Quantitative Security ने 31 जुलाई से 9 अक्टूबर 2026 तक उस पब्लिक सीरीज़ पर काम किया, जिसे तैयार करने के लिए मिड-ईयर रिव्यू ने टूलिंग बनाई थी। यह सीरीज़ 31 जुलाई की क्लाउड-रेंज रिकॉन्सिनेशन (पहचान) से शुरू होकर 9 अक्टूबर के बिना भुगतान वाले Coinbase कार्ड लालच तक चली, और इसे X पर TLP:CLEAR लॉन्ग-फॉर्म के रूप में पेश किया गया। अगस्त ने इस तरीके को भीतर की तरफ मोड़ दिया: GitHub के एक पड़ोसी को हेल्थ-प्लान सेल्स आइडेंटिटी तक पहुँचाया गया, कंपनी के अपने डोमेन को बाहरी लक्ष्य के रूप में मापा गया, और कैरियर लेबल के एक साल के डेटा को रजिस्ट्री के साथ मिलाकर देखा गया। सितंबर ने इसी प्रक्रिया को एक रेजिडेंशियल फ़ायरवॉल और एक स्नोशू मिल तक लागू किया, और जिन प्लेटफ़ॉर्म्स पर ये मामले आधारित थे उन्हें उनकी अपनी श्रेणी में ही रखा। अक्टूबर ने एक डिस्कार्ड लॉग को मापन, ज्ञात शत्रुतापूर्ण नेटवर्क और कंपनी के अपने टूल्स में बाँटा, Yandex Compute के बारे में वेंडर के दस्तावेज़ों के मुकाबले एक व्यापक दावा रखा, और एक कार्ड किट का पीछा करते हुए एक ऐसे इनवॉइस तक पहुँचा जिसका भुगतान नहीं हुआ था।
हर प्रोडक्ट रॉ टेलीमेट्री और ओपन सोर्सेज़ को एक एट्रिब्यूटेड, प्राथमिकता वाले और डिफेंस के लिए तैयार परिणाम में बदलता है। कोई नाम केवल वहीं जोड़ा जाता है जहाँ रिपोर्ट उसे जोड़ती है। प्लेटफ़ॉर्म, टेनेंट, सर्वे प्रोजेक्ट, और एक सिग्नेचर जो हर चीज़ को पास करता है — वे सब उसी वर्ग में रहते हैं जो रिपोर्ट ने उन्हें दिया है। अंतिम हिस्से में इस्तेमाल किए गए तरीकों, मैप किए गए तरीकों, और उस ग्रुप, टेनेंट या वर्ग की सूची होती है जो हर एक पर लागू होता है।
रिपोर्ट सीरीज़
रेसिडुअल क्लाउड सरफेस — 31 जुलाई
लगभग 115 एड्रेस पर एक संरचित बाहरी स्कैन ने लाइव प्रोडक्शन, बची हुई (residual) सेवाओं और छोड़े गए एसेट्स को अलग-अलग छाँटा। 104.247.165.210 पर मौजूद तुर्की शेयर्ड होस्टिंग (silaoglu.com, बैनर mt-rohan.guzelhosting.com) ने पूरा मेल और वेब स्टैक दिखाया: Pure-FTPd, Dovecot, Exim, MySQL, और LiteSpeed, साथ में ऑथेंटिकेटेड SOCKS5 और HTTP प्रॉक्सी और कम समय के लिए मान्य सर्टिफिकेट। सबसे बड़ी मात्रा Tencent और Aceville स्पेस में थी और उसे कड़ाई से फ़िल्टर किया गया था। जो थोड़े से जवाब दे रहे थे, वे रेसिडुअल सरफेस थे: पोर्ट 81 पर Nginx Proxy Manager, /arena के नीचे एक लाइव Next.js ऐप्लिकेशन, हाई पोर्ट्स पर ऑथेंटिकेटेड प्रॉक्सी, इंटरनल-स्टाइल होस्टनेम वाला Windows Remote Desktop, और GENIEX eSIM ब्रांड तथा इंडोनेशियाई और वियतनामी गेम ब्रांड्स के बचे हुए सर्टिफिकेट, जिनमें एक Dragon Raja टाइटल भी शामिल था जिसे अभी भी पुराना Jetty सर्व कर रहा था। एक Tencent एड्रेस पर लाओस से जुड़े एक छोटे से समूह ने चीनी भाषा वाली मेडिकल-एस्थेटिक्स और सेकंड-हैंड कार साइट्स दिखाईं, जिनकी पब्लिक उपस्थिति बहुत कम थी। यह प्रोडक्ट वही अलगाव है जो मिड-ईयर रिव्यू ने Google के एज पर लागू किया था। प्रोडक्शन वॉल्यूम और छोड़ी गई सेवाएँ अलग-अलग निष्कर्ष हैं, और केवल दूसरा ही ब्लॉकिंग और हार्डनिंग की समस्या है। https://x.com/i/article/2083245764969635841
प्रोटेक्टिव-इंटेलिजेंस एंगेजमेंट — 1 अगस्त
यह एंगेजमेंट तब शुरू हुआ जब ईरान में जियोलोकेट किया गया एक मास्क्ड एड्रेस Quantitative Security के इंफ्रास्ट्रक्चर पर आया। उस बातचीत की सोशल इंजीनियरिंग ने एड्रेस का एक समूह पकड़ लिया, जिसे एक खास तौर पर बनाई गई साइट के ज़रिए और बढ़ाया गया जो विज़िटर इंफ्रास्ट्रक्चर को इकट्ठा करती थी। प्रकाशित बेसलाइन में Thornhill, Ontario की GoCodeIT Inc. का नाम है, जो 65.111.5.29 और 74.119.149.79 पर ऑथेंटिकेटेड प्रॉक्सी पर थी; 103.255.134.61 पर technofaq.org के लिए खुला CloudPanel 2.5.2; पोर्ट 8888 पर 152.32.169.33 पर Microsoft-स्टाइल CodePushServer; rejekibet.com जो एक इंडोनेशियाई रियल-मनी जुआ प्लेटफ़ॉर्म है और जिसके ब्रांड के आसपास स्कैम क्लोन मौजूद हैं; इंटरनेट-फेसिंग Windows Remote Desktop, जिसमें 38.107.237.68 शामिल है; geniex.com जो नाइजीरिया का एक वर्चुअल-SIM ऑपरेशन है जो बंद हो रहा है, और जिसका डोमेन AWS पर रिज़ॉल्व होता है; और acmmanufacturer.com, जो पहले बचे हुए Tencent स्पेस पर था और बाद में chukouplus.com के ज़रिए Zenlayer पर चला गया। 104.207.0.0/16 में प्रॉक्सी होस्ट्स को ऑथेंटिकेशन की ज़रूरत थी, लगभग सात दिन के सर्टिफिकेट दिखाते थे, और जाँचे गए एडमिन पाथ पर 404 लौटाते थे। Zeus-admin लिस्नर्स फ़िल्टर्ड रहे। शुरुआती एड्रेस पर जियोलोकेशन लेबल इस एंगेजमेंट की शुरुआत है। लेख किसी नाम वाले स्टेट ग्रुप को नहीं जोड़ता। इस डेटासेट को साल के दूसरे हिस्से के लिए बेसलाइन के रूप में बंद किया गया। https://x.com/i/article/2083388096285179904
GitHub लोड बैलेंसर से ब्राज़ीलियाई हेल्थ-प्लान सेल्स फ़ार्म तक — 8 अगस्त
