कार्यकारी सारांश
2026-08-07 को एक रिकॉन सत्र (फ़ोन हॉटस्पॉट + QuantumGuard + पैकेट कैप्चर) GitHub पुल रिक्वेस्ट के बारे में जिज्ञासा से GitHub के सिएटल लोड-बैलेंसर 140.82.116.3 के रिवर्स-IP तक ले गया। उस IP ने coindream.site को सह-होस्ट किया (वेब GitHub पर, मेल SPF UltaHost cp5 159.100.6.5 की ओर इशारा करता हुआ)। रिवर्स-IP और उसके बाद के पिवट्स ने दो घने साझा-होस्टिंग वातावरणों का खुलासा किया: UltaHost cp5 (मिश्रित टेनेंट्स जिनमें Christian von Langermann को पंजीकृत एक Shell Eastern Petroleum जैसी दिखने वाली साइट शामिल थी) और विशेष रूप से qloudhost 45.87.42.74।
qloud नोड ने एक बहु-वर्षीय (2017–2025) ब्राज़ीलियाई "planos de saúde" सेल्स फ़ार्म होस्ट किया जो Bradesco, Amil, Unimed और SulAmérica ब्रांड नामों का उपयोग करता था, जिसमें 50–60% पहले-महीने की छूट की पेशकश की जाती थी। WHOIS मुख्य पोर्टफोलियो का श्रेय Fabiola Silva Souza (FASSO283) को देता है, जिसमें ईमेल fabiola@saudeperfeita.com.br उपयोग होता है। वह ईमेल डोमेन एक सक्रिय HostGator-होस्टेड ब्रोकरेज-शैली WordPress साइट (saudeperfeita.com.br) है जिसका स्वामित्व Agência Unit के Roger Oliveira के पास है, जिसमें तकनीकी संपर्क और WP लेखक Leonildo ("nildo") शामिल है। अतिरिक्त पंजीयक Tiago Ferreira Pena और Leonildo समान qloud नेमसर्वर साझा करते हैं। सार्वजनिक रिकॉर्ड एक मेल खाते CNPJ की पुष्टि करते हैं (Fabiola Silva Souza Seguros Ltda / Nf Seguros Saude, Mococa-SP, 2021 से सक्रिय)।
उसी qloud साझा नोड ने क्लासिक ब्रांड-दुरुपयोग और टाइपो-स्क्वैटिंग सामग्री भी होस्ट की: नकली ऑनलाइन बैंक (bridgecorebank.com, पंजीयक Williams Smith), कैसीनो पंजीकरण पृष्ठ, Paysafe/Neosurf कनवर्टर, और विभिन्न ticketmaster/kaiserpermanente-शैली के स्टब्स। QloudHost स्पष्ट रूप से कैसीनो होस्टिंग का विपणन करता है। pro114.dnspro.com.br (एक और ब्राज़ीलियाई साझा बॉक्स) ने पूर्ण मेल/पैनल स्टैक के साथ-साथ सार्वजनिक MariaDB 10.11.18 उजागर किया। UltaHost ने बाद में वेब पोर्ट्स को फ़िल्टर कर दिया; आक्रामक स्कैनिंग ने qloud 443 को रेट-लिमिट कर दिया।
यह मामला एक बहु-वर्षीय ब्राज़ीलियाई स्वास्थ्य-योजना बिक्री/ब्रांड पारिस्थितिकी तंत्र का एक पहचान-और-इंफ्रास्ट्रक्चर मानचित्र है, जिसमें प्रवेश GitHub रिवर्स-IP जिज्ञासा के माध्यम से हुआ, जो गोपनीयता/DMCA-अनदेखा साझा होस्टिंग पर स्थित है जो नकली-बैंक और कैसीनो जैसी दिखने वाली साइटों को भी सघन करता है। साझा NS और ईमेल डोमेन स्वास्थ्य-योजना संचालकों को जोड़ते हैं; केवल सह-टेनेंसी यह सिद्ध नहीं करती कि वित्तीय/जुआ टेनेंट्स समान संचालक साझा करते हैं। कोई क्रेडेंशियल हमला या एक्सप्लॉइट विकास नहीं किया गया। कई आइटम खुले हैं (पूर्ण registro.br पोर्टफोलियो, ब्लैकहोल के दौरान qloud WP उपयोगकर्ता, von Langermann द्वितीयक पिवट्स, मूल GitHub PR URL)।
