido de sensor.
- Flujos de geolocalización suave y asname comprobados contra ARIN, RIPE y Team Cymru. El orden es herramienta, luego inquilino, luego registro.
- Un inventario histórico clasificado, cerrado a identidad de servicio antes de que se le vinculara cualquier incidente público.
- Registros de DNS on-path y de honeypot, leídos de modo que las propias sesiones de la empresa queden separadas de los aciertos remotos.
- Correo reducido mediante un token invariante, una petición HEAD contrastada con un GET de navegador y un cuerpo de host virtual compartido hasheado a lo largo del prefijo.
- Descartes residenciales reducidos contra AbuseIPDB, Spamhaus DROP, URLhaus, Feodo, SSLBL, ThreatFox y Emerging Threats, con una expansión pasiva de nombres que deja al nameserver fuera de la lista de bloqueo.
- Salida de hotspot mantenida como asociación, y medición de seguimiento cronometrada aparte de la primera sesión.
- Registrador, par de nameservers e intersticial de operador separados del contenido de origen.
- SPF, DKIM, DMARC y S/MIME leídos en conjunto, y mantenidos en una clase cuando el original firmado no estaba a mano.
- Una exportación de descartes agrupada en proyectos de sondeo, redes hostiles recurrentes, los propios paquetes de la empresa y la sesión que no se explicó por sí misma.
- Documentos de computación del proveedor leídos frente a una afirmación más amplia, dejando fuera del hallazgo las cláusulas no respaldadas.
- Una cadena de señuelo seguida a través del rastreador, el kit, un código de tarifa y una factura sintética impagada. No se envió ningún pago.
Métodos mapeados y el nombre de cada uno
- Servicios cloud residuales y proxies autenticados de corta vida. Las marcas residuales son GENIEX, títulos de juegos como Dragon Raja y un fino conjunto vinculado a Laos de sitios de estética médica y coches usados.
- Cosecha de infraestructura de visitantes. La dirección inicial se geolocalizó en Irán, y el artículo deja la etiqueta ahí. La línea base nombra a GoCodeIT Inc. de Thornhill, Ontario; rejekibet.com y los clones fraudulentos alrededor de esa marca; y geniex.com en proceso de cierre.
- Ventas de planes de salud con nombre de marca, y un sitio ya clasificado como phishing, en hosting compartido. Los nombres asociados son registrantes. Fabiola Silva Souza y Fabiola Silva Souza Seguros Ltda poseen el portafolio central. Roger Oliveira da Silva y Leonildo Quintiliano están en el sitio puente. Tiago Ferreira Pena es un registrante adyacente. Christian von Langermann es el registrante de shelleasternpetroleum.ae, un coinquilino. OpenDNS, Cloudflare y DNS4EU clasificaron vendasbradescosaude.com.br como phishing. Las páginas de banco falso, casino y conversor de billeteras en el mismo nodo siguen siendo vecinas.
- Imitación de borde confiable: un nombre idéntico o arbitrario aparcado en Squarespace, Cloudflare, Vercel, GitHub Pages o AWS Global Accelerator. Las URL históricas de Cobalt Strike y Mozi en 198.49.23.145 son otros inquilinos de ese anycast.
- Niveles de capacidad, en el ensayo del 15 de agosto. Estos nombres son los ejemplos del ensayo. Man hands, también llamada Tiffany M.: suplantación de soporte de billeteras hardware y exchanges, correo falsificado de BitcoinIRA. Dritan Kapllani Jr. John Daghita, llamado Lick, contra billeteras incautadas por el U.S. Marshals Service. La banda de Greavys, Wiz y Box, contra un acreedor de Genesis. Lazarus, el robo de Bybit de febrero de 2025. UAC-0145, vinculado en el ensayo a Sandworm / APT44: entrevistas de trabajo falsas, con una configuración VPN como vector de entrega. Laundry Bear: credenciales vinculadas a Rusia contra gobierno, defensa e infraestructura crítica.