QuantumGuard के साथ 7 अगस्त का एक हॉटस्पॉट सेशन और एक कैप्चर GitHub पुल रिक्वेस्ट और Seattle लोड बैलेंसर 140.82.116.3 (lb-140-82-116-3-sea.github.com) के रिवर्स-IP से शुरू हुआ। उस एड्रेस ने coindream.site को सह-होस्ट किया था: वेब GitHub पर, मेल SPF UltaHost cp5 159.100.6.5 की ओर इशारा करता था, 23 जनवरी 2026 को बनाया गया, प्राइवेसी रजिस्ट्रेंट, Namecheap DNS। कैप्चर में बाद वाले केस के एड्रेस पर कोई पैकेट नहीं था। UltaHost पर लगभग 500 नाम थे, जिनमें Christian von Langermann के नाम रजिस्टर्ड shelleasternpetroleum.ae शामिल था, साथ ही gamingcomission.co, antifraud.click, aranttru.com, और pinupcasinorussia.click। बाद में वेब पोर्ट्स को 2082 और 2083 पर cPanel तक फ़िल्टर कर दिया गया। 187.33.241.58 पर pro114.dnspro.com.br ने पूरा मेल और पैनल स्टैक और पब्लिक MariaDB 10.11.18 उजागर किया।
मुख्य नोड 45.87.42.74 पर shared.qloudhost.com है, जो Bradesco, Amil, Unimed, और SulAmérica ब्रांड नामों का इस्तेमाल करने वाला 2017–2025 का ब्राज़ीलियाई हेल्थ-प्लान सेल्स फ़ार्म है। मुख्य पोर्टफोलियो पर WHOIS Fabiola Silva Souza का है, हैंडल FASSO283, मेलबॉक्स saudeperfeita.com.br पर। लेख में दिए गए पब्लिक रिकॉर्ड CNPJ 40.950.276/0001-55, Fabiola Silva Souza Seguros Ltda, Mococa, São Paulo से मेल खाते हैं, जो 23 फरवरी 2021 को खोला गया था। ब्रिज साइट saudeperfeita.com.br 162.241.2.92 पर HostGator है, जिसमें WordPress यूज़र admin और nildo हैं, जिन्हें लेख में Agência Unit के Roger Oliveira da Silva और Leonildo Quintiliano से जोड़ा गया है। Tiago Ferreira Pena उसी नेमसर्वर पर एक संबंधित रजिस्ट्रेंट है। इसी नोड पर फ़ेक-बैंक पेज, कैसीनो रजिस्ट्रेशन, और Paysafe व Neosurf कन्वर्टर भी थे। QloudHost कैसीनो होस्टिंग का मार्केटिंग करता है। शेयर्ड नेमसर्वर और saudeperfeita मेलबॉक्स हेल्थ-प्लान ऑपरेटर्स को आपस में जोड़ते हैं। नोड पर सह-टेनेंसी (co-tenancy) उस पहचान को वित्तीय या जुआ टेनेंट्स तक नहीं बढ़ाती। vendasbradescosaude.com.br OpenDNS, Cloudflare, और DNS4EU द्वारा फिशिंग के रूप में वर्गीकृत किए जाने के बाद भी qloud एड्रेस पर बना रहा। लेख में कुछ चीज़ें खुली छोड़ी गईं: पूरा registro.br पोर्टफोलियो, मूल पुल-रिक्वेस्ट URL, और von Langermann पर सेकेंडरी पिवट। https://x.com/i/article/2085939414463631360
बाहरी लक्ष्य के रूप में अपना डोमेन — 15 अगस्त
9 से 14 अगस्त तक, quantitativesecurity.org की जाँच उन शुरुआती कदमों से की गई जो कोई बाहरी हमलावर इस्तेमाल करता। ओरिजिन साफ़ था। होस्टिंग Squarespace मल्टी-टेनेंट anycast है, जिसमें NS1 का p07 सेट और Squarespace DNS है, कस्टमर नामों पर Let’s Encrypt है, और बेयर एड्रेस से 403 आता है जिसमें *.squarespace.com का DigiCert सर्टिफिकेट है। nmap ने Go net/http इम्प्लीमेंटेशन बताया जबकि Server हेडर Squarespace कह रहा था। वह जोड़ी एक ही एज है जिसे दो लेयर्स पर बताया गया है। लगभग 1,900 .academy नाम इस प्लेटफ़ॉर्म को शेयर करते हैं। Gophish-श्रेणी के संकेतों की जाँच की गई और वे अनुपस्थित थे। QuantC और QuantumGuard ने इस सेल्फ-रिकॉन को प्लेटफ़ॉर्म नॉइज़ के रूप में दर्ज किया, जो उन सेंसर्स के लिए ज़रूरी ग्राउंड ट्रुथ है। वास्तविक बचा हुआ जोखिम पहचान का है: कोई MX नहीं, कोई SPF नहीं, कोई DMARC नहीं, और सितंबर 2026 में समाप्त होने वाला रजिस्ट्रेशन। एक साफ़ ओरिजिन जिसका मेल लेन अनसाइन्ड है, वह भी एक अटैक सरफेस है। https://x.com/i/article/2088437251508436992
क्षमता स्तर — 15 अगस्त
एक साथी लेख आपराधिक गिरोहों को राष्ट्र-समर्थित अभिनेताओं से उनकी रणनीतियों और कुल डॉलर के आधार पर अलग करता है, और एक तीसरी श्रेणी एक्सपोज़र काम के लिए रखता है जिसमें कुछ नहीं लिया जाता। निचले स्तर पर लेख का मैप किया गया उदाहरण एक कॉलर है जिसे Man hands के नाम से जाना जाता है, जिसे Tiffany M. भी कहा जाता है: हार्डवेयर-वॉलेट और एक्सचेंज-सपोर्ट की नकल, कम से कम $5 मिलियन, Trezor और Coinbase, स्पूफ़ किए गए BitcoinIRA मेल, साथियों द्वारा दिए गए पैनल, कमज़ोर ऑपरेशनल सुरक्षा। वह आंकड़ा उस कॉलर के लिए लेख की कुल चोरी राशि है। उसी लेख में मध्य-स्तरीय उदाहरण Dritan Kapllani Jr. हैं जिन पर लगभग $19 मिलियन हैं, और John Daghita हैं जिन्हें Lick कहा जाता है, जिन पर U.S. Marshals Service द्वारा ज़ब्त किए गए वॉलेट से $46 मिलियन से अधिक हैं, और लेख में उनके संदिग्ध कामकाज की व्यापक राशि $90 मिलियन से ऊपर बताई गई है, बाद में उन्हें गिरफ़्तार किया गया। उच्च आपराधिक उदाहरण Greavys, Wiz, और Box गिरोह है, जिसने एक Genesis क्रेडिटर से लगभग $243 मिलियन लिए। राष्ट्र-समर्थित उदाहरण Lazarus और फरवरी 2025 की Bybit चोरी हैं जिसमें लगभग $1.5 बिलियन थे; UAC-0145, जिसे लेख में Sandworm / APT44 से जोड़ा गया है, जो यूक्रेनी IT पेशेवरों के खिलाफ़ फ़ेक जॉब इंटरव्यू और डिलीवरी के लिए VPN कॉन्फ़िगरेशन का इस्तेमाल करता है; और Laundry Bear, जिसे सरकार, रक्षा और महत्वपूर्ण इंफ्रास्ट्रक्चर के खिलाफ़ समझौता किए गए क्रेडेंशियल्स के रूस-संबद्ध उपयोग के रूप में बताया गया है। https://x.com/i/article/2088672299868377088
.academy पड़ोस — 17 अगस्त