2026-08-07 को निष्क्रिय रिकॉन ने Fabiola Silva Souza (FASSO283) के अधीन एक लंबे समय से चल रहे "planos de saúde" बिक्री क्लस्टर का मानचित्रण किया, जो एक पंजीकृत seguros कंपनी, साझा नेमसर्वर और एक HostGator ब्रोकरेज फ्रंट है—जबकि उसी qloud नोड ने नकली बैंकों, कैसीनो जैसी दिखने वाली साइटों और भुगतान कनवर्टरों को सघन किया। प्रवेश एक GitHub पुल-रिक्वेस्ट जांच से शुरू हुए रिकॉन सत्र के दौरान एक रिवर्स-IP जिज्ञासा थी।
उत्पत्ति – GitHub एज
ऑपरेटर और उपकरण github.com (140.82.116.4) और सिएटल लोड-बैलेंसर होस्टनाम lb-140-82-116-3-sea.github.com (140.82.116.3) तक पहुँचे। 140.82.116.3 पर रिवर्स-IP लुकअप ने अपेक्षित GitHub मार्केटिंग होस्ट के साथ-साथ coindream.site और bakkta* सबडोमेन (cpanel, webmail, mail, autodiscover, bakkta.support, bakktat.website, आदि) का एक अप्रत्याशित सेट लौटाया।
ARIN ने ब्लॉक को GITHU / GitHub, Inc. के रूप में पुष्टि की। LB होस्टनाम के wget/curl ने github.com के लिए मानक 301 श्रृंखला उत्पन्न की। Nmap फिंगरप्रिंट सार्वजनिक GitHub व्यवहार से मेल खाते थे। बाद में pcap पुनः-पार्स ने उत्पत्ति निशान की पुष्टि की—Grok, GitHub—जबकि बाद के केस IP 45.87.42.74, 159.100.6.5 या 187.33.241.58 के लिए शून्य पैकेट शामिल थे। कथित इरादा GitHub पुल रिक्वेस्ट की जांच था; PR URL स्वयं कभी प्रदान नहीं किया गया और यह एक खुला, केवल-उपयोगकर्ता आइटम बना हुआ है।
पिवट 1 – [coindream.site](https://coindream.site/) (विभाजित आर्किटेक्चर)
[coindream.site](https://coindream.site/) के लिए लाइव DNS ने दिखाया:
- A रिकॉर्ड (एपेक्स और सभी cPanel-शैली होस्टनाम) → 140.82.116.3 (GitHub)
- NS → dns1/dns2.registrar-servers.com (Namecheap BasicDNS)
- MX → Namecheap eforward[1–5]
- TXT/SPF → v=spf1 +a +mx +ip4:159.100.6.5 include:relay.mailchannels.net ~all
- निर्माण 2026-01-23, अद्यतन 2026-02-01, गोपनीयता पंजीयक (Withheld for Privacy ehf, Iceland), clientTransferProhibited, DNSSEC अहस्ताक्षरित।
आर्किटेक्चर जानबूझकर विभाजित है: GitHub एज पर वेब उपस्थिति जो केवल github.com पर पुनर्निर्देशित करती है, जबकि मेल प्राधिकरण एक UltaHost cPanel नोड की ओर इशारा करता है। 159.100.6.5 के विरुद्ध फ़ोर्स्ड होस्ट: coindream.site (जब वेब अभी भी खुला था) ने क्लासिक 163-बाइट cPanel डिफ़ॉल्टवेबपेज मेटा-रिफ्रेश लौटाया। bakkta / bakktat / bakktatr नामकरण सार्वजनिक Bakkt ट्रेडिंग ब्रांड के सापेक्ष लुकअलाइक शोर है; वैध इकाई से समझौते का कोई सबूत नहीं मिला।
पिवट 2 – UltaHost cp5 (159.100.6.5)
159.100.6.5 के रिवर्स-IP ने लगभग 500 होस्टनाम और ~78 अद्वितीय एपेक्स का प्रारंभिक निष्कर्षण लौटाया। लगभग हर टेनेंट पूर्ण cPanel किट (cpanel., webmail., webdisk., cpcalendars., cpcontacts., mail., autodiscover., www.) लेकर चलता था। सत्र के प्रारंभ में 80/443 LiteSpeed खुले थे; सत्र के अंत तक nmap (18:50) पर वे फ़िल्टर हो चुके थे, केवल 2082/2083 (OpenResty 1.31.1.1 cPanel) खुले रह गए। TLS प्रमाणपत्र cp5.fra1.ultacp.com परिवार (Let's Encrypt) के थे। :2083 पर अनप्रमाणित पथों ने बाद में हेडलेस/bytespider चुनौतियों के साथ लगभग 12 KB का "One moment, please..." बॉट-चेक पृष्ठ लौटाया।
