Quantitative Security a consacré la période du 31 juillet au 9 octobre 2026 à la série publique dont l’examen de mi-année avait permis de construire les outils de production. La série s’étend de la reconnaissance sur plage cloud du 31 juillet à l’appât par carte Coinbase non réglée du 9 octobre, diffusée sous forme de longs formats TLP:CLEAR sur X. Le mois d’août a retourné la méthode vers l’intérieur : un voisin GitHub a été rattaché à une identité de vente de plans de santé, le propre domaine de l’entreprise a été mesuré comme cible externe, et une année d’étiquettes d’opérateurs a été confrontée au registre. Septembre a appliqué la même réduction à un pare-feu résidentiel et à une usine snowshoe, tout en maintenant les plateformes qui hébergeaient ces cas dans leur propre classe. Octobre a découpé un journal de rejets entre mesures, réseaux hostiles connus et propres outils de l’entreprise, a confronté une affirmation plus large concernant Yandex Compute aux documents du fournisseur, et a suivi un kit de cartes jusqu’à une facture restée impayée.
Chaque produit transforme la télémétrie brute et les sources ouvertes en un résultat attribué, priorisé et prêt pour la défense. Un nom n’est attaché que là où l’article l’attache. La plateforme, le locataire, le projet d’inventaire et une signature qui traverse chacun d’eux conservent la classe que l’article leur a attribuée. La position finale liste les méthodes utilisées, les méthodes cartographiées, ainsi que le groupe, le locataire ou la classe qui repose sur chacune d’elles.
La série de rapports
Surface cloud résiduelle — 31 juillet
Un passage externe structuré sur environ 115 adresses a permis de trier la production en direct, les services résiduels et les actifs abandonnés. Un hébergement mutualisé turc sur 104.247.165.210 (silaoglu.com, avec bannière mt-rohan.guzelhosting.com) présentait une pile complète de messagerie et web : Pure-FTPd, Dovecot, Exim, MySQL et LiteSpeed, accompagnés de proxys SOCKS5 et HTTP authentifiés et de certificats à courte durée de vie. Le plus gros volume se situait dans l’espace Tencent et Aceville et était étroitement filtré. La minorité qui répondait constituait la surface résiduelle : Nginx Proxy Manager sur le port 81, une application Next.js active sous /arena, des proxys authentifiés sur des ports élevés, Windows Remote Desktop avec des noms d’hôtes de style interne, ainsi que des certificats résiduels pour une marque eSIM GENIEX et pour des marques de jeux indonésiennes et vietnamiennes, dont un titre Dragon Raja toujours servi par un Jetty vieillissant. Un petit ensemble lié au Laos sur une adresse Tencent présentait des sites d’esthétique médicale et de voitures d’occasion en langue chinoise, avec une empreinte publique très fine. Le produit est la même séparation que celle appliquée par l’examen de mi-année à la périphérie de Google. Le volume de production et les services abandonnés sont des constats distincts, et seul le second pose un problème de blocage et de durcissement. https://x.com/i/article/2083245764969635841
Engagement de renseignement défensif — 1er août
L’engagement a débuté lorsqu’une adresse masquée, géolocalisée en Iran, a visité l’infrastructure de Quantitative Security. L’ingénierie sociale de cette interaction a permis de piéger un ensemble d’adresses, élargi grâce à un site conçu sur mesure pour récolter l’infrastructure des visiteurs. La base publiée nomme GoCodeIT Inc. de Thornhill, Ontario, sur des proxys authentifiés à 65.111.5.29 et 74.119.149.79 ; un CloudPanel 2.5.2 exposé à 103.255.134.61 pour technofaq.org ; un CodePushServer de style Microsoft à 152.32.169.33 sur le port 8888 ; rejekibet.com comme plateforme indonésienne de jeu en argent réel entourée de clones frauduleux de la marque ; des accès Windows Remote Desktop exposés sur Internet, dont 38.107.237.68 ; geniex.com comme opération nigériane de SIM virtuelle en cours d’arrêt, le domaine lui-même pointant vers AWS ; et acmmanufacturer.com, auparavant sur un espace Tencent résiduel puis migré vers Zenlayer via chukouplus.com. Les hôtes proxy dans 104.207.0.0/16 exigeaient une authentification, présentaient des certificats d’environ sept jours et renvoyaient des 404 sur les chemins d’administration sondés. Les écouteurs Zeus-admin restaient filtrés. Une étiquette de géolocalisation sur l’adresse initiale constitue le point de départ de l’engagement. L’article n’attribue aucun groupe étatique nommé. Le jeu de données a été clôturé comme base de référence pour le second semestre. https://x.com/i/article/2083388096285179904
Du load balancer GitHub à une ferme de vente de plans de santé brésilienne — 8 août
Une session hotspot du 7 août avec QuantumGuard et une capture ont débuté à partir d’une pull request GitHub et d’un reverse-IP du load balancer de Seattle 140.82.116.3 (lb-140-82-116-3-sea.github.com). Cette adresse co-hébergeait coindream.site : web sur GitHub, SPF mail pointant vers UltaHost cp5 159.100.6.5, créé le 23 janvier 2026, titulaire protégé par confidentialité, DNS Namecheap. La capture ne contenait aucun paquet vers les adresses du cas ultérieur. UltaHost détenait de l’ordre de 500 noms, dont shelleasternpetroleum.ae enregistré au nom de Christian von Langermann, ainsi que gamingcomission.co, antifraud.click, aranttru.com et pinupcasinorussia.click. Les ports web ont ensuite été filtrés vers cPanel sur 2082 et 2083. pro114.dnspro.com.br à 187.33.241.58 exposait une pile complète de messagerie et de panneau d’administration ainsi qu’une MariaDB 10.11.18 publique.