Squarespace connect चौकड़ी के रिवर्स-IP ने 2,020 पड़ोसी नाम संकलित किए। 1,898 .academy पर खत्म होते थे, और उनमें से 1,767 अभी भी केवल 198.49.23.144, 198.49.23.145, 198.185.159.144, और 198.185.159.145, AS53831 पर रिज़ॉल्व होते थे। पूरे सेट में चौवन अद्वितीय एड्रेस दिखे। नमूने के रूप में चुने गए चालीस Squarespace नामों में से चालीस ने Squarespace हेडर और एक crumb कुकी लौटाई। 198.49.23.145 पर दुर्व्यवहार रिपोर्ट और ऐतिहासिक ऑफ़लाइन मैलवेयर URL, जिनमें Cobalt Strike और Mozi पाथ शामिल हैं, लेख में शेयर्ड एज पर अन्य टेनेंट्स से जोड़े गए हैं। सीमा रेखा ब्रांड नाम और चार आधिकारिक connect एड्रेस हैं। स्कूल के नाम ब्लॉक लिस्ट से बाहर रहते हैं। होस्टनेम के बजाय एड्रेस पर आधारित प्रतिष्ठा एक प्लेटफ़ॉर्म लागत है, और इसे वैसा ही दर्ज किया गया है। https://x.com/i/article/2089015652753502208
आइडेंटिटी लेयर — 17 अगस्त
उसी डोमेन का रजिस्ट्रार परिवार, डुअल नेमसर्वर, और चार anycast एड्रेस वैध बेसलाइन हैं, और यही वह सरफेस है जिसे कोई नकलची कॉपी करता है। Squarespace, Cloudflare, Vercel, GitHub Pages, और AWS Global Accelerator पहले से ही प्रतिष्ठा, हेडर और सर्टिफिकेट अथॉरिटीज़ वहन करते हैं। एक विदेशी होस्ट फिर भी बंद होकर असफल होता है, इसलिए एक साधारण एड्रेस ब्लॉक शोरगुल वाला होता है। लेख में बताए गए नियंत्रण रजिस्ट्रार पर बैठते हैं: एक ट्रांसफ़र, नेमसर्वर बदलाव, कॉन्टैक्ट स्वच्छता, और एक पुराना रजिस्ट्रेशन, फिर या तो एक मिलता-जुलता नाम या विश्वसनीय एज पर पार्क किया गया कोई मनमाना नाम। साथ वाले गणना में सत्ताईस में से बारह आउटलायर .academy apexes Squarespace Domains पर रजिस्टर्ड थे और कहीं और होस्ट किए गए थे। जो नियंत्रण छेड़े जा रहे लेयर से मेल खाते हैं वे हैं रजिस्ट्रार लॉक, प्लेटफ़ॉर्म मल्टी-फ़ैक्टर ऑथेंटिकेशन, मिलते-जुलते नामों पर Certificate Transparency, और एक हार्ड-फ़ेल SPF रिकॉर्ड जहाँ डोमेन कोई मेल नहीं भेजता। https://x.com/i/article/2089012676634738688
Verizon आवंटन जिसे T-Mobile के रूप में दर्ज किया गया — 23 अगस्त
5 अगस्त को एक अपनी रिपोर्ट ने क्लाइंट प्रीफ़िक्स 2600:1010:b204:: को T-Mobile-शैली का लेबल दिया। वह हैंडसेट हमेशा से Verizon का ही रहा है, मूल मालिक। ARIN NetName WIRELESSDATANETWORK दिखाता है, संगठन Verizon Business (MCICS), 6 अप्रैल 2010 को रजिस्टर्ड, जो 2600:1000:: से 2600:1017:ffff:: तक को कवर करता है। सॉफ़्ट asname और जियोलोकेशन फ़ीड्स ने अक्टूबर 2025 से उस रिपोर्ट के दिन तक T-Mobile लेबल रखा। 21 अगस्त को लाइव पुल ने Team Cymru AS6167 CELLCO-PART और RIPE AS22394 CELLCO लौटाया। आवंटन नहीं हिला था। लेख के साथ प्रकाशित कार्य क्रम इस सीरीज़ के बाकी हिस्सों के लिए भी क्रम है: पहले टूल को एट्रिब्यूट करो, फिर टेनेंट को, फिर रजिस्ट्री को। https://x.com/i/article/2091560316878671872
2023 की इन्वेंट्री, रैंक की गई — 23 अगस्त
2023 की शुरुआत में न्यूयॉर्क के Charter रेजिडेंशियल पाथ से लिए गए दो सौ चौंनबे स्क्रीनशॉट को एक रैंक किए गए सेट के रूप में आगे बढ़ाया गया: लगभग 1,450 IPv4 एड्रेस, जिनमें से लगभग 1,266 पब्लिक थे, एक स्पष्ट T1-से-T5 स्केल पर। 2026 के स्कैन ने कुछ भी खुला छोड़ने से पहले सेवाओं को बंद कर दिया। 103.235.46.191 Baidu का हांगकांग एनालिटिक्स एज है, hm.baidu.com, AS55967। 23.82.31.230 Leaseweb पर TradingView है। Boeing-रेंज वाले एड्रेस को केवल-दस्तावेज़ सूची में रखा गया। Boeing के पुर्ज़ों के व्यवसाय पर LockBit घुसपैठ की बाद की पब्लिक रिपोर्टिंग उस दस्तावेज़ी पंक्ति के साथ एक संगठनात्मक नाम साझा करती है और कोई सेशन साझा नहीं करती। Charter की फरवरी 2023 की वॉइस आउटेज, जुलाई 2023 के Storm-0558 बयान, बाद की Salt Typhoon रिपोर्टिंग, और 22 अगस्त 2023 की Leaseweb की अपनी सूचना संदर्भ विंडो हैं। https://x.com/i/article/2091569041584619520
Fastly पर GitHub — 27 अगस्त
QS-NetHarden फ़ोन टेदर पर चला। कैप्चर 26 अगस्त को 09:08 PDT पर शुरू हुआ। NetCloak ने एक नई Windows पहचान पेश की। Artillery डिकॉय ban बंद होने के साथ चालू थे। Phantom-QS ने Firefox 128 को साइकिल किया। उस सुबह हनीपॉट लॉग में कुछ भी रिमोट हिट नहीं है। DNS ही ऑपरेटर है: चैट प्रॉक्सी, GitHub का लोड बैलेंसर, Actions, Copilot, फिर release-assets.githubusercontent.com। कवरिंग प्रीफ़िक्स 185.199.108.0/22 RIPE US-GITHUB-20170413 है, संगठन GitHub, BGP ओरिजिन AS54113 Fastly। Fastly की अपनी प्रकाशित एड्रेस सूची में यह शामिल नहीं है। .133 सेट कंटेंट कैच-ऑल है। .154 सेट रिलीज़ और पैकेज हैं। Actions का फ़्रंट डोर Microsoft 13.107.42.0/24 और 13.107.43.0/24 है, और pipelines.actions उस स्कैन में 13.107.43.16 पर रिज़ॉल्व हुआ। URLhaus release-assets नाम पर मैलवेयर URL रखता है, और Harden-Runner ने इसे फ़्लैग किया है। होस्टनेम ट्रक है। अभिनेता कार्गो है और अगला हॉप है जो GitHub नहीं है। फ़ॉलो-ऑन वर्चुअल सर्वर को ब्लॉक करें। लीफ़, Fastly कैच-ऑल, Azure Front Door, क्षेत्रीय स्नैपशॉट, और सेंसर को अकेला छोड़ दें। https://x.com/i/article/2093021792923508736
एक स्नोशू लीड मिल — 29 अगस्त, 7 सितंबर को जारी