HTTPS अभी भी उत्तर देते समय एकत्रित उच्च-रुचि सामग्री में शामिल:
- shelleasternpetroleum.ae – Shell Eastern Petroleum टेम्पलेट, Let's Encrypt प्रमाणपत्र, WHOIS पंजीयक/तकनीकी Christian von Langermann (DURRAQ-R138206K / DURRAQ-T138206K), NS ns1/2/3.ultahost.com, A → 159.100.6.5।
- gamingcomission.co और certificates.* – "KGC – Certificates" टाइपो-कमिशन थीम।
- antifraud.click – AR-शैली "verify before transfer" PHP एप्लिकेशन जिसमें PHPSESSID और CSP है।
- aranttru.com – "Gar T – Online Banking Platform"।
- pinupcasinorussia.click – Pin-Up कैसीनो क्लोन (~169 kB बॉडी)।
- विभिन्न markets/trading और suspendedpage.cgi खाते।
- 7secondsoflove.com – vhost ffuf में बड़ी अद्वितीय बॉडी (~173 kB)।
- कई टेनेंट्स पर निर्देशिका-लिस्टिंग Index of /।
ffuf vhost रन (Host: FUZZ @ https://159.100.6.5/, -fs 163) ने 202 हिट उत्पन्न किए: 147×200, 50×403 (साझा deny), 4×302, 1×301। आकार हस्ताक्षरों ने cPanel लॉगिन UI (~40 kB), सेवा पृष्ठों (~12 kB), और बड़ी अद्वितीय साइट को स्पष्ट रूप से अलग किया।
थ्रेट Nmap – तीन IPs साथ-साथ
- 159.100.6.5 (cp5) – केवल 2082/2083 खुले (इस पथ से केवल-पैनल)।
- 187.33.241.58 (pro114.dnspro.com.br) – पूर्ण सतह: Pure-FTPd 21, PowerDNS Auth 4.9.16 पोर्ट 53 पर, LiteSpeed 80/443, पूर्ण Dovecot, Exim 4.99.5, cPanel/OpenResty, WHM (pt_br, whostmgrsession), Roundcube वेबमेल, MariaDB 10.11.18 सार्वजनिक 3306 पर सुन रहा है (बैनर 5.5.5-10.11.18-MariaDB-cll-lve)। होस्टनाम बैनरों ने pro114.dnspro.com.br की पुष्टि की। रिवर्स-IP ने ~500 ब्राज़ीलियाई SME टेनेंट्स (advocacia, shops, academias) दिखाए जिनमें qloud की तुलना में कम ब्रांड-दुरुपयोग घनत्व था। पैनलों ने बाद में वही OpenResty बॉट दीवार लौटाई।
- 45.87.42.74 (shared.qloudhost.com) – Pure-FTPd, OpenSSH 8.0 (RHEL 8), BIND 9.11.36, LiteSpeed, DirectAdmin + Exim मेल स्टैक, MariaDB 10.6.27 (ऐतिहासिक रूप से खुला), कोई बाहरी cPanel पोर्ट नहीं। यह प्राथमिक ब्रांड-दुरुपयोग होस्ट बन गया।
nmap समय पर तुलनात्मक सतह ने qloud और pro114 को सार्वजनिक डेटाबेस वाले फुल-स्टैक बॉक्स के रूप में दिखाया; cp5 पहले ही केवल-पैनल में सिमट चुका था।
Qloud ब्रांड-दुरुपयोग फ़ार्म (45.87.42.74)
रिवर्स-IP ने ~499 होस्टनाम / ~207 एपेक्स उत्पन्न किए। एक सख्त ब्रांड-दुरुपयोग निष्कर्षण ने 23 डोमेन सूचीबद्ध किए। 443 अभी भी उत्तर देते समय सफल हेडर/टाइटल हार्वेस्ट ने WordPress "X% Desconto" स्वास्थ्य-योजना बिक्री साइटों का एक सुसंगत सेट प्रकट किया:
- saudebradescobr.com.br – "Plano de Saúde Bradesco Empresarial 60%"
- planosaudebr.com.br – "Bradesco Saúde 60%" (~1.9 MB WP)
- saudeplano.com.br – वही Bradesco थीम
- segurobradescodental.com.br – R$ 29,90 से Bradesco Dental
- vendasbradescosaude.com.br – Bradesco Saúde 50%
- planoamilbrasilia.com.br – Amil Brasília 50%
- planodesaudesulamerica.com.br – SulAmérica 50%
- planodesaudeempresariais.com.br – Empresarial 60%
