Quantitative Security ha dedicato il periodo dal 31 luglio al 9 ottobre 2026 alla serie pubblica che la revisione di metà anno aveva costruito gli strumenti per produrre. La serie va dalla ricognizione del cloud-range del 31 luglio all'esca della carta Coinbase non pagata del 9 ottobre, pubblicata come contenuti long-form TLP:CLEAR su X. Agosto ha rivolto il metodo verso l'interno: un vicino GitHub è stato ricondotto a un'identità di vendita di piani sanitari, il dominio stesso dell'azienda è stato misurato come target esterno e un anno di etichette degli operatori telefonici è stato confrontato con il registro. Settembre ha applicato la stessa riduzione a un firewall residenziale e a una singola snowshoe mill, mantenendo le piattaforme su cui si basavano quei casi in una classe a sé stante. Ottobre ha separato un log di scarto in misurazione, reti ostili note e strumenti propri dell'azienda, ha verificato un'affermazione più ampia su Yandex Compute rispetto ai documenti del fornitore e ha seguito un kit di carte fino a una fattura rimasta insoluta.
Ogni prodotto trasforma telemetria grezza e fonti aperte in un risultato attribuito, prioritizzato e pronto per la difesa. Un nome viene associato solo dove il pezzo lo associa. La piattaforma, il tenant, il progetto di indagine e una firma che li attraversa mantengono la classe assegnata loro dal pezzo. La posizione finale elenca i metodi utilizzati, i metodi mappati e il gruppo, tenant o classe che si basa su ciascuno di essi.
La serie di report
Superficie cloud residua — 31 luglio
Un passaggio esterno strutturato su circa 115 indirizzi ha distinto produzione live, servizi residui e asset abbandonati. L'hosting condiviso turco su 104.247.165.210 (silaoglu.com, con banner mt-rohan.guzelhosting.com) presentava uno stack mail e web completo: Pure-FTPd, Dovecot, Exim, MySQL e LiteSpeed, affiancati da proxy SOCKS5 e HTTP autenticati e certificati a breve durata. Il volume maggiore risiedeva nello spazio Tencent e Aceville ed era strettamente filtrato. La minoranza che rispondeva costituiva la superficie residua: Nginx Proxy Manager sulla porta 81, un'applicazione Next.js live sotto /arena, proxy autenticati su porte alte, Windows Remote Desktop con hostname in stile interno e certificati residui per un marchio eSIM GENIEX e per brand di giochi indonesiani e vietnamiti, incluso un titolo Dragon Raja ancora servito da un datato Jetty. Un piccolo insieme legato al Laos su un indirizzo Tencent presentava siti in lingua cinese di medicina estetica e auto usate con un'impronta pubblica minima. Il prodotto è la stessa separazione che la revisione di metà anno aveva applicato all'edge di Google. I volumi di produzione e i servizi abbandonati sono risultati diversi, e solo il secondo rappresenta un problema di blocco e hardening. https://x.com/i/article/2083245764969635841
Ingaggio di Protective Intelligence — 1 agosto
L'ingaggio è iniziato quando un indirizzo mascherato, geolocalizzato in Iran, ha visitato l'infrastruttura di Quantitative Security. L'ingegneria sociale di quell'interazione ha intrappolato un insieme di indirizzi, espanso attraverso un sito creato ad hoc che raccoglieva l'infrastruttura dei visitatori. La baseline pubblicata cita GoCodeIT Inc. di Thornhill, Ontario, su proxy autenticati a 65.111.5.29 e 74.119.149.79; un CloudPanel 2.5.2 esposto a 103.255.134.61 per technofaq.org; un CodePushServer in stile Microsoft a 152.32.169.33 sulla porta 8888; rejekibet.com come piattaforma di gioco d'azzardo indonesiana con denaro reale, circondata da cloni truffaldini del brand; Windows Remote Desktop esposti su Internet, incluso 38.107.237.68; geniex.com come operazione nigeriana di SIM virtuali in fase di chiusura, con il dominio stesso che risolveva su AWS; e acmmanufacturer.com, precedentemente su spazio Tencent residuo e poi spostato su Zenlayer tramite chukouplus.com. Gli host proxy in 104.207.0.0/16 richiedevano autenticazione, presentavano certificati di circa sette giorni e restituivano 404 sui percorsi admin sondati. I listener zeus-admin restavano filtrati. Un'etichetta di geolocalizzazione sull'indirizzo iniziale segna l'inizio dell'ingaggio. L'articolo non assegna alcun gruppo statale nominato. Il dataset è stato chiuso come baseline per la seconda metà dell'anno. https://x.com/i/article/2083388096285179904