27 अगस्त को एक इनबॉक्स ने 72 बिना माँगे ऑटो-इंश्योरेंस और क्रेडिट-कार्ड संदेश, 156 अद्वितीय लिंक, 71 From डोमेन प्राप्त किए। सब्जेक्ट क्लस्टरिंग ने तीन डुप्लिकेट जोड़े बनाए। अपरिवर्तनीय बात हर बॉडी और हर लिंक में मौजूद टोकन e6jbv4z है। क्लिक एक पुराने apex पर दो-अक्षर वाले लेबल और /r के साथ हेक्स अंकों वाले PHP पाथ का उपयोग करते हैं। Policy Plug 72 में से 51 का हिसाब रखता है। Easy Insurance Match, Endurance, और Indigo व Destiny Mastercard केवल भेष हैं। एक बड़ा उपसमूह LendingTree के NMLS नंबर 1136 और Charlotte के एक स्ट्रीट एड्रेस की नकल करता है। LendingTree फ़ुटर-चोरी का शिकार है। मेल और क्लिक NForce, AS43350 पर 185.47.200.0/24 और 185.47.203.0/24 में बैठते हैं: nginx, PHP 7.4.33, 443 बंद, 25 फ़िल्टर्ड। डोमेन पुरानी Name.com इन्वेंट्री हैं। HEAD रिक्वेस्ट को सामान्य nginx 403 मिलता है। ब्राउज़र जैसी GET रिक्वेस्ट को taobmaets.com पर CAKE लैंडर, ऑफ़र a=44 और c=2701, या keycanvascanvas.com पर अनसब्सक्राइब पेज की ओर 302 मिलता है। Office फ़ाइलों के नाम वाले अटैचमेंट प्लेनटेक्स्ट हैं। ClamAV साफ़ था। एक Host हेडर, mediaignorance.com, ने /24 में सात एड्रेस से वही 52,667-बाइट बॉडी लौटाई। चार apexes पर अनरेडेक्टेड WHOIS Robert Carpino का नाम बताता है, जिसे लेखों में एक पिवट के रूप में माना गया है। CAKE ऑफ़र के पीछे का खरीदार अज्ञात है। 7 सितंबर को उसी टोकन और उसी पाथ आकार, ऑटो-इंश्योरेंस और Indigo भेष की और कटाई को AT&T के डेटाबेस में पहले से मौजूद के रूप में प्रकाशित किया गया। पोस्ट एक शेयर्ड नेमसर्वर सेट का दावा करती है और उसे प्रिंट नहीं करती। डिफेंडर कार्रवाई टोकन, पाथ, और दो NForce प्रीफ़िक्स हैं, जिन्हें abuse@nforce.com और रजिस्ट्रार को रिपोर्ट किया गया, और चुराई गई NMLS लाइन को फ़ुटर की चोरी के रूप में पहचाना गया। https://x.com/i/article/2093528643779825664 https://x.com/i/article/2093532720119083008 https://x.com/i/article/2097103637160022017
रेजिडेंशियल फ़ायरवॉल, पहला स्कैन — 5 सितंबर
AT&T रेजिडेंशियल गेटवे लॉग में 26 मिनट में 296 इवेंट, 188 अद्वितीय एड्रेस, जिनमें से 169 पब्लिक थे। यह हिस्सा एक पब्लिक IPv4 की पृष्ठभूमि विकिरण है। 31 अगस्त के कार्ड्स ने पहले ही QNAX, Recyber, Infrawatch, Xpanse, Censys, Pfcloud, और CHINANET का नाम ले लिया था। तीन निष्कर्ष नए थे। QNAX 45.140.193.187 ने 21 मिनट में WAN पर दस बार हिट किया। लेख 170 स्रोतों से 408 AbuseIPDB रिपोर्ट का हवाला देता है, सभी शत्रुतापूर्ण, और RFB 003.008 का उपयोग करके tcp/5900 पर VNC ब्रूट फ़ोर्स। qnax.sh वह VPS, RDP, और console-VNC प्रोडक्ट बेचता है। Spamhaus DROP नेट के अंदर पहला नामित इनबाउंड Pfcloud 176.65.149.233 था, 176.65.148.0/22 में, 11:58 पर। n8n.pfcloud.io 176.65.148.168 पर बैठता है। sso.pfcloud.io खुद को authentik के रूप में पहचानता है। Tamatiya और 4vendeta का 79.124.58.0/24, 79.124.49.0/24, और 78.128.114.0/24 में फैलाव में 79.124.58.90 शामिल है, जिसका रिवर्स नाम ip-58-90.superbit.host है और जिसका उपनाम urlforward.topdns.com है, वही DigitalOcean एड्रेस जो 143.198.68.197 पर ns-usa.topdns.com का है। topdns.com के पैसिव विस्तार ने 517 लेबल लौटाए, जिनमें से कई ब्रांड टकराव थे, लगभग सभी बिना एड्रेस के। नेमसर्वर अनब्लॉक्ड रहता है। प्राथमिकता होस्ट 45.140.193.187, 79.124.58.18, 79.124.58.90, 79.124.49.90, 78.128.114.46, और 78.128.114.162 हैं। वैकल्पिक नेट Tamatiya ग्राहक और संचालन हिस्से और Pfcloud 176.65.148.0/22 प्लस 204.76.203.0/24 हैं। उनके साथ अकेला छोड़ा गया: TopDNS, CriminalIP कलेक्टर, Cloudflare एज, सेंसस स्कैनर, और Telepoint 78.128.42.0/24। लेख के साथ प्रकाशित अब्यूज़ कॉन्टैक्ट abuse@qnax.com.br और noc@4vendeta.com हैं। सेंसर हॉटस्पॉट पर था। LAN को स्कैन नहीं किया गया। यह लेख पहले-हाफ़ सीरीज़ के 24 जुलाई के Tamatiya नोट पर आधारित है। 4 सितंबर का वेबसाइट पॉइंटर सीरीज़ का शीर्षक रखता है और कंपनी साइट की ओर इशारा करता है; मापन का X रिकॉर्ड यह लेख और अगला लेख है। https://x.com/i/article/2096029788624523264
रेजिडेंशियल फ़ायरवॉल, शेष — 6 सितंबर
29 अगस्त और 5 सितंबर की विंडो ने मिलकर 530 अद्वितीय इवेंट और 270 इनबाउंड पब्लिक एड्रेस दिए। यह दूसरा लेख बचे हुए 105 है, जब सेंसस स्कैनर और नामित कमर्शियल देखने वालों को अलग कर दिया गया था। जाँचे गए 108 एड्रेस में से चौहत्तर उस दिन एक पब्लिक फ़ीड में दिखे। कोई भी Feodo, SSLBL, ThreatFox, या Emerging Threats में नहीं दिखा। इक्कीस 4 सितंबर की तारीख वाले Spamhaus DROP प्रीफ़िक्स में बैठे थे, जिनमें Pfcloud /22 शामिल था। लेख 25 जून के उस विवरण का हवाला देता है जिसमें UniFi OS का शोषण 176.65.148.183 से उस प्रीफ़िक्स में शुरू किया गया था, और CISA द्वारा 23 जून को CVE-2026-34908, CVE-2026-34909, और CVE-2026-34910 को जोड़ने का ज़िक्र है। Ghosty 43.228.157.0/24 और Stormcloud 94.154.43.0/24 उसी लेख में URLhaus पर Mirai पड़ोस हैं। सबसे तेज़ शेष इनबाउंड एड्रेस अभी भी QNAX 45.140.193.187 था, जिसकी लेख में गिनती 412 रिपोर्ट थी, आखिरी बार 1 सितंबर को पोर्ट 5000 पर देखा गया। 46.146.238.1 हाई-पोर्ट ड्रॉपर के लिए एक सटीक URLhaus होस्ट है, जिसमें telnet खुला है। 195.252.206.160 पर UniFi OS में कोई एड्रेस-फ़ीड हिट नहीं था और यह SAB-067, CVE-2026-77550 से सर्विस-क्लास मैच है, जिसकी तारीख 26 अगस्त है। EMBNEX 16.5.0.0/24 आठ डंप ओरिजिन हैं; वेबसाइट embnex.com CloudFront है। असंबंधित नेट पर एक समान छोटा HTML ब्लॉब एक सिंक पेज है। सुझाव है कि नेट को ब्लॉक किया जाए। https://x.com/i/article/2096732079388299264