- vendasplanounimed.com.br – Unimed 50%
- vendassulamericasaude.com.br – Sulamérica 50%
- contratarplanosdesaude.com.br – planos की तुलना करें
समान साझा नोड पर निकटवर्ती गैर-स्वास्थ्य टेनेंट्स में bridgecorebank.com (नकली ऑनलाइन बैंकिंग), betify4.com (कैसीनो पंजीकरण), mypaysafe.eu और www-myneosurf.com (भुगतान कनवर्टर), साथ ही कई स्टब्स और आंतरायिक शीर्षक (casinoradar365, kaiserpermanenteinc, trustdigitalbank, produbancoecu, ticketmastercolombiaonline, neosurf-remboursement, आदि) शामिल थे।
असफल ऑटोकैलिब्रेशन के बाद ffuf पाथ डिस्कवरी ने सॉफ्ट-404 की बड़ी मात्रा उत्पन्न की (200/words≈1498/size≈119xx या 500/2431/words=168)। परिचालन पाठ स्पष्ट था: कैलिब्रेशन विफलता के बाद, आक्रामक रूप से फ़िल्टर करें (-fw 1498 -fs 2431) और admin/phpMyAdmin/log पथों को वास्तविक न मानें। आक्रामक स्कैनिंग ने बाद में लंबी अवधि के लिए 45.87.42.74:443 को रेट-लिमिट / ब्लैकहोल कर दिया (QLOUD_DOWN), जबकि DNS ब्रांड डोमेन को IP की ओर इशारा करता रहा। इसलिए Fabiola बिक्री साइटों की लाइव रिकॉन कूलडाउन तक अवरुद्ध रही।
QloudHost स्वयं "Casino Web Hosting" को एक उत्पाद लाइन के रूप में विपणन करता है—DMCA-अनदेखा, क्रिप्टो-अनुकूल, गोपनीयता-केंद्रित, उच्च-ट्रैफ़िक जुआ और सट्टेबाजी प्लेटफ़ॉर्म—जो उसी बॉक्स पर देखे गए कैसीनो और भुगतान लुकअलाइक्स के घनत्व के लिए एक स्पष्ट व्यावसायिक तर्क प्रदान करता है।
पहचान जांच
प्राथमिक: FABIOLA SILVA SOUZA / FASSO283
- व्यक्ति: FABIOLA SILVA SOUZA
- nic-hdl-br: FASSO283
- ईमेल: fabiola@saudeperfeita.com.br
- CPF मास्क: \*.809.878-
- हैंडल निर्माण: 2017-07-21
- बिक्री पोर्टफोलियो के लिए NS: shared1/2.qloudhost.com
पुष्टि किए गए स्वामित्व वाले डोमेन (निर्माण तिथियाँ 2017–2025 तक फैली हुई):
- saudebradescobr.com.br (2017-03-17) – सबसे पुराना Bradesco-नामित, लंबे समय से चल रहा
- vendasbradescosaude.com.br (2017-07-11)
- vendassulamericasaude.com.br (2017-10-02)
- planosaudebr.com.br (2021-01-26)
- vendasplanounimed.com.br (2022-11-11)
- segurobradescodental.com.br (2023-05-31)
- planodesaudeempresariais.com.br (2025-02-13)
- planoamilbrasilia.com.br (2025-04-15)
- saudeplano.com.br (2025-04-29)
- contratarplanosdesaude.com.br (2025-05-05)
CLI whois FASSO283 विफल रहता है ("No whois server is known for this kind of object")। पूर्ण पोर्टफोलियो विस्तार के लिए registro.br वेब UI आवश्यक है (अभी भी खुला आइटम)।
सार्वजनिक कॉर्पोरेट रिकॉर्ड एक मेल खाती कानूनी इकाई की पुष्टि करते हैं: Fabiola Silva Souza Seguros Ltda (nome fantasia Nf Seguros Saude), CNPJ 40.950.276/0001-55, 23 फ़रवरी 2021 को खोला गया, सक्रिय, पता Rua Julio de Oliveira 199, Mococa-SP, पूंजी R$50.000, बीमा/योजना सहायकों के लिए CNAE, एकमात्र administrador Fabiola Silva Souza। CNPJ सबसे पुराने डोमेन के बाद का है लेकिन बाद के पोर्टफोलियो के लिए एक औपचारिक corretora-शैली आवरण प्रदान करता है।
उसी फ़ार्म पर निकटवर्ती पंजीयक