Le nœud principal est shared.qloudhost.com à 45.87.42.74, une ferme brésilienne de vente de plans de santé active de 2017 à 2025 utilisant les noms de marque Bradesco, Amil, Unimed et SulAmérica. Le WHOIS du portefeuille central indique Fabiola Silva Souza, handle FASSO283, boîte mail chez saudeperfeita.com.br. Les registres publics cités dans l’article correspondent au CNPJ 40.950.276/0001-55, Fabiola Silva Souza Seguros Ltda, Mococa, São Paulo, ouvert le 23 février 2021. Le site passerelle saudeperfeita.com.br est hébergé chez HostGator à 162.241.2.92, avec les utilisateurs WordPress admin et nildo, reliés dans l’article à Roger Oliveira da Silva d’Agência Unit et à Leonildo Quintiliano. Tiago Ferreira Pena est un titulaire adjacent sur les mêmes serveurs de noms. Ce même nœud hébergeait également des pages de fausses banques, des inscriptions de casino et des convertisseurs Paysafe et Neosurf. QloudHost commercialise de l’hébergement pour casinos. Les serveurs de noms partagés et la boîte mail saudeperfeita relient les opérateurs de plans de santé. La cohabitation sur le nœud n’étend pas cette identité aux locataires financiers ou liés aux jeux d’argent. vendasbradescosaude.com.br est resté sur l’adresse qloud après qu’OpenDNS, Cloudflare et DNS4EU l’ont classé comme hameçonnage. Restent ouverts dans l’article : le portefeuille complet registro.br, l’URL de la pull request originale et les pivots secondaires sur von Langermann. https://x.com/i/article/2085939414463631360
Son propre domaine comme cible externe — 15 août
Du 9 au 14 août, quantitativesecurity.org a été examiné avec les mêmes premières étapes qu’utiliserait un attaquant externe. L’origine était propre. L’hébergement est un anycast multi-locataire Squarespace, avec le jeu p07 de NS1 et le DNS Squarespace, Let’s Encrypt sur les noms clients, et un 403 depuis les adresses nues portant un certificat DigiCert pour *.squarespace.com. nmap signalait une implémentation Go net/http tandis que l’en-tête Server indiquait Squarespace. Cette paire correspond à une seule périphérie décrite à deux couches. Environ 1 900 noms en .academy partagent la plateforme. Les indicateurs de type Gophish ont été testés et se sont révélés absents. QuantC et QuantumGuard ont enregistré cette auto-reconnaissance comme du bruit de plateforme, ce qui correspond à la réalité terrain attendue par ces capteurs. Le risque résiduel concret concerne l’identité : pas de MX, pas de SPF, pas de DMARC, et un enregistrement approchant de son expiration en septembre 2026. Une origine propre dont le canal de messagerie n’est pas signé reste une surface d’attaque. https://x.com/i/article/2088437251508436992
Niveaux de capacité — 15 août
Un essai complémentaire sépare les équipes criminelles des acteurs étatiques selon leurs tactiques et les montants cumulés, et réserve une troisième catégorie aux travaux d’exposition qui ne rapportent rien. Au bas de l’échelle, l’exemple cartographié dans l’essai est un appelant connu sous le nom de Man hands, également appelé Tiffany M. : usurpation de portefeuilles matériels et de support d’échanges, au moins 5 millions de dollars, Trezor et Coinbase, courriels BitcoinIRA usurpés, panneaux fournis par des associés, sécurité opérationnelle faible. Ce chiffre représente le total des vols attribués à cet appelant dans l’essai. Les exemples de niveau intermédiaire dans le même texte sont Dritan Kapllani Jr. avec environ 19 millions de dollars, et John Daghita, dit Lick, avec plus de 46 millions de dollars issus de portefeuilles saisis par l’U.S. Marshals Service, l’activité suspectée plus large dépassant 90 millions de dollars selon l’essai, avant son arrestation. L’exemple criminel supérieur est l’équipe Greavys, Wiz et Box, avec environ 243 millions de dollars provenant d’un seul créancier de Genesis. Les exemples étatiques incluent Lazarus et le vol Bybit de février 2025 d’environ 1,5 milliard de dollars ; UAC-0145, lié dans l’essai à Sandworm / APT44, utilisant de faux entretiens d’embauche ciblant des professionnels ukrainiens de l’informatique et une configuration VPN comme vecteur ; et Laundry Bear, décrit comme l’utilisation liée à la Russie d’identifiants compromis contre des gouvernements, la défense et les infrastructures critiques. https://x.com/i/article/2088672299868377088
Le voisinage .academy — 17 août
Le reverse-IP du quatuor connect de Squarespace a compilé 2 020 noms voisins. 1 898 se terminaient en .academy, et 1 767 d’entre eux ne résolvaient encore que vers 198.49.23.144, 198.49.23.145, 198.185.159.144 et 198.185.159.145, AS53831. Cinquante-quatre adresses uniques apparaissaient dans l’ensemble. Quarante noms Squarespace échantillonnés sur quarante ont renvoyé l’en-tête Squarespace et un cookie crumb. Les signalements d’abus et les URL historiques de malwares hors ligne sur 198.49.23.145, y compris des chemins Cobalt Strike et Mozi, sont rattachés dans l’article à d’autres locataires sur la même périphérie partagée. La limite de propriété est le nom de marque et les quatre adresses connect officielles. Les noms d’écoles restent hors de la liste de blocage. Une réputation indexée sur l’adresse plutôt que sur le nom d’hôte est un coût inhérent à la plateforme, et c’est ainsi qu’elle est documentée. https://x.com/i/article/2089015652753502208