मैनेजमेंट नोड के लिए हॉटस्पॉट एग्रेस — 14 सितंबर
iPhone हॉटस्पॉट पर एक व्यक्तिगत डिवाइस से ट्रैफ़िक 113.176.118.150 तक पहुँचा, जिसे static.vnpt.vn और rdp.cdmt.vn नाम दिया गया है। यह एड्रेस MikroTik RouterOS 6.49.13, पोर्ट 80 पर Nginx Proxy Manager, 443 पर नाम-गेटेड HTTPS, 5009 पर पब्लिक MeshCentral लॉगिन, 8443 पर पब्लिक UniFi लॉगिन, 8080 और 8090 पर दो SSH डेमॉन, और 8088 पर एक अज्ञात CONNECT-शैली सेवा पेश करता है जिसमें CloudFront नाम d3azdm1q0gvo54.cloudfront.net शामिल था। प्रकाशित परिकल्पना एक इंटरनेट-फेसिंग गेटवे और मैनेजमेंट नोड की है। व्यक्तिगत हॉटस्पॉट से इसकी ओर जाने वाला एग्रेस तब तक अनधिकृत रहता है जब तक यह किसी ज्ञात ऐप्लिकेशन, यूज़र या डिवाइस से मैप नहीं हो जाता। https://x.com/i/article/2099540826854715392
एक पतली वेटलिस्ट — 22 सितंबर
uythjmnglk.xyz को 14 सितंबर 2026 को Dynadot पर रजिस्टर किया गया था, प्राइवेसी-प्रॉक्सीड, Cloudflare नेमसर्वर जोड़ी phoenix और wilson पर, बिना DNSSEC के। केवल apex और www जवाब देते हैं। लोकल नेटवर्क से बाहर ऐप्लिकेशन "You’re on the list" शीर्षक वाली एक वेटलिस्ट थी, जो v:897qvxac7fny03ac टोकन के तहत एक सब्सक्रिप्शन पाथ पर ईमेल पोस्ट कर रही थी। AT&T गेटवे पर उसी नाम ने एक छोटा इंटरस्टीशियल लौटाया जिसका कारण मैलवेयर था। वह पेज कैरियर है, ओरिजिन नहीं। नाम के सामने वाले दो Cloudflare एड्रेस जून 2023 की Mystic Stealer परिशिष्ट में दिखते हैं। वे शेयर्ड anycast हैं, और उस परिशिष्ट और इस रजिस्ट्रेशन के बीच तीन साल का अंतर है। उसी रजिस्ट्रार पर उसी दिन के कैसीनो और 4D नाम एक अलग नेमसर्वर जोड़ी का उपयोग करते हैं। एक पुरानी जोड़ी FanPartners एफ़िलिएट पाथ से जुड़े “A little chicken” लैंडर को होस्ट करती है। वे क्लस्टर इस सीड से दूर रहते हैं। Cloudflare एड्रेस किसी भी कैंपेन ब्लॉक लिस्ट से दूर रहते हैं। https://x.com/i/article/2101850617815908352
CAC और DEERS सूचनाएँ — 28 सितंबर
CACExpiration-DoNotReply@mail.mil से एक व्यक्तिगत Gmail पर दो सूचनाएँ आईं, 9 मार्च 2026 को और 7 मई 2026 को। मई का संदेश SPF, DKIM, और DMARC पास कर गया। DKIM d=mail.mil था, सेलेक्टर EEMSG2021v1a, पॉलिसी reject। संदेश पहचानकर्ता 214.24.21.199 पर UHIL19PA53.eemsg.mail.mil का नाम लेता है। S/MIME साइनर benefits.notifications@mail.mil है, DOD SW CA-83 द्वारा जारी, 15 अक्टूबर 2025 से 15 अक्टूबर 2028 तक मान्य। Gmail का बैनर यह है कि From और साइनर अलग हैं। दोनों मेलबॉक्स अलग हैं, और वह अंतर बैनर उत्पन्न करने के लिए पर्याप्त है। बॉडी कहती हैं कि दो पहचान दस्तावेज़ गायब हैं और प्राप्तकर्ता को RAPIDS पर जाकर उन्हें अपलोड करने को कहती हैं, मार्च में 120-दिन की समयसीमा और मई में 60-दिन की समयसीमा, 6 जुलाई तक। कोई दस्तावेज़ जमा नहीं किया गया। कार्ड काम करता रहा।
लेख जिस आधिकारिक कार्यक्रम का हवाला देता है वह जनवरी 2026 में DMDC सूचनाओं से शुरू हुआ। अगस्त तक लगभग 215,000 सक्रिय और रिज़र्व सदस्य अनुपालन से बाहर थे। सेना ने लगभग 111,000 कार्ड की समीक्षा की थी, 2 सितंबर तक कोई रद्द नहीं किया गया था। जुलाई में लगभग 21,500 मरीन अभी भी कम थे। 8 सितंबर को प्रकाशित 3 सितंबर की एक आधिकारिक लाइन एक प्रशासनिक रिकॉर्ड अपडेट का वर्णन करती है, जिसमें गायब दस्तावेज़ों के लिए कोई धोखाधड़ी और कोई ब्रीच का दावा नहीं किया गया। MARADMIN 393/26 को व्यक्तिगत रूप से दो मूल दस्तावेज़ चाहिए। मार्च की बॉडी ने अपलोड कहा था।
लेख जिस क्लास को शब्दावली (vocabulary) कॉलम में रखता है, वह एक ऐसी बॉडी है जिसे साइनर पर या उससे पहले पेश किया गया था, इसलिए जाँच अभी भी पास हो जाती है। Gmail के सत्यापन के बाद रीराइट बाहर है, क्योंकि DKIM पास हो गया। न तो कोई मूल संदेश फ़ाइल और न ही कोई सिग्नेचर हिस्सा हाथ में था। मेल होस्ट AS345, 214.24.21.0/24 है, जो 1998 का एक Defense Network Information Center ब्लॉक है। www.cac.mil Akamai पर एक नाम है, जिसके पते 23.62.46.164 और 23.62.46.182 हैं, जो 403 का जवाब दे रहे हैं, और उस एज पर मौजूद सर्टिफिकेट www.cac.mil को pentagon, defense और department नामों के एक समूह के साथ रखता है। DMDC एप्लिकेशन idco, myaccess, और pki AS27064 पर अलग-अलग 214 पतों पर रिज़ॉल्व होते हैं, जिनमें 214.16.194.24 पर pki.dmdc.osd.mil शामिल है। मेल प्रीफ़िक्स और उन एप्लिकेशन प्रीफ़िक्स के बीच कुछ भी साझा नहीं है। एक जियोलोकेशन प्रोडक्ट 214 क्वेरीज़ को कोलंबस, ओहायो में रखता है। दूसरा उन्हें वर्जीनिया के रोज़ हिल में रखता है। यह एक ही अलोकेशन है।