- LEONILDO QUINTILIANO / LEQUI21 / leonildo_1@hotmail.com के पास planodesaudesulamerica.com.br (2019, qloud NS) है और saudeperfeita.com.br पर tech-c के रूप में दिखाई देता है। WordPress उपयोगकर्ता "nildo" (id=2) से मजबूत नाम मेल।
- ROGER OLIVEIRA DA SILVA / ROOSI28 के पास saudeperfeita.com.br (2010 से, HostGator ns918/919) है और वह Agência Unit (roger@agenciaunit.com) से जुड़ा है।
- TIAGO FERREIRA PENA / TIFPE13 / tiago.ferreira.pena@gmail.com के पास planosaudebradescobr.com.br (2025) है; हैंडल registro.br शिकायत प्रणाली में saci:yes फ़्लैग रखता है; समान qloud NS।
[saudeperfeita.com.br](https://saudeperfeita.com.br/) – पहचान पुल
162.241.2.92 (HostGator) पर होस्ट, Apache, WordPress + Yoast 27.2, Flatsome थीम, FormCraft 3.8.7 (form.min.js अंतिम-संशोधित 2020)। लॉगिन /wp-login.php 200 लौटाता है wordpress_test_cookie के साथ; उपयोगकर्ता API खुला है और लौटाता है:
- id=1, slug admin – "admin, Autor em Plano de Saúde"
- id=2, slug nildo – "nildo, Autor em Plano de Saúde"
सामग्री एक पूर्ण planos-de-saúde ब्रोकरेज है (São Cristóvão Saúde, Prevent Senior, Trasmontano, Amil लोगो, व्यक्तिगत/पारिवारिक/वरिष्ठ/गर्भवती/बच्चों/कंपनी योजनाएँ, /valores-planos-de-saude/, /cotacao/)। cotacao पृष्ठ nildo द्वारा लिखा गया है; FormCraft लीड फ़ॉर्म Nome, Tel fixo, Celular, Email के साथ एक हनीपॉट कैप्चर करता है। सार्वजनिक फ़ॉर्म REST नेमस्पेस अनुपस्थित हैं। पारिस्थितिकी तंत्र से पुनर्प्राप्त संपर्कों में contato@agenciaunit.com और WhatsApp नंबर +55 11 96663-5659 (लाइव Agência Unit साइट से सटीक मेल) शामिल हैं। Agência Unit एक पेशेवर वेब/SEO एजेंसी के रूप में प्रस्तुत होती है जिसमें सार्वजनिक पोर्टफोलियो और गोपनीयता नीति है (CNPJ संदर्भ 35.472.056/0001-10 / 15.702.183/0001-64 पृष्ठों पर दिखाई देते हैं)।
Williams Smith / [bridgecorebank.com](https://bridgecorebank.com/)
निर्माण 2026-02-24, रजिस्ट्रार Name.com, पता 1020 SE Everett Mall Way, Everett WA 98208, देश VI (गोपनीयता/प्रॉक्सी पैटर्न)। NS Fabiola qloud सेट के समान। समान-होस्ट पड़ोसियों में trustdigitalbank, produbancoecu, ticketmastercolombiaonline और अन्य भुगतान-ब्रांड दुरुपयोग डोमेन शामिल हैं। सार्वजनिक स्कैनर डोमेन को कम ट्रस्ट स्कोर देते हैं और इसे संदिग्ध के रूप में वर्गीकृत करते हैं; शीर्षक दावा करता है "Bridge Core Bank – Online Banking & Financial Services." यह विशुद्ध सह-टेनेंसी है, Fabiola के साथ सिद्ध पहचान समानता नहीं।
Christian von Langermann / shelleasternpetroleum.ae
Ultahost NS पर Shell लुकअलाइक के पंजीयक और तकनीकी संपर्क (मामले के प्रारंभ में)। पुष्टि A → 159.100.6.5। उपलब्ध पास में कोई द्वितीयक डोमेन, ईमेल, फ़ोन, सोशल या कंपनी फाइलिंग पुनर्प्राप्त नहीं हुई। क्लस्टर आंशिक बना हुआ है और ब्राज़ीलियाई स्वास्थ्य-योजना संचालकों से पहचान से असंबद्ध है।
एट्रिब्यूशन मॉडल – क्या दृढ़ता से समर्थित है बनाम क्या सिद्ध नहीं है
दृढ़ता से समर्थित:
- Fabiola Silva Souza के अधीन बहु-वर्षीय ब्राज़ीलियाई डोमेन पोर्टफोलियो जो saudeperfeita मेलबॉक्स का उपयोग करता है, qloud पर होस्ट, Bradesco/Amil/Unimed/SulAmérica छूट का विपणन करता हुआ।
- saudeperfeita.com.br एक सक्रिय ब्रोकरेज-शैली साइट है जो admin/nildo के साथ संचालित होती है, जो Roger की Agência Unit और Leonildo से जुड़ी है।
- कई पंजीयकों में साझा उद्योग + साझा मेल डोमेन + साझा होस्टिंग NS एक संगठित बिक्री क्लस्टर का निर्माण करते हैं।
- Fabiola Silva Souza Seguros Ltda के लिए सार्वजनिक CNPJ एक कॉर्पोरेट आवरण प्रदान करता है।
- वही qloud साझा नोड क्लासिक ब्रांड-दुरुपयोग (नकली बैंक, कैसीनो पंजीकरण, भुगतान कनवर्टर) को सघन करता है; QloudHost कैसीनो होस्टिंग को एक उत्पाद के रूप में विपणन करता है।
- GitHub LB / coindream एक प्रवेश आर्टिफैक्ट है (संभावित मेल SPF + वेब डिकॉय); UltaHost/cp5 और qloud वे स्थान हैं जहाँ दुरुपयोगी/बिक्री सामग्री रहती थी।
- pro114 एक पूर्ण मेल/पैनल/MariaDB सतह उजागर करता है; qloud ने ऐतिहासिक रूप से भी ऐसा ही किया।
- कम से कम एक कोर बिक्री डोमेन (vendasbradescosaude.com.br) को प्रमुख DNS फ़िल्टर (OpenDNS, Cloudflare, DNS4EU) द्वारा फ़िशिंग/दुर्भावनापूर्ण के रूप में वर्गीकृत किया गया है जबकि यह अभी भी qloud IP पर रिज़ॉल्व होता है।
सिद्ध नहीं:
- आपराधिक इरादा बनाम आक्रामक (संभवतः गैर-अनुपालन) एफिलिएट मार्केटिंग। कानूनी विशेषता जांचकर्ताओं, ANS, रजिस्ट्रार और वकीलों के लिए है।
- कि Fabiola = nildo = Roger = Tiago (वे इंफ्रास्ट्रक्चर और संपर्कों से जुड़े हैं, एक व्यक्ति के रूप में सिद्ध नहीं)।
- कि Williams Smith या कैसीनो/भुगतान टेनेंट्स Fabiola के समान संचालक हैं (केवल समान होस्टर और NS)।
- परिचालन मात्रा (ट्रैफ़िक, बंद लीड, वास्तविक अनुबंध)।
कालानुक्रमिक तकनीकी टाइमलाइन (संक्षिप्त)
- बूट / हॉटस्पॉट
- github.com + 140.82.116.3 का रिवर्स-IP
- coindream खोज → SPF पिवट से 159.100.6.5
- UltaHost रिवर्स-IP (~500 होस्ट), हेडर, Shell WHOIS
- cPanel बॉट-दीवार मैपिंग
- थ्रेट nmap → pro114 + qloud फुल स्टैक + MariaDB एक्सपोज़र
- 187 + 45 का रिवर्स-IP → qloud पर Bradesco फ़ार्म
- qloud ब्रांडों पर लाइव शीर्षक
- सॉफ्ट-404 ffuf पाठ
- Qloud रेट-लिमिट / ब्लैकहोल
- WHOIS पहचान → Fabiola / Leonildo / Tiago / Roger
- saudeperfeita WP उपयोगकर्ता + FormCraft / cotacao / लेखक मानचित्र
- Agência Unit फ़ोन/ईमेल पुष्टि
- निर्यात पैकेज + रनडाउन + खुले-आइटम स्थिति
- सार्वजनिक CNPJ और विक्रेता-फ़्लैग क्रॉस-रेफरेंस
तकनीकी सतह और परिचालन अवलोकन
- pro114 पर सार्वजनिक MariaDB (लाइव) और ऐतिहासिक रूप से qloud पर – केवल हार्डनिंग/दुरुपयोग रिपोर्टिंग के लिए दस्तावेजीकृत; कोई प्रमाणीकरण प्रयास नहीं।
- रिकॉन के बाद OpenResty/Imunify-शैली बॉट दीवारें और पूर्ण-होस्ट ब्लैकहोलिंग।
- असफल ffuf कैलिब्रेशन के बाद सॉफ्ट-404 शोर; आकार/शब्द फ़िल्टर आवश्यक।
- CT विश्वसनीयता ऐतिहासिक रूप से अस्थिर (502s); एक सफल saudebradescobr डंप (242 प्रविष्टियाँ) ने मल्टी-लेबल SANs और ब्रांड-निकटवर्ती नामों को पुनर्प्राप्त किया।