La couche d’identité — 17 août
La famille de registrars du même domaine, ses serveurs de noms doubles et ses quatre adresses anycast constituent la base légitime, et c’est précisément la surface que copie un imitateur. Squarespace, Cloudflare, Vercel, GitHub Pages et AWS Global Accelerator portent déjà la réputation, les en-têtes et les autorités de certification. Un hôte étranger échoue toujours de manière fermée, si bien qu’un simple blocage d’adresse génère beaucoup de bruit. Les leviers identifiés dans l’article se situent au niveau du registrar : un transfert, un changement de serveur de noms, l’hygiène des contacts et un enregistrement ancien, suivis soit d’un nom similaire, soit d’un nom arbitraire stationné sur la périphérie de confiance. Douze des vingt-sept apex .academy atypiques du décompte associé étaient enregistrés chez Squarespace Domains et hébergés ailleurs. Les contrôles adaptés à la couche manipulée sont le verrouillage registrar, l’authentification multifacteur de la plateforme, la Certificate Transparency sur les noms similaires et un enregistrement SPF à rejet strict lorsque le domaine n’envoie aucun courriel. https://x.com/i/article/2089012676634738688
Une allocation Verizon enregistrée comme T-Mobile — 23 août
Le 5 août, un rapport interne a étiqueté le préfixe client 2600:1010:b204:: comme étant de type T-Mobile. Le terminal n’a pourtant toujours été que Verizon, propriétaire d’origine. ARIN affiche NetName WIRELESSDATANETWORK, organisation Verizon Business (MCICS), enregistré le 6 avril 2010, couvrant 2600:1000:: à 2600:1017:ffff::. Les flux asname et de géolocalisation peu fiables ont porté l’étiquette T-Mobile d’octobre 2025 jusqu’au jour de ce rapport. Une interrogation en direct le 21 août a renvoyé Team Cymru AS6167 CELLCO-PART et RIPE AS22394 CELLCO. L’allocation n’avait pas bougé. L’ordre de travail publié avec l’article est celui qui s’applique au reste de cette série : attribuer l’outil, puis le locataire, puis le registre. https://x.com/i/article/2091560316878671872
Un inventaire de 2023, classé — 23 août
Deux cent quatre-vingt-quatorze captures d’écran issues d’une ligne résidentielle Charter à New York début 2023 ont été reprises sous forme d’ensemble classé : environ 1 450 adresses IPv4, dont quelque 1 266 publiques, sur une échelle explicite de T1 à T5. Le passage de 2026 a fermé les services avant de laisser quoi que ce soit ouvert. 103.235.46.191 est la périphérie analytique hongkongaise de Baidu, hm.baidu.com, AS55967. 23.82.31.230 est TradingView sur Leaseweb. Une adresse de la plage Boeing a été placée sur une liste documentaire uniquement. Les rapports publics ultérieurs sur une intrusion LockBit visant la division pièces de Boeing partagent un nom d’organisation avec cette ligne documentaire, mais aucune session. La panne vocale de Charter en février 2023, les déclarations Storm-0558 de juillet 2023, les rapports ultérieurs sur Salt Typhoon et l’avis de Leaseweb lui-même du 22 août 2023 constituent des fenêtres de contexte. https://x.com/i/article/2091569041584619520
GitHub sur Fastly — 27 août
QS-NetHarden tournait sur un partage de connexion mobile. La capture a débuté à 09h08 PDT le 26 août. NetCloak présentait une nouvelle identité Windows. Les leurres Artillery étaient actifs avec le bannissement désactivé. Phantom-QS faisait tourner Firefox 128. Rien dans le journal du pot de miel ce matin-là ne correspond à une frappe distante. Le DNS est l’opérateur : le proxy de chat, le load balancer de GitHub, Actions, Copilot, puis release-assets.githubusercontent.com. Le préfixe couvrant 185.199.108.0/22 est RIPE US-GITHUB-20170413, organisation GitHub, origine BGP AS54113 Fastly. La propre liste d’adresses publiée par Fastly ne l’inclut pas. Le jeu .133 est le fourre-tout de contenu. Le jeu .154 correspond aux versions et paquets. La porte d’entrée d’Actions est Microsoft 13.107.42.0/24 et 13.107.43.0/24, et pipelines.actions a résolu vers 13.107.43.16 lors de ce passage. URLhaus contient des URL de malwares sur le nom release-assets, et Harden-Runner l’a signalé. Le nom d’hôte est le camion. L’acteur est la cargaison et le prochain saut qui n’est pas GitHub. Bloquez le serveur virtuel suivant. Laissez tranquilles la feuille, le fourre-tout Fastly, Azure Front Door, les instantanés régionaux et le capteur. https://x.com/i/article/2093021792923508736
Une usine de leads snowshoe — 29 août, suite le 7 septembre