तीन आसन्न रिकॉर्ड अपनी-अपनी लेन में रहते हैं। 20 जुलाई की email.usfhp.net पर एक मार्केटिंग पेज US Family Health Plan की असली संपत्ति है जिसमें सामान्य HubSpot-क्लास मापन है। 18 सितंबर की तारीख वाला एक फ़ाइल-शेयर पत्र अक्टूबर 2025 से 16 जुलाई 2026 तक अनएन्क्रिप्टेड एक्सेस का वर्णन करता है, जिसे 16 जुलाई को खोजा गया, और लेख इसे इस From लाइन से नहीं जोड़ता। 4 सितंबर की IDScan सूचना ग्राहक क्लाउड खातों से संबंधित है। लगभग चालीस लाख और 6 करोड़ रिकॉर्ड की गिनतियों को लेख में पीड़ित कुल के रूप में खारिज कर दिया गया है। https://x.com/i/article/2104388574397554688
डिस्कार्ड के सत्रह मिनट — 3 अक्टूबर
3 अक्टूबर को 05:55 से 06:12 तक प्रिंट किए गए एक रेज़िडेंशियल डिस्कार्ड एक्सपोर्ट में 234 पंक्तियाँ, 110 विदेशी पते और 166 हिट-इंक्रीमेंट थे। हर पंक्ति एक ड्रॉप है, और एक्सपोर्ट में कोई डेस्टिनेशन पोर्ट नहीं है। एक बाद की रीडिंग जो विंडो को लगभग पाँच घंटे आगे खिसकाती है, एक अलग घड़ी पर वही घटना है। 57 स्कैनर हिट्स में से इक्यावन को इंटरनेट-व्यापी सर्वे प्रोजेक्ट्स का नाम दिया गया है: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid, Nokia Deepfield, और उनके पड़ोसी। अगस्त की दस सटीक पते दोहराए गए हैं, जिनमें 4vendeta 79.124.49.90, SS-Net 80.94.95.226, Ghosty 43.228.157.10, और Amarutu 89.42.231.200 शामिल हैं। QNAX और Recyber इस विंडो में अनुपस्थित हैं। ज्ञात नेट्स के नए सदस्यों में Pfcloud 204.76.203.4 और Stormcloud 94.154.43.203 शामिल हैं। Stormcloud /24 पर मैलवेयर नाम सहोदर (sibling) पतों पर बैठते हैं। जिस पते ने लॉग को छुआ वह डिस्कार्ड है, और परिवार का नाम उसी सहोदर पर रहता है जहाँ उसे वास्तव में दर्ज किया गया था।
आठ UDP पॉलिसी ड्रॉप्स 20 सितंबर की प्रॉक्सी-लिस्ट जाँच की पूँछ हैं, वे पैकेट जो निगरानी वाले नेटवर्क ने भेजे थे। Amazon की दो इनवैलिड-पैकेट पंक्तियों में कोई थ्रेट-लिस्ट हिट नहीं है। उसी सुबह एक अलग टेदर एनरिचमेंट सामान्य कैरियर और कंटेंट पाथ है: Verizon, Comcast, Lumen, Cogent, Google, और Cloudflare। जो सेशन खुद को स्पष्ट नहीं करता वह 87.250.250.108 है, जिसका नाम cloud.yandex.ru है। ताज़ा लिस्ट मैच में एकमात्र Spamhaus DROP हिट 140.222.0.0/16 के अंदर 140.222.19.75 और 140.222.19.77 है, SBL693942, जिसे पुरानी NSFNET स्पेस पर एक हाईजैक पैटर्न के रूप में पढ़ा गया और होस्ट ब्लॉक लिस्ट से बाहर रखा गया। मापन प्रोजेक्ट्स, बुलेटप्रूफ स्कैनर्स, और ऑपरेटर के अपने टूल्स को एक इंडिकेटर लिस्ट में मिलाना एक घटना गढ़ देता है। https://x.com/i/article/2106513298426597376
Yandex Compute, सार्वजनिक रिकॉर्ड के खिलाफ — 4 अक्टूबर
प्रचलन में एक शुरुआती दावे ने कहा कि रूसी राज्य Yandex Cloud गेस्ट्स को पढ़ता है, इसके लिए वह की कस्टडी, हाइपरवाइज़र एक्सेस, साइलेंट डिस्क क्लोन, एक पिन्ड कोर मैप, एक कस्टम स्टोरेज डेमन, और शेड्यूलर पर लॉफुल-इंटरसेप्ट फीड को मिलाता है। लेख उस दावे को Yandex के अपने कंप्यूट दस्तावेज़ों और इस होस्ट पर पहले से मौजूद चीज़ों के सामने रखता है। डिफ़ॉल्ट डिस्क एन्क्रिप्शन एक प्लेटफ़ॉर्म की का उपयोग करता है। एक ग्राहक की अभी भी Yandex की की सेवा में रहती है, और इसे अक्षम करना एक किल स्विच है। गेस्ट मेमोरी QEMU प्रक्रिया की सामान्य मेमोरी है, इसलिए होस्ट का ऑपरेटर चल रहे गेस्ट के समान ट्रस्ट बाउंड्री की तरफ है। कोई libvirt नहीं है। लाइव माइग्रेशन, डेडिकेटेड होस्ट्स, और QEMU बिल्ड्स का सेम-होस्ट स्विच प्रकाशित प्रोडक्ट व्यवहार हैं। एक host-id पिन लाइव माइग्रेशन को अक्षम करता है और कंप्यूट API के माध्यम से एक ऐसे प्रिंसिपल द्वारा लिखा जाता है जो पहले से इंस्टेंस को अपडेट कर सकता है। गेस्ट इंटरफ़ेस उस राइट को नहीं ले जाता। उद्धृत पृष्ठ जो नहीं दिखाते हैं वह हाइपरवाइज़र कंट्रोल सॉकेट, शेड्यूलर विकल्पों, या होस्ट-एफ़िनिटी नियमों के लिए लॉफुल-इंटरसेप्ट सब्सक्रिप्शन है, और वे व्यापक निबंध में साइलेंट क्लोन, फिक्स्ड कोर मैप, कस्टम डेमन, या टनल्ड पाथ को नहीं दिखाते। yandex वाले स्थानीय रिवर्स नामों की सूची बनाई गई। 45.87.42.74 अगस्त का qloudhost सेल्स फ़ार्म बना हुआ है, एक अलग नाम। 87.250.250.108, डिस्कार्ड हिस्से का अस्पष्ट सेशन, उस पहले टेबल में अनुपस्थित था। पंजीकरण क्लाउड ऑब्जेक्ट्स पर Yandex.Cloud LLC को एंटरप्राइज़ नेटवर्क पर YANDEX LLC से अलग करता है। पूर्ण API सर्टिफिकेट Yandex, Moscow, GlobalSign हैं। एक विज्ञापन नाम में अभी भी 77.88.21.179 पर एक डैंगलिंग रिवर्स पॉइंटर है। https://x.com/i/article/2106548730942152704
एक अवैतनिक Coinbase-Card लालच — 9 अक्टूबर