- सत्र के दौरान उपकरण घटनाएँ (on_ip_now.txt में NUL भ्रष्टाचार, set -u के तहत अनबाउंड चर, ffuf इंटरैक्टिव विराम) नोट की गईं और कार्य स्क्रिप्ट में सही की गईं।
नीति निरपेक्ष बनी हुई है: कोई क्रेडेंशियल हमला नहीं, कोई MySQL लॉगिन नहीं, कोई एक्सप्लॉइट विकास नहीं।
सर्वोत्तम संपर्क और IOCs
- फ़ोन: +55 11 96663-5659 (Agência Unit)
- ईमेल: contato@agenciaunit.com
- ईमेल: fabiola@saudeperfeita.com.br
- ईमेल: leonildo_1@hotmail.com (+ WP nildo)
- ईमेल: roger@agenciaunit.com
- ईमेल: tiago.ferreira.pena@gmail.com
- IP: 45.87.42.74 shared.qloudhost.com (ब्रांड फ़ार्म + पड़ोसी)
- IP: 187.33.241.58 pro114.dnspro.com.br (cPanel पूर्ण + MySQL)
- IP: 159.100.6.5 cp5.fra1.ultacp.com (UltaHost; SPF/coindream)
- IP: 162.241.2.92 HostGator (saudeperfeita)
- IP: 140.82.116.3 GitHub SEA LB (प्रवेश)
- साइट: https://saudeperfeita.com.br/
- साइट: https://agenciaunit.com/
- WP: admin, nildo @ saudeperfeita
- CNPJ: 40.950.276/0001-55 (Fabiola Silva Souza Seguros Ltda / Nf Seguros Saude)
समापन आकलन
रिकॉन ने एक बहु-वर्षीय ब्राज़ीलियाई स्वास्थ्य-योजना बिक्री पारिस्थितिकी तंत्र का उच्च-रिज़ॉल्यूशन पहचान-और-इंफ्रास्ट्रक्चर मानचित्र तैयार किया जो प्रमुख संचालकों के ब्रांड नामों, एक पंजीकृत seguros कंपनी, एक HostGator ब्रोकरेज फ्रंट और साझा DMCA-अनदेखा होस्टिंग का उपयोग करता है जो एक साथ नकली बैंकों, कैसीनो लुकअलाइक्स और भुगतान कनवर्टरों को सघन करता है। प्रवेश पथ—GitHub लोड-बैलेंसर रिवर्स-IP से एक विभाजित-आर्किटेक्चर मुखौटे के माध्यम से दो घने साझा नोड्स तक—पैकेट कैप्चर और टूलिंग आउटपुट में पूरी तरह से दर्ज है। साझा नेमसर्वर और saudeperfeita ईमेल डोमेन स्वास्थ्य-योजना संचालकों को कसकर जोड़ते हैं; अकेले सह-टेनेंसी उस पहचान दावे को वित्तीय या जुआ टेनेंट्स तक विस्तारित नहीं करती। सभी अवलोकन निष्क्रिय और हल्के-सक्रिय रिकॉन सीमाओं के भीतर रहते हैं। कई उच्च-मूल्य वाले खुले आइटम (पूर्ण registro.br पोर्टफोलियो, qloud सामग्री पुनर्प्राप्ति, von Langermann पिवट्स) भविष्य के निष्क्रिय कार्य के लिए उपलब्ध हैं।
पूर्ण इकाई और इंफ्रास्ट्रक्चर मानचित्र
प्रवेश / उत्पत्ति
- pcap, github.com (140.82.116.4), lb-140-82-116-3-sea.github.com (140.82.116.3)।
- रिवर्स-IP 140.82.116.3 → coindream.site + bakkta* सबडोमेन + cPanel किट।
[coindream.site](https://coindream.site/) (ब्रिज मुखौटा)
- A: 140.82.116.3 (GitHub SEA LB)
- NS: dns1/2.registrar-servers.com (Namecheap)
- MX: Namecheap eforward
- SPF: ip4:159.100.6.5 + MailChannels
- निर्माण 2026-01-23, गोपनीयता पंजीयक (Withheld for Privacy ehf)
- 159.100.6.5 पर फ़ोर्स्ड होस्ट ने पहले cPanel डिफ़ॉल्टवेबपेज लौटाया
UltaHost cp5 (159.100.6.5 / [cp5.fra1.ultacp.com](https://cp5.fra1.ultacp.com/))
- ~500 होस्टनाम / ~78–395 लाइव एपेक्स
- प्रारंभिक: 80/443 LiteSpeed खुला → बाद में फ़िल्टर; 2082/2083 OpenResty cPanel खुला; बॉट दीवार "One moment, please..."