Dal load balancer GitHub a una farm di vendita di piani sanitari brasiliani — 8 agosto
Una sessione hotspot del 7 agosto con QuantumGuard e una cattura sono partite da una pull request GitHub e dal reverse-IP del load balancer di Seattle 140.82.116.3 (lb-140-82-116-3-sea.github.com). Quell'indirizzo ospitava in co-hosting coindream.site: web su GitHub, SPF mail puntato su UltaHost cp5 159.100.6.5, creato il 23 gennaio 2026, registrante con privacy, DNS Namecheap. La cattura non conteneva pacchetti verso gli indirizzi del caso successivo. UltaHost deteneva circa 500 nomi, tra cui shelleasternpetroleum.ae registrato a Christian von Langermann, oltre a gamingcomission.co, antifraud.click, aranttru.com e pinupcasinorussia.click. Le porte web sono state poi filtrate su cPanel alle 2082 e 2083. pro114.dnspro.com.br a 187.33.241.58 esponeva uno stack completo di mail e pannello e MariaDB 10.11.18 pubblico.
Il nodo principale è shared.qloudhost.com a 45.87.42.74, una farm brasiliana di vendita di piani sanitari attiva dal 2017 al 2025 che utilizzava i marchi Bradesco, Amil, Unimed e SulAmérica. Il WHOIS del portafoglio principale indica Fabiola Silva Souza, handle FASSO283, casella postale presso saudeperfeita.com.br. I registri pubblici nell'articolo corrispondono al CNPJ 40.950.276/0001-55, Fabiola Silva Souza Seguros Ltda, Mococa, San Paolo, aperto il 23 febbraio 2021. Il sito ponte saudeperfeita.com.br è su HostGator a 162.241.2.92, con utenti WordPress admin e nildo, collegati nell'articolo a Roger Oliveira da Silva di Agência Unit e a Leonildo Quintiliano. Tiago Ferreira Pena è un registrante adiacente sugli stessi nameserver. Lo stesso nodo ospitava anche pagine di banche false, registrazioni per casinò e convertitori Paysafe e Neosurf. QloudHost promuove hosting per casinò. I nameserver condivisi e la casella saudeperfeita collegano gli operatori dei piani sanitari. La co-tenancy sul nodo non estende tale identità ai tenant finanziari o di gioco d'azzardo. vendasbradescosaude.com.br è rimasto sull'indirizzo qloud anche dopo che OpenDNS, Cloudflare e DNS4EU lo avevano classificato come phishing. Rimangono aperti nel pezzo: l'intero portafoglio registro.br, l'URL originale della pull request e i pivot secondari su von Langermann. https://x.com/i/article/2085939414463631360
Il proprio dominio come target esterno — 15 agosto
Dal 9 al 14 agosto, quantitativesecurity.org è stato esaminato con le stesse mosse iniziali che userebbe un hunter esterno. L'origine era pulita. L'hosting è un anycast multi-tenant Squarespace, con il set p07 di NS1 più DNS Squarespace, Let's Encrypt sui nomi dei clienti e un 403 dagli indirizzi nudi che trasportava un certificato DigiCert per *.squarespace.com. nmap riportava un'implementazione Go net/http mentre l'header Server indicava Squarespace. Quella coppia è un singolo edge descritto a due livelli. Circa 1.900 nomi .academy condividono la piattaforma. Gli indicatori di classe Gophish sono stati testati e risultavano assenti. QuantC e QuantumGuard hanno registrato l'auto-ricognizione come rumore di piattaforma, che è la ground truth di cui questi sensori hanno bisogno. Il rischio residuo materiale è l'identità: nessun MX, nessun SPF, nessun DMARC e una registrazione in scadenza a settembre 2026. Un'origine pulita il cui canale mail non è firmato resta comunque una superficie di attacco. https://x.com/i/article/2088437251508436992
Livelli di capacità — 15 agosto