दो Telegraph पृष्ठ, telegra.ph/NCO-09-27 और graph.org/UIN-10-05, एक continue लिंक साझा करते हैं। दोनों 149.154.164.13 पर बैठते हैं। वे 27 सितंबर और 5 अक्टूबर को प्रकाशित हुए थे। लिंक 107.189.20.230 पर rss2.sayler.at/go/337413/z274x264 है, और यह 31.59.121.53 पर 97ee1.ralind.at पर एक Coinbase Card किट की ओर रीडायरेक्ट करता है। किट की अपनी स्क्रिप्ट इंडेक्स से लेकर फ़ास्ट-पे पेज तक 22 चरणों का नाम बताती है। 6 अक्टूबर की एक मूल पोस्ट उस गिनती को बताती है और उन्हीं 22 फ़ाइलनामों को प्रिंट करती है। पृष्ठ $39,437.16 का बैलेंस दिखाते हैं। स्क्रिप्ट्स को अंतिम बार 26 अगस्त 2026 को संशोधित किया गया था। ग्यारह फ़ी कोड नामित हैं। केवल y2a4u234, $58 वाली इंटरबैंक लाइन का अनुसरण किया गया, 31.57.29.11 पर bitpays.at तक, स्ट्रीम 4374w2। 9 अक्टूबर को 03:45 GMT पर एक सिंथेटिक सबमिशन ने 172.81.177.1 पर btcpay369329.lndyn.com पर एक BTCPay इनवॉइस, 6QTpVwNe9CynFTXZFJE8Yk की ओर रीडायरेक्ट लौटाया। स्थिति New। अठावन डॉलर, 0.00070469 BTC, दर $82,306.45, पता bc1qexqsudur4860kva5789qcvkmpdk4j9wrfrsmzy। पेड-चेक ने शून्य लौटाया। कोई भुगतान नहीं भेजा गया।
ip-api किट को पेरिस में और पेफ़ॉर्म को रिगा में रखता है। QuantumGuard और ओरिजिन रजिस्ट्री 31.57.29.0/24 को संयुक्त अरब अमीरात, AS56971 में रखते हैं। sayler.at, ralind.at, और bitpays.at DNSPod का उपयोग करते हैं। 6 अक्टूबर का नोट, उस ऑब्जेक्ट पर जो SOA सीरियल 1789107920 रखता है, उस ऑब्जेक्ट को AS14956, RouterHosting और FranTech के तहत ज़ानडम में रखता है। 9 अक्टूबर का लेख उस प्लेसमेंट को नहीं दोहराता। Telegraph के नेमसर्वर, graph.org के लिए GoDaddy के नेमसर्वर, और DNSPod पते साझा DNS हैं। 144.31.93.214 इस चेन से बाहर है। 15 अगस्त का निबंध और यह लालच दोनों Coinbase शब्द का उपयोग करते हैं। निबंध का उदाहरण एक फ़ोन इम्पर्सनेशन क्रू है। यह हिस्सा एक पेज, एक ट्रैकर, एक कार्ड किट, और एक इनवॉइस है जो अवैतनिक रहा। https://x.com/i/article/2108597864108871681
समापन स्थिति
दो सूचियाँ इस श्रृंखला को बंद करती हैं। पहली वे तरीके हैं जिनका Quantitative Security ने उपयोग किया। दूसरी वे तरीके हैं जिन्हें हिस्सों ने मैप किया, प्रत्येक के साथ वह समूह, टेनेंट, या क्लास जो हिस्से ने उस पर रखा। निबंध के उदाहरण 15 अगस्त के निबंध के अंतर्गत रहते हैं। सहोदर टैग सहोदर पते पर रहते हैं। सर्वे प्रोजेक्ट मापन बकेट में रहते हैं। जहाँ कोई हिस्सा किसी समूह का नाम नहीं बताता, वहाँ लाइन टेनेंट, नेट, या क्लास पर समाप्त होती है।
उपयोग किए गए तरीके
- बैनर, सर्टिफिकेट और लिस्निंग सेवाओं पर संरचित बाहरी पास, जहाँ परित्यक्त संपत्तियों को उत्पादन वॉल्यूम से अलग किया गया।
- सोशल इंजीनियरिंग द्वारा खोला गया एक विज़िटर एंगेजमेंट, फिर ओपन-सोर्स एनरिचमेंट द्वारा विस्तारित। केवल टोह (Reconnaissance)।
- रिवर्स-IP, WHOIS और रजिस्ट्री पुल, मेल-ऑथेंटिकेशन रिकॉर्ड, और एक पैकेट कैप्चर जिसे उन पतों के खिलाफ जाँचा गया जिनका नाम उन रिकॉर्ड्स ने बताया।
- कंपनी का अपना डोमेन, उसी ओपनिंग से गुज़ारा गया जिसका उपयोग कोई बाहरी शिकारी करता, जिसमें सेल्फ-रिकॉन को सेंसर नॉइज़ के रूप में रखा गया।
- ARIN, RIPE, और Team Cymru के खिलाफ जाँचे गए सॉफ्ट जियोलोकेशन और asname फीड्स। क्रम है टूल, फिर टेनेंट, फिर रजिस्ट्री।
- एक रैंक किया गया ऐतिहासिक इन्वेंट्री, किसी भी सार्वजनिक घटना के उससे जुड़ने से पहले सर्विस आइडेंटिटी के लिए बंद।
- ऑन-पाथ DNS और हनीपॉट लॉग, इस तरह पढ़े गए कि कंपनी के अपने सेशन रिमोट हिट्स से अलग रहें।
- एक अपरिवर्तनीय टोकन पर कम की गई मेल, ब्राउज़र GET के खिलाफ सेट किया गया HEAD रिक्वेस्ट, और प्रीफ़िक्स भर में हैश किया गया एक साझा वर्चुअल-होस्ट बॉडी।
- AbuseIPDB, Spamhaus DROP, URLhaus, Feodo, SSLBL, ThreatFox, और Emerging Threats के खिलाफ कम किए गए रेज़िडेंशियल डिस्कार्ड, जिसमें पैसिव नेम एक्सपैंशन नेमसर्वर को ब्लॉक लिस्ट से बाहर छोड़ता है।
- हॉटस्पॉट एग्रेस को एक एसोसिएशन के रूप में रखा गया, और फ़ॉलो-अप मापन को पहले सेशन से अलग समय पर रखा गया।
- रजिस्ट्रार, नेमसर्वर जोड़ी, और कैरियर इंटरस्टिशियल को ओरिजिन कंटेंट से अलग किया गया।
- SPF, DKIM, DMARC, और S/MIME को एक साथ पढ़ा गया, और जब साइन किया गया मूल हाथ में नहीं था तो एक क्लास पर रखा गया।
- एक डिस्कार्ड एक्सपोर्ट को सर्वे प्रोजेक्ट्स, दोहराए गए शत्रुतापूर्ण नेट्स, कंपनी के अपने पैकेट, और उस सेशन में बाँटा गया जो खुद को स्पष्ट नहीं कर सका।
- एक व्यापक दावे के खिलाफ पढ़े गए वेंडर कंप्यूट दस्तावेज़, जिसमें असमर्थित खंडों को निष्कर्ष से बाहर रखा गया।
- ट्रैकर, किट, एक फ़ी कोड, और एक सिंथेटिक अवैतनिक इनवॉइस के माध्यम से अनुसरण की गई लालच श्रृंखला। कोई भुगतान नहीं भेजा गया।
मैप किए गए तरीके, और प्रत्येक पर नाम
- अवशिष्ट क्लाउड सेवाएँ और अल्पकालिक प्रमाणित प्रॉक्सी। अवशिष्ट ब्रांड GENIEX हैं, Dragon Raja सहित गेम टाइटल, और चिकित्सा-सौंदर्य तथा सेकंड-हैंड कार साइट्स का एक पतला लाओस-लिंक्ड सेट।
- विज़िटर-इंफ्रास्ट्रक्चर हार्वेस्ट। शुरुआती पते को ईरान में जियोलोकेट किया गया था, और लेख लेबल को वहीं छोड़ देता है। बेसलाइन Thornhill, Ontario की GoCodeIT Inc. का नाम बताता है; rejekibet.com और उस ब्रांड के आसपास के घोटाला क्लोन; और geniex.com जो विंड-डाउन में है।