- URL de malware transportadas en un hostname de release de GitHub cuyo origen BGP es Fastly. El método mapeado es carga en un hostname de confianza. El bloqueo es el servidor virtual subsiguiente.
- Generación de leads tipo snowshoe. Los disfraces son Policy Plug, Easy Insurance Match, Endurance e Indigo and Destiny Mastercard. LendingTree es la víctima de un pie de página NMLS robado. El correo y los clics residen en NForce, AS43350. El WHOIS sin redactar señala a Robert Carpino como pivote. El comprador detrás de la oferta CAKE 2701 no está identificado.
Escaneo residencial y hosting hostil.
- QNAX. Vende VPS, RDP y VNC de consola. El método mapeado en 45.140.193.187 es fuerza bruta RFB en tcp/5900.
- Pfcloud. Dentro de un prefijo Spamhaus DROP, con n8n y authentik nombrados en esa red. Una cuenta del 25 de junio sitúa la explotación de UniFi OS en 176.65.148.183 en el mismo /22. Las entradas de CISA del 23 de junio nombran CVE-2026-34908, CVE-2026-34909 y CVE-2026-34910, descritas en la pieza como un cargador de clase Mirai.
- Tamatiya y 4vendeta. La dispersión a lo largo de las franjas de clientes y operaciones. TopDNS sigue siendo el reenviador. Recyber está en las tarjetas de agosto y ausente de la ventana del 3 de octubre.
- Ghosty 43.228.157.0/24 y Stormcloud 94.154.43.0/24. Vecindarios Mirai nombrados en URLhaus. En el /24 de Stormcloud, las etiquetas adicionales, incluyendo ApexBot y LummaStealer, se asientan en direcciones hermanas. 94.154.43.203 es la dirección que tocó el registro de octubre.
- Stealc, MooBot, Vidar y XWorm. Nombrados en otros hosts 193.233, en sistemas autónomos distintos al del escáner en 193.233.198.28.
- 46.146.238.1. Un host exacto de URLhaus para un dropper de puerto alto, con telnet abierto.
- UniFi OS en 195.252.206.160. Una coincidencia de clase de servicio con SAB-067, CVE-2026-77550.
- EMBNEX. Ocho orígenes de volcado. embnex.com es CloudFront.
- Proyectos de sondeo en los mismos registros: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid y Nokia Deepfield. Los nombres de red repetidos en ese conjunto de medición incluyen SS-Net y Amarutu.
- Servicios de gestión expuestos a internet en una dirección: MikroTik RouterOS, Nginx Proxy Manager, MeshCentral y UniFi.
- Una lista de espera de un día en un nombre Dynadot con proxy de privacidad. La pieza no nombra ningún grupo. Mystic Stealer aparece como un apéndice de junio de 2023 que listaba las mismas direcciones anycast de Cloudflare. FanPartners y el lander “A little chicken” usan un par de nameservers distinto.
- Correo que pasa SPF, DKIM y DMARC en un host del Defense Network Information Center, con la línea From y el firmante S/MIME distintos. El programa en el artículo es la brecha de prueba de identidad de DMDC. La clase mapeada es un cuerpo introducido en el firmante o antes de él. La carta de intercambio de archivos de septiembre se mantiene en sus propias fechas.
- Una afirmación más amplia sobre la lectura de invitados de Yandex Cloud. Los documentos respaldan una clave de cifrado de plataforma, una clave de cliente que sigue siendo un interruptor de apagado dentro del propio servicio de claves de Yandex, y la memoria del invitado como memoria ordinaria del proceso QEMU. 87.250.250.108, denominado cloud.yandex.ru, sigue siendo la sesión que la pieza de descartes no pudo explicar.
- Un señuelo de tarjeta en varios pasos: dos páginas de Telegraph, un rastreador, un kit de 22 pasos, un formulario de pago con código de tarifa y una factura BTCPay que quedó impagada. El ejemplo de Coinbase del 15 de agosto sigue siendo la banda de suplantación telefónica del ensayo, Man hands. Esta pieza es la página, el rastreador, el kit y la factura impagada.