- उच्च-रुचि: shelleasternpetroleum.ae (Christian von Langermann, DURRAQ IDs, Ultahost NS), gamingcomission, antifraud.click, aranttru.com, pinupcasinorussia.click, markets/trading, 7secondsoflove.com, निर्देशिका लिस्टिंग
[pro114.dnspro.com.br](https://pro114.dnspro.com.br/) (187.33.241.58)
- पूर्ण स्टैक: Pure-FTPd, PowerDNS, LiteSpeed, Dovecot, Exim, cPanel/WHM, Roundcube, MariaDB 10.11.18 सार्वजनिक 3306
- onlinebradescosaude.com.br के लिए होस्ट (cp5 छोड़ दिया); कम ब्रांड-दुरुपयोग घनत्व (~500 BR SME टेनेंट्स)
qloud / [shared.qloudhost.com](https://shared.qloudhost.com/) (45.87.42.74) – प्राथमिक ब्रांड-दुरुपयोग होस्ट
- रिवर्स-IP ~499 होस्टनाम / ~207 एपेक्स
- सख्त ब्रांड-दुरुपयोग सूची: 23 डोमेन
- लाइव शीर्षक (जब पहुँच योग्य): saudebradescobr.com.br, planosaudebr.com.br, saudeplano.com.br, segurobradescodental.com.br, vendasbradescosaude.com.br, planoamilbrasilia.com.br, planodesaudesulamerica.com.br, planodesaudeempresariais.com.br, vendasplanounimed.com.br, vendassulamericasaude.com.br, contratarplanosdesaude.com.br
- निकटवर्ती दुरुपयोग: bridgecorebank.com, betify4.com, mypaysafe.eu, www-myneosurf.com, casinoradar365, kaiserpermanenteinc स्टब्स, trustdigitalbank, produbancoecu, ticketmastercolombiaonline, आदि।
- ऐतिहासिक: OpenSSH 8.0, BIND, LiteSpeed, DirectAdmin मेल, MariaDB 10.6.27
- बाद में: रिकॉन पथ से रेट-लिमिटेड / ब्लैकहोल
पहचान क्लस्टर (FASSO283 प्राथमिक)
- FABIOLA SILVA SOUZA / nic-hdl FASSO283 / ईमेल fabiola@saudeperfeita.com.br / CPF मास्क \*.809.878- / हैंडल निर्माण: 2017-07-21
- डोमेन (WHOIS-पुष्टि, सभी qloud NS): saudebradescobr.com.br (2017-03-17), vendasbradescosaude.com.br (2017-07-11), vendassulamericasaude.com.br (2017-10-02), planosaudebr.com.br (2021-01-26), vendasplanounimed.com.br (2022-11-11), segurobradescodental.com.br (2023-05-31), planodesaudeempresariais.com.br (2025-02-13), planoamilbrasilia.com.br (2025-04-15), saudeplano.com.br (2025-04-29), contratarplanosdesaude.com.br (2025-05-05)
- सार्वजनिक CNPJ: Fabiola Silva Souza Seguros Ltda (Nf Seguros Saude), 40.950.276/0001-55, Mococa-SP, स्थापित: 2021-02-23, सक्रिय, पूंजी R$50k
आसन्न पंजीकरणकर्ता (एक ही फार्म / एक ही NS)
- LEONILDO QUINTILIANO / LEQUI21 / leonildo_1@hotmail.com → planodesaudesulamerica.com.br; saudeperfeita पर tech-c; WP लेखक “nildo”
- ROGER OLIVEIRA DA SILVA / ROOSI28 / roger@agenciaunit.com → saudeperfeita.com.br (2010 से HostGator); Agência Unit
- TIAGO FERREIRA PENA / TIFPE13 / tiago.ferreira.pena@gmail.com → planosaudebradescobr.com.br; saci:yes फ़्लैग
saudeperfeita.com.br (ब्रिज साइट)
- A: 162.241.2.92 (HostGator)
- WP + Flatsome + FormCraft 3.8.7; users API खुला → admin (id=1), nildo (id=2)
- Cotacao पेज nildo द्वारा लिखा गया; लीड फ़ॉर्म (Nome/Tel/Celular/Email + honeypot)
- संपर्क: contato@agenciaunit.com, +55 11 96663-5659
अन्य
- Williams Smith → bridgecorebank.com (एक ही qloud NS, privacy/VI पैटर्न, Everett WA पता)
- Christian von Langermann → shelleasternpetroleum.ae (Ultahost NS → cp5)
सार्वजनिक एनरिचमेंट सिग्नल
- vendasbradescosaude.com.br को OpenDNS, Cloudflare, DNS4EU द्वारा फ़िशिंग/दुर्भावनापूर्ण फ़्लैग किया गया (मार्च 2026)
- QloudHost Casino Web Hosting को उत्पाद लाइन के रूप में बेचता है (DMCA-ignored, क्रिप्टो, गोपनीयता)
- bridgecorebank.com कम ट्रस्ट स्कोर, संदिग्ध वर्गीकरण
- coindream ऑपरेटर या Williams Smith को Fabiola के समान बताने वाला कोई सार्वजनिक सबूत नहीं