- ब्रांड-नाम स्वास्थ्य-योजना बिक्री, और एक साइट जिसे पहले से फ़िशिंग के रूप में वर्गीकृत किया गया है, साझा होस्टिंग पर। संबद्ध नाम रजिस्ट्रेंट हैं। Fabiola Silva Souza और Fabiola Silva Souza Seguros Ltda मुख्य पोर्टफोलियो रखते हैं। Roger Oliveira da Silva और Leonildo Quintiliano ब्रिज साइट पर बैठते हैं। Tiago Ferreira Pena एक आसन्न रजिस्ट्रेंट है। Christian von Langermann shelleasternpetroleum.ae का रजिस्ट्रेंट है, एक सह-टेनेंट। OpenDNS, Cloudflare, और DNS4EU ने vendasbradescosaude.com.br को फ़िशिंग के रूप में वर्गीकृत किया। उसी नोड पर फ़ेक-बैंक, कैसीनो, और वॉलेट-कनवर्टर पेज पड़ोसी बने हुए हैं।
- ट्रस्टेड-एज इमिटेशन: Squarespace, Cloudflare, Vercel, GitHub Pages, या AWS Global Accelerator पर पार्क किया गया एक हमशक्ल या एक मनमाना नाम। 198.49.23.145 पर ऐतिहासिक Cobalt Strike और Mozi URL उस anycast के अन्य टेनेंट हैं।
- क्षमता स्तर, 15 अगस्त के निबंध में। ये नाम निबंध के उदाहरण हैं। Man hands, जिसे Tiffany M. भी कहा जाता है: हार्डवेयर-वॉलेट और एक्सचेंज-सपोर्ट इम्पर्सनेशन, स्पूफ़ किया गया BitcoinIRA मेल। Dritan Kapllani Jr. John Daghita, जिसे Lick कहा जाता है, U.S. Marshals Service द्वारा जब्त वॉलेट के खिलाफ। The Greavys, Wiz, और Box क्रू, एक Genesis लेनदार के खिलाफ। Lazarus, फरवरी 2025 की Bybit चोरी। UAC-0145, निबंध में Sandworm / APT44 से जुड़ा: नकली नौकरी साक्षात्कार, जिसमें डिलीवरी के रूप में VPN कॉन्फ़िगरेशन था। Laundry Bear: सरकार, रक्षा, और महत्वपूर्ण बुनियादी ढाँचे के खिलाफ रूस-लिंक्ड क्रेडेंशियल्स।
- मैलवेयर URL एक GitHub रिलीज़ होस्टनाम पर ले जाए गए जिसका BGP ओरिजिन Fastly है। मैप किया गया तरीका एक विश्वसनीय होस्टनाम पर कार्गो है। ब्लॉक फ़ॉलो-ऑन वर्चुअल सर्वर है।
- Snowshoe लीड जनरेशन। वेश Policy Plug, Easy Insurance Match, Endurance, और Indigo and Destiny Mastercard हैं। LendingTree एक चोरी किए गए NMLS फ़ुटर का शिकार है। मेल और क्लिक NForce, AS43350 पर बैठते हैं। अनरेडेक्टेड WHOIS Robert Carpino को एक पिवट के रूप में नामित करता है। CAKE ऑफ़र 2701 के पीछे का खरीदार अज्ञात है।
रेज़िडेंशियल स्कैनिंग और शत्रुतापूर्ण होस्टिंग।
- QNAX। VPS, RDP, और कंसोल VNC बेचता है। 45.140.193.187 पर मैप किया गया तरीका tcp/5900 पर RFB ब्रूट फ़ोर्स है।
- Pfcloud। एक Spamhaus DROP प्रीफ़िक्स के अंदर, जिसमें n8n और authentik का नाम उस नेट पर है। 25 जून का एक खाता उसी /22 में 176.65.148.183 पर UniFi OS शोषण को रखता है। CISA की 23 जून की प्रविष्टियाँ CVE-2026-34908, CVE-2026-34909, और CVE-2026-34910 का नाम बताती हैं, जिन्हें हिस्से में Mirai-क्लास लोडर के रूप में वर्णित किया गया है।
- Tamatiya और 4vendeta। ग्राहक और संचालन स्लाइस के पार स्प्रे। TopDNS फ़ॉरवर्डर बना रहता है। Recyber अगस्त के कार्ड्स पर है और 3 अक्टूबर की विंडो से अनुपस्थित है।
- Ghosty 43.228.157.0/24 और Stormcloud 94.154.43.0/24। URLhaus पर नामित Mirai पड़ोस। Stormcloud /24 पर आगे के टैग, जिनमें ApexBot और LummaStealer शामिल हैं, सहोदर पतों पर बैठते हैं। 94.154.43.203 वह पता है जिसने अक्टूबर के लॉग को छुआ।
- Stealc, MooBot, Vidar, और XWorm। 193.233.198.28 पर स्कैनर से अलग स्वायत्त प्रणालियों पर, अन्य 193.233 होस्ट्स पर नामित।
- 46.146.238.1। एक हाई-पोर्ट ड्रॉपर के लिए सटीक URLhaus होस्ट, जिसमें telnet खुला है।
- 195.252.206.160 पर UniFi OS। SAB-067, CVE-2026-77550 से एक सर्विस-क्लास मैच।
- EMBNEX। आठ डंप ओरिजिन। embnex.com CloudFront है।
- उन्हीं लॉग्स में सर्वे प्रोजेक्ट्स: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid, और Nokia Deepfield। उस मापन सेट में दोहराए गए नेट-नामों में SS-Net और Amarutu शामिल हैं।
- एक पते पर इंटरनेट-फ़ेसिंग प्रबंधन सेवाएँ: MikroTik RouterOS, Nginx Proxy Manager, MeshCentral, और UniFi।
- प्राइवेसी-प्रॉक्सी वाले Dynadot नाम पर एक दिन की वेटलिस्ट। हिस्सा किसी समूह का नाम नहीं बताता। Mystic Stealer जून 2023 के परिशिष्ट के रूप में प्रकट होता है जिसने उन्हीं Cloudflare anycast पतों की सूची दी थी। FanPartners और "A little chicken" लैंडर एक अलग नेमसर्वर जोड़ी का उपयोग करते हैं।
- एक Defense Network Information Center होस्ट पर SPF, DKIM, और DMARC पास करने वाली मेल, जिसमें From लाइन और S/MIME साइनर अलग हैं। लेख में कार्यक्रम DMDC आइडेंटिटी-प्रूफ गैप है। मैप किया गया क्लास एक ऐसी बॉडी है जिसे साइनर पर या उससे पहले पेश किया गया था। सितंबर का फ़ाइल-शेयर पत्र अपनी तारीखों पर ही रहता है।
- Yandex Cloud गेस्ट्स को पढ़ने के बारे में एक व्यापक दावा। दस्तावेज़ एक प्लेटफ़ॉर्म एन्क्रिप्शन की, एक ग्राहक की का समर्थन करते हैं जो Yandex की अपनी की सेवा के अंदर एक किल स्विच बनी रहती है, और गेस्ट मेमोरी QEMU प्रक्रिया की सामान्य मेमोरी के रूप में। 87.250.250.108, जिसका नाम cloud.yandex.ru है, वह सेशन बना रहता है जिसे डिस्कार्ड हिस्सा स्पष्ट नहीं कर सका।
- एक बहु-चरणीय कार्ड लालच: दो Telegraph पृष्ठ, एक ट्रैकर, एक 22-चरणीय किट, एक फ़ी-कोड पेफ़ॉर्म, और एक BTCPay इनवॉइस जो अवैतनिक छोड़ दिया गया। 15 अगस्त का Coinbase उदाहरण निबंध का फ़ोन-इम्पर्सनेशन क्रू, Man hands बना हुआ है। यह हिस्सा पेज, ट्रैकर, किट, और अवैतनिक इनवॉइस है।