Le 27 août, une seule boîte de réception a reçu 72 messages non sollicités d’assurance auto et de cartes de crédit, 156 liens uniques et 71 domaines From. Le regroupement par objet a produit trois paires de doublons. L’invariant est le jeton e6jbv4z présent dans chaque corps et chaque lien. Les clics utilisent une étiquette de deux lettres sur un apex ancien et un chemin PHP de la forme /r suivi de chiffres hexadécimaux. Policy Plug représente 51 des 72 messages. Easy Insurance Match, Endurance et Indigo and Destiny Mastercard sont des déguisements. Un large sous-ensemble copie le numéro NMLS 1136 de LendingTree et une adresse de rue à Charlotte. LendingTree est la victime du vol de pied de page. Les courriels et les clics reposent sur NForce, AS43350, dans 185.47.200.0/24 et 185.47.203.0/24 : nginx, PHP 7.4.33, 443 fermé, 25 filtré. Les domaines proviennent d’un ancien inventaire Name.com. Une requête HEAD reçoit un 403 nginx générique. Un GET de type navigateur reçoit un 302 vers une page d’atterrissage CAKE, offre a=44 et c=2701, sur taobmaets.com, ou une page de désabonnement sur keycanvascanvas.com. Les pièces jointes nommées comme des fichiers Office sont en texte brut. ClamAV n’a rien détecté. Un en-tête Host, mediaignorance.com, renvoyait le même corps de 52 667 octets depuis sept adresses du /24. Le WHOIS non expurgé de quatre apex nomme Robert Carpino, traité dans les articles comme un pivot. L’acheteur derrière l’offre CAKE n’est pas identifié. Le 7 septembre, une nouvelle récolte du même jeton et de la même structure de chemin, avec les déguisements assurance auto et Indigo, a été publiée comme étant déjà présente dans la base de données d’AT&T. La publication affirme l’existence d’un jeu de serveurs de noms partagé sans l’imprimer. L’action de défense repose sur le jeton, le chemin et les deux préfixes NForce, signalés à abuse@nforce.com et au registrar, la ligne NMLS volée étant identifiée comme un vol de pied de page. https://x.com/i/article/2093528643779825664 https://x.com/i/article/2093532720119083008 https://x.com/i/article/2097103637160022017
Pare-feu résidentiel, premier passage — 5 septembre
Le journal d’une passerelle résidentielle AT&T contenait 296 événements sur 26 minutes, 188 adresses uniques, dont 169 publiques. Cet extrait correspond au rayonnement de fond d’une IPv4 publique. Les cartes du 31 août avaient déjà nommé QNAX, Recyber, Infrawatch, Xpanse, Censys, Pfcloud et CHINANET. Trois constats étaient nouveaux. QNAX 45.140.193.187 a frappé le WAN dix fois en 21 minutes. L’article cite 408 signalements AbuseIPDB provenant de 170 sources, tous hostiles, et une force brute VNC sur tcp/5900 utilisant RFB 003.008. qnax.sh vend ce produit VPS, RDP et console-VNC. La première entrée nommée à l’intérieur d’un réseau Spamhaus DROP était Pfcloud 176.65.149.233, dans 176.65.148.0/22, à 11h58. n8n.pfcloud.io se trouve sur 176.65.148.168. sso.pfcloud.io s’identifie comme authentik. Le spray Tamatiya et 4vendeta sur 79.124.58.0/24, 79.124.49.0/24 et 78.128.114.0/24 inclut 79.124.58.90, dont le nom inverse est ip-58-90.superbit.host et l’alias urlforward.topdns.com, la même adresse DigitalOcean que ns-usa.topdns.com à 143.198.68.197. Une expansion passive de topdns.com a renvoyé 517 labels, dont beaucoup de collisions de marques, presque tous sans adresses. Le serveur de noms reste non bloqué. Les hôtes prioritaires sont 45.140.193.187, 79.124.58.18, 79.124.58.90, 79.124.49.90, 78.128.114.46 et 78.128.114.162. Les réseaux optionnels sont les tranches client et opérations de Tamatiya ainsi que Pfcloud 176.65.148.0/22 et 204.76.203.0/24. Sont laissés tranquilles avec eux : TopDNS, les collecteurs CriminalIP, les périphéries Cloudflare, les scanners de recensement et Telepoint 78.128.42.0/24. Les contacts d’abus publiés avec l’article sont abuse@qnax.com.br et noc@4vendeta.com. Le capteur était sur un point d’accès mobile. Le LAN n’a pas été scanné. L’article s’appuie sur la note Tamatiya du 24 juillet issue de la série du premier semestre. Un pointeur web du 4 septembre porte le titre de la série et pointe vers le site de l’entreprise ; la trace X de la mesure est cet article et le suivant. https://x.com/i/article/2096029788624523264
Pare-feu résidentiel, le reste — 6 septembre
Les fenêtres du 29 août et du 5 septembre combinées ont produit 530 événements uniques et 270 adresses publiques entrantes. Ce deuxième article couvre les 105 restantes, après mise à l’écart des scanners de recensement et des observateurs commerciaux nommés. Soixante-quatorze des 108 adresses vérifiées apparaissaient dans un flux public ce jour-là. Aucune n’apparaissait dans Feodo, SSLBL, ThreatFox ou Emerging Threats. Vingt-et-une se trouvaient dans des préfixes Spamhaus DROP datés du 4 septembre, y compris le /22 de Pfcloud. L’article cite un récit du 25 juin sur l’exploitation d’UniFi OS lancée depuis 176.65.148.183 dans ce préfixe, ainsi que l’ajout par la CISA le 23 juin des CVE-2026-34908, CVE-2026-34909 et CVE-2026-34910. Ghosty 43.228.157.0/24 et Stormcloud 94.154.43.0/24 sont des voisinages Mirai sur URLhaus dans le même article. L’adresse entrante restante la plus bruyante était toujours QNAX 45.140.193.187, le décompte de l’article atteignant 412 signalements, vue pour la dernière fois le 1er septembre sur le port 5000. 46.146.238.1 est un hôte URLhaus exact pour un dropper sur port élevé, avec telnet ouvert. UniFi OS sur 195.252.206.160 n’avait aucune correspondance dans les flux d’adresses et correspond par classe de service à SAB-067, CVE-2026-77550, daté du 26 août. EMBNEX 16.5.0.0/24 représente huit origines de dumps ; le site web embnex.com est sur CloudFront. Un court bloc HTML identique sur des réseaux sans lien est une page de sinkhole. La recommandation est de bloquer ces réseaux. https://x.com/i/article/2096732079388299264
Sortie hotspot vers un nœud de gestion — 14 septembre
Le trafic d’un appareil personnel sur un partage de connexion iPhone a atteint 113.176.118.150, nommé static.vnpt.vn et rdp.cdmt.vn. L’adresse présente MikroTik RouterOS 6.49.13, Nginx Proxy Manager sur le port 80, HTTPS conditionné par nom sur 443, une connexion MeshCentral publique sur 5009, une connexion UniFi publique sur 8443, deux démons SSH sur 8080 et 8090, ainsi qu’un service non identifié de type CONNECT sur 8088 impliquant le nom CloudFront d3azdm1q0gvo54.cloudfront.net. L’hypothèse publiée est celle d’une passerelle et d’un nœud de gestion exposés sur Internet. La sortie vers ce nœud depuis un point d’accès personnel reste non autorisée tant qu’elle ne correspond pas à une application, un utilisateur ou un appareil connu. https://x.com/i/article/2099540826854715392
Une liste d’attente ténue — 22 septembre
uythjmnglk.xyz a été enregistré chez Dynadot le 14 septembre 2026, protégé par proxy de confidentialité, sur la paire de serveurs de noms Cloudflare phoenix et wilson, sans DNSSEC. Seuls l’apex et www répondent. Hors du réseau local, l’application était une liste d’attente intitulée « You’re on the list », envoyant une adresse e-mail vers un chemin d’abonnement sous le jeton v:897qvxac7fny03ac. Sur la passerelle AT&T, le même nom renvoyait une courte page interstitielle motivée par un malware. Cette page relève de l’opérateur, pas de l’origine. Les deux adresses Cloudflare devant ce nom apparaissent dans une annexe de juin 2023 sur Mystic Stealer. Il s’agit d’anycast partagé, et trois ans séparent cette annexe de cet enregistrement. Des noms de casino et de 4D enregistrés le même jour chez le même registrar utilisent une autre paire de serveurs de noms. Une paire plus ancienne héberge la page d’atterrissage « A little chicken » liée à un chemin d’affiliation FanPartners. Ces grappes restent éloignées de cette graine. Les adresses Cloudflare restent hors de toute liste de blocage de campagne. https://x.com/i/article/2101850617815908352
Avis CAC et DEERS — 28 septembre
Deux avis sont parvenus à une boîte Gmail personnelle depuis CACExpiration-DoNotReply@mail.mil, le 9 mars 2026 et le 7 mai 2026. Le message de mai a passé SPF, DKIM et DMARC. Le DKIM était d=mail.mil, sélecteur EEMSG2021v1a, politique reject. L’identifiant du message nomme UHIL19PA53.eemsg.mail.mil à 214.24.21.199. Le signataire S/MIME est benefits.notifications@mail.mil, émis par DOD SW CA-83, valide du 15 octobre 2025 au 15 octobre 2028. La bannière de Gmail indique que le champ From et le signataire diffèrent. Les deux boîtes mail sont différentes, et cette différence suffit à déclencher la bannière. Les corps indiquent qu’il manque deux documents d’identité et demandent au destinataire de se rendre sur RAPIDS pour les téléverser, avec un délai de 120 jours en mars et de 60 jours, jusqu’au 6 juillet, en mai. Aucun document n’a été soumis. La carte a continué de fonctionner.
Le programme officiel cité dans l’article a débuté avec les avis DMDC en janvier 2026. En août, environ 215 000 membres actifs et réservistes n’étaient pas en conformité. L’armée de terre avait examiné environ 111 000 cartes, sans aucune révocation au 2 septembre. Quelque 21 500 Marines étaient encore en retard en juillet. Une communication officielle du 3 septembre, publiée le 8 septembre, décrit une mise à jour administrative des dossiers, sans fraude ni violation alléguée concernant les documents manquants. Le MARADMIN 393/26 exige deux documents originaux, en personne. Le corps du message de mars parlait de téléversement.
La classe que l'article conserve dans la colonne vocabulaire est une entité introduite au niveau du signataire ou avant celui-ci, de sorte que les vérifications aboutissent toujours. Une réécriture après la validation par Gmail est exclue, car DKIM a réussi. Aucun fichier de message original ni aucune partie de signature n'étaient disponibles. L'hôte de messagerie est AS345, 214.24.21.0/24, un bloc du Defense Network Information Center datant de 1998. www.cac.mil est un nom hébergé sur Akamai, aux adresses 23.62.46.164 et 23.62.46.182, répondant par un code 403, et le certificat sur ce nœud edge porte www.cac.mil ainsi qu'un ensemble de noms liés au Pentagone, à la défense et au département. Les applications DMDC idco, myaccess et pki se résolvent dans AS27064 sur différentes adresses 214, dont pki.dmdc.osd.mil à 214.16.194.24. Rien n'est partagé entre le préfixe de messagerie et ces préfixes d'applications. Un produit de géolocalisation situe les requêtes 214 à Columbus, dans l'Ohio. Un autre les place à Rose Hill, en Virginie. Il s'agit d'une seule et même allocation.
Trois enregistrements adjacents restent dans leur propre couloir. Une page marketing sur email.usfhp.net datée du 20 juillet est une véritable propriété de l'US Family Health Plan avec des mesures classiques de type HubSpot. Une lettre de partage de fichiers datée du 18 septembre décrit un accès non chiffré d'octobre 2025 au 16 juillet 2026, découvert le 16 juillet, et l'article ne la relie pas à cette ligne From. Un avis IDScan du 4 septembre concerne des comptes cloud clients. Des chiffres d'environ quatre millions et de 60 millions d'enregistrements sont rejetés dans l'article comme totaux de victimes. https://x.com/i/article/2104388574397554688
Dix-sept minutes de rejets — 3 octobre
Un export de rejets résidentiels imprimé de 05:55 à 06:12 le 3 octobre contenait 234 lignes, 110 adresses étrangères et 166 incréments de détection. Chaque ligne est un dépôt, et l'export ne comporte aucun port de destination. Une lecture ultérieure qui décale la fenêtre d'environ cinq heures correspond au même événement sur une horloge différente. Cinquante-et-une des 57 détections de scanners sont attribuées à des projets de sondage Internet connus : Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid, Nokia Deepfield et leurs voisins. Dix adresses exactes reviennent depuis août, notamment 4vendeta 79.124.49.90, SS-Net 80.94.95.226, Ghosty 43.228.157.10 et Amarutu 89.42.231.200. QNAX et Recyber sont absents de cette fenêtre. Parmi les nouveaux membres de réseaux connus figurent Pfcloud 204.76.203.4 et Stormcloud 94.154.43.203. Les noms de malwares sur le /24 de Stormcloud se trouvent sur des adresses voisines. L'adresse qui a touché le journal est celle du rejet, et le nom de famille reste sur l'adresse voisine où il a effectivement été classé.
Huit rejets de politique UDP constituent la fin d'une vérification de liste de proxys du 20 septembre, des paquets envoyés par le réseau surveillé. Deux lignes de paquets invalides Amazon ne comportent aucune détection de liste de menaces. Un enrichissement distinct par partage de connexion le même matin suit un chemin classique d'opérateur et de contenu : Verizon, Comcast, Lumen, Cogent, Google et Cloudflare. La session qui ne s'explique pas est 87.250.250.108, nommée cloud.yandex.ru. La seule détection Spamhaus DROP dans la correspondance de liste récente est 140.222.19.75 et 140.222.19.77 à l'intérieur de 140.222.0.0/16, SBL693942, interprétée comme un schéma de détournement sur l'ancien espace NSFNET et retirée d'une liste de blocage d'hôtes. Fusionner des projets de mesure, des scanners blindés et les propres outils de l'opérateur en une seule liste d'indicateurs revient à fabriquer un incident. https://x.com/i/article/2106513298426597376
Yandex Compute, face aux documents publics — 4 octobre
Une affirmation initiale en circulation prétendait que l'État russe lit les invités Yandex Cloud en combinant la garde des clés, l'accès à l'hyperviseur, des clones de disques silencieux, une carte de cœurs épinglée, un démon de stockage personnalisé et un flux d'interception légale sur l'ordonnanceur. L'article confronte cette affirmation aux propres documents compute de Yandex et à ce qui était déjà présent sur cet hôte. Le chiffrement de disque par défaut utilise une clé de plateforme. Une clé client réside toujours dans le service de clés de Yandex, et sa désactivation agit comme un coupe-circuit. La mémoire de l'invité est la mémoire ordinaire du processus QEMU, de sorte que l'opérateur de l'hôte se trouve du même côté de la frontière de confiance que l'invité en cours d'exécution. Il n'y a pas de libvirt. La migration à chaud, les hôtes dédiés et le changement de versions QEMU sur le même hôte sont des comportements produits documentés. Un épinglage d'host-id désactive la migration à chaud et s'écrit via l'API compute par un principal qui peut déjà mettre à jour l'instance. L'interface de l'invité ne porte pas cette écriture. Ce que les pages citées ne montrent pas, c'est un abonnement d'interception légale au socket de contrôle de l'hyperviseur, aux choix de l'ordonnanceur ou aux règles d'affinité d'hôte ; elles ne montrent pas non plus le clone silencieux, la carte de cœurs fixe, le démon personnalisé ou le chemin tunnellisé évoqués dans l'essai plus large. Les noms inverses locaux contenant yandex ont été inventoriés. 45.87.42.74 reste la ferme commerciale qloudhost d'août, sous un nom différent. 87.250.250.108, la session inexpliquée de l'article sur les rejets, était absente de ce tableau antérieur. L'enregistrement sépare Yandex.Cloud LLC pour les objets cloud de YANDEX LLC pour le réseau d'entreprise. Les certificats API finalisés sont Yandex, Moscou, GlobalSign. Un nom publicitaire conserve encore un pointeur inverse orphelin à 77.88.21.179. https://x.com/i/article/2106548730942152704
Un leurre Coinbase-Card impayé — 9 octobre
Deux pages Telegraph, telegra.ph/NCO-09-27 et graph.org/UIN-10-05, partagent un même lien de continuation. Toutes deux reposent sur 149.154.164.13. Elles ont été publiées le 27 septembre et le 5 octobre. Le lien est rss2.sayler.at/go/337413/z274x264 sur 107.189.20.230, et il redirige vers un kit Coinbase Card sur 97ee1.ralind.at à 31.59.121.53. Le script du kit lui-même nomme 22 étapes, de l'index jusqu'à une page de paiement rapide. Une publication originale du 6 octobre indique ce nombre et affiche les mêmes 22 noms de fichiers. Les pages affichent un solde de 39 437,16 $. Les scripts ont été modifiés pour la dernière fois le 26 août 2026. Onze codes de frais sont nommés. Seul y2a4u234, la ligne interbancaire de 58 $, a été suivi, vers bitpays.at à 31.57.29.11, flux 4374w2. Une soumission synthétique à 03:45 GMT le 9 octobre a renvoyé une redirection vers une facture BTCPay, 6QTpVwNe9CynFTXZFJE8Yk, sur btcpay369329.lndyn.com à 172.81.177.1. Statut New. Cinquante-huit dollars, 0,00070469 BTC, taux de 82 306,45 $, adresse bc1qexqsudur4860kva5789qcvkmpdk4j9wrfrsmzy. La vérification de paiement a renvoyé zéro. Aucun paiement n'a été envoyé.
ip-api situe le kit à Paris et le formulaire de paiement à Riga. QuantumGuard et le registre d'origine placent 31.57.29.0/24 aux Émirats arabes unis, AS56971. sayler.at, ralind.at et bitpays.at utilisent DNSPod. La note du 6 octobre, sur l'objet portant le numéro de série SOA 1789107920, place cet objet à Zaandam sous AS14956, RouterHosting et FranTech. L'article du 9 octobre ne reprend pas ce placement. Les serveurs de noms de Telegraph, ceux de GoDaddy pour graph.org et les adresses DNSPod sont du DNS partagé. 144.31.93.214 sort de cette chaîne. L'essai du 15 août et ce leurre utilisent tous deux le mot Coinbase. L'exemple de l'essai est une équipe d'usurpation téléphonique. Cet article concerne une page, un traqueur, un kit de carte et une facture restée impayée. https://x.com/i/article/2108597864108871681
Position de clôture
Deux listes clôturent la série. La première recense les méthodes utilisées par Quantitative Security. La seconde présente les méthodes cartographiées par les articles, chacune accompagnée du groupe, du locataire ou de la classe qui lui a été attribué. Les exemples de l'essai restent sous l'essai du 15 août. Les balises voisines restent sur l'adresse voisine. Les projets de sondage demeurent dans la catégorie de mesure. Lorsqu'un article ne nomme aucun groupe, la ligne s'arrête au locataire, au réseau ou à la classe.
Méthodes utilisées
- Passages externes structurés sur les bannières, les certificats et les services en écoute, avec séparation des actifs abandonnés du volume de production.
- Un engagement de visiteur initié par ingénierie sociale, puis étendu par enrichissement open-source. Reconnaissance uniquement.
- Extractions Reverse-IP, WHOIS et registres, enregistrements d'authentification de messagerie, et capture de paquets vérifiée par rapport aux adresses nommées par ces enregistrements.
- Le propre domaine de l'entreprise, soumis au même point d'entrée qu'utiliserait un chasseur externe, l'auto-reconnaissance étant conservée comme bruit de capteur.
- Flux de géolocalisation douce et de noms AS vérifiés auprès d'ARIN, RIPE et Team Cymru. L'ordre est outil, puis locataire, puis registre.
- Un inventaire historique classé, fermé à l'identité de service avant qu'un quelconque incident public n'y soit rattaché.
- Journaux DNS on-path et de pots de miel, lus de manière à séparer les propres sessions de l'entreprise des détections distantes.
- Messagerie réduite sur un jeton invariant, une requête HEAD comparée à un GET navigateur, et un corps d'hôte virtuel partagé haché sur l'ensemble du préfixe.
- Rejets résidentiels croisés avec AbuseIPDB, Spamhaus DROP, URLhaus, Feodo, SSLBL, ThreatFox et Emerging Threats, l'expansion passive des noms laissant le serveur de noms hors de la liste de blocage.
- Sortie de hotspot conservée comme association, et mesure de suivi chronologiquement séparée de la première session.
- Registraire, paire de serveurs de noms et interstitiel d'opérateur séparés du contenu d'origine.
- SPF, DKIM, DMARC et S/MIME lus conjointement, et maintenus au niveau d'une classe lorsque l'original signé n'était pas disponible.
- Un export de rejets réparti entre projets de sondage, réseaux hostiles récurrents, propres paquets de l'entreprise et session inexpliquée.
- Documents compute du fournisseur lus face à une affirmation plus large, les clauses non étayées étant exclues de la conclusion.
- Une chaîne de leurre suivie à travers le traqueur, le kit, un code de frais et une facture synthétique impayée. Aucun paiement n'a été envoyé.
Méthodes cartographiées, et le nom attribué à chacune
- Services cloud résiduels et proxys authentifiés à courte durée de vie. Les marques résiduelles sont GENIEX, des titres de jeux dont Dragon Raja, et un mince ensemble lié au Laos de sites d'esthétique médicale et de voitures d'occasion.
- Collecte d'infrastructure visiteurs. L'adresse d'ouverture a été géolocalisée en Iran, et l'article laisse l'étiquette à ce stade. La référence de base nomme GoCodeIT Inc. de Thornhill, Ontario ; rejekibet.com et les clones frauduleux autour de cette marque ; ainsi que geniex.com en phase de fermeture.
- Vente de plans de santé sous nom de marque, et un site déjà classé comme hameçonnage, sur hébergement partagé. Les noms associés sont des titulaires d'enregistrement. Fabiola Silva Souza et Fabiola Silva Souza Seguros Ltda détiennent le portefeuille principal. Roger Oliveira da Silva et Leonildo Quintiliano apparaissent sur le site passerelle. Tiago Ferreira Pena est un titulaire adjacent. Christian von Langermann est le titulaire de shelleasternpetroleum.ae, un colocataire. OpenDNS, Cloudflare et DNS4EU ont classé vendasbradescosaude.com.br comme hameçonnage. Les pages de fausse banque, de casino et de conversion de portefeuille sur le même nœud restent voisines.
- Imitation de périmètre de confiance : un lookalike ou un nom arbitraire stationné sur Squarespace, Cloudflare, Vercel, GitHub Pages ou AWS Global Accelerator. Les URL historiques Cobalt Strike et Mozi sur 198.49.23.145 sont d'autres locataires de cet anycast.
- Niveaux de capacité, dans l'essai du 15 août. Ces noms sont les exemples de l'essai. Man hands, aussi appelée Tiffany M. : usurpation de support pour portefeuilles matériels et plateformes d'échange, courriels BitcoinIRA falsifiés. Dritan Kapllani Jr. John Daghita, dit Lick, ciblant les portefeuilles saisis par l'U.S. Marshals Service. L'équipe Greavys, Wiz et Box, contre un créancier de Genesis. Lazarus, le vol Bybit de février 2025. UAC-0145, lié dans l'essai à Sandworm / APT44 : faux entretiens d'embauche, avec une configuration VPN comme vecteur. Laundry Bear : identifiants liés à la Russie ciblant gouvernement, défense et infrastructures critiques.
- URL de malwares portées par un nom d'hôte de release GitHub dont l'origine BGP est Fastly. La méthode cartographiée est une cargaison sur un nom d'hôte de confiance. Le blocage concerne le serveur virtuel suivant.
- Génération de leads Snowshoe. Les costumes sont Policy Plug, Easy Insurance Match, Endurance, et Indigo and Destiny Mastercard. LendingTree est victime d'un pied de page NMLS volé. Les courriels et les clics reposent sur NForce, AS43350. Le WHOIS non expurgé désigne Robert Carpino comme pivot. L'acheteur derrière l'offre CAKE 2701 n'est pas identifié.
Scan résidentiel et hébergement hostile.
- QNAX. Vend VPS, RDP et console VNC. La méthode cartographiée sur 45.140.193.187 est un brute force RFB sur tcp/5900.
- Pfcloud. À l'intérieur d'un préfixe Spamhaus DROP, avec n8n et authentik nommés sur ce réseau. Un compte du 25 juin situe l'exploitation d'UniFi OS à 176.65.148.183 dans le même /22. Les entrées CISA du 23 juin nomment CVE-2026-34908, CVE-2026-34909 et CVE-2026-34910, décrites dans l'article comme un chargeur de classe Mirai.
- Tamatiya et 4vendeta. La diffusion sur les segments clients et opérations. TopDNS reste le forwarder. Recyber figure sur les cartes d'août et est absent de la fenêtre du 3 octobre.
- Ghosty 43.228.157.0/24 et Stormcloud 94.154.43.0/24. Voisinages Mirai nommés sur URLhaus. Sur le /24 de Stormcloud, les balises supplémentaires, dont ApexBot et LummaStealer, se trouvent sur des adresses voisines. 94.154.43.203 est l'adresse qui a touché le journal d'octobre.
- Stealc, MooBot, Vidar et XWorm. Nommés sur d'autres hôtes 193.233, sur des systèmes autonomes différents de celui du scanner à 193.233.198.28.
- 46.146.238.1. Un hôte URLhaus exact pour un dropper sur port élevé, avec telnet ouvert.
- UniFi OS sur 195.252.206.160. Une correspondance de classe de service avec SAB-067, CVE-2026-77550.
- EMBNEX. Huit origines de dumps. embnex.com est sur CloudFront.
- Projets de sondage dans les mêmes journaux : Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid et Nokia Deepfield. Les noms de réseaux récurrents dans cet ensemble de mesures incluent SS-Net et Amarutu.
- Services de gestion exposés sur Internet sur une seule adresse : MikroTik RouterOS, Nginx Proxy Manager, MeshCentral et UniFi.
- Une liste d'attente d'un jour sur un nom Dynadot protégé par proxy de confidentialité. L'article ne nomme aucun groupe. Mystic Stealer apparaît comme une annexe de juin 2023 listant les mêmes adresses anycast Cloudflare. FanPartners et la landing page « A little chicken » utilisent une autre paire de serveurs de noms.
- Courriel passant SPF, DKIM et DMARC sur un hôte du Defense Network Information Center, avec une ligne From et un signataire S/MIME différents. Le programme dans l'article est la faille de preuve d'identité DMDC. La classe cartographiée est une entité introduite au niveau du signataire ou avant. La lettre de partage de fichiers de septembre reste sur ses propres dates.
- Une affirmation plus large concernant la lecture des invités Yandex Cloud. Les documents confirment une clé de chiffrement de plateforme, une clé client qui demeure un coupe-circuit au sein du propre service de clés de Yandex, et une mémoire d'invité correspondant à la mémoire ordinaire du processus QEMU. 87.250.250.108, nommé cloud.yandex.ru, reste la session que l'article sur les rejets ne pouvait expliquer.
- Un leurre de carte en plusieurs étapes : deux pages Telegraph, un traqueur, un kit de 22 étapes, un formulaire de paiement par code de frais et une facture BTCPay laissée impayée. L'exemple Coinbase du 15 août reste l'équipe d'usurpation téléphonique de l'essai, Man hands. Cet article concerne la page, le traqueur, le kit et la facture impayée.