Un saggio complementare separa le crew criminali dagli attori supportati da stati nazionali in base alle tattiche e ai dollari cumulativi, e riserva una terza categoria al lavoro di esposizione che non sottrae nulla. All'estremità inferiore, l'esempio mappato dal saggio è un chiamante noto come Man hands, chiamata anche Tiffany M.: impersonificazione di wallet hardware e supporto exchange, almeno 5 milioni di dollari, Trezor e Coinbase, mail BitcoinIRA falsificate, pannelli forniti da associati, sicurezza operativa debole. Quella cifra è il totale dei furti attribuiti dal saggio a quel chiamante. Esempi di livello medio nello stesso pezzo sono Dritan Kapllani Jr. con circa 19 milioni di dollari e John Daghita, detto Lick, con oltre 46 milioni di dollari provenienti da wallet sequestrati dall'U.S. Marshals Service, con un'attività sospetta più ampia stimata dal saggio oltre i 90 milioni di dollari, poi arrestato. L'esempio criminale di livello superiore è la crew Greavys, Wiz e Box, con circa 243 milioni di dollari sottratti a un singolo creditore Genesis. Gli esempi statali sono Lazarus e il furto Bybit del febbraio 2025 di circa 1,5 miliardi di dollari; UAC-0145, collegato nel saggio a Sandworm / APT44, che utilizza finti colloqui di lavoro contro professionisti IT ucraini e una configurazione VPN come vettore di consegna; e Laundry Bear, descritto come uso legato alla Russia di credenziali compromesse contro governo, difesa e infrastrutture critiche. https://x.com/i/article/2088672299868377088
Il vicinato .academy — 17 agosto
Il reverse-IP della quartina connect di Squarespace ha compilato 2.020 nomi vicini. 1.898 terminavano in .academy e 1.767 di questi risolvevano ancora solo verso 198.49.23.144, 198.49.23.145, 198.185.159.144 e 198.185.159.145, AS53831. Cinquantaquattro indirizzi unici sono apparsi nell'intero set. Quaranta su quaranta nomi Squarespace campionati restituivano l'header Squarespace e un cookie crumb. I report di abuso e gli URL storici di malware offline su 198.49.23.145, inclusi percorsi Cobalt Strike e Mozi, vengono associati nell'articolo ad altri tenant sullo stesso edge condiviso. Il confine di proprietà è il nome del brand e i quattro indirizzi connect ufficiali. I nomi scolastici restano fuori dalla block list. La reputazione che si basa sull'indirizzo anziché sull'hostname è un costo della piattaforma, e viene documentata come tale. https://x.com/i/article/2089015652753502208
Il layer di identità — 17 agosto
La famiglia di registrar dello stesso dominio, i nameserver doppi e i quattro indirizzi anycast costituiscono la baseline legittima, e sono la superficie che un imitatore copia. Squarespace, Cloudflare, Vercel, GitHub Pages e AWS Global Accelerator portano già con sé la reputazione, gli header e le autorità di certificazione. Un Host estraneo fallisce comunque in modo chiuso, quindi un semplice blocco degli indirizzi genera rumore. Le leve citate nell'articolo si trovano presso il registrar: un trasferimento, un cambio di nameserver, l'igiene dei contatti e una registrazione datata, poi un nome simile o un nome arbitrario parcheggiato sull'edge fidato. Dodici dei ventisette apici .academy anomali nel conteggio complementare erano registrati presso Squarespace Domains e ospitati altrove. I controlli che corrispondono al layer manipolato sono il blocco del registrar, l'autenticazione multi-fattore della piattaforma, la Certificate Transparency sui nomi simili e un record SPF hard-fail dove il dominio non invia posta. https://x.com/i/article/2089012676634738688
Un'allocazione Verizon registrata come T-Mobile — 23 agosto
Il 5 agosto un report interno ha etichettato il prefisso client 2600:1010:b204:: come in stile T-Mobile. Il dispositivo è sempre stato solo Verizon, proprietario originale. ARIN mostra NetName WIRELESSDATANETWORK, organizzazione Verizon Business (MCICS), registrato il 6 aprile 2010, che copre da 2600:1000:: a 2600:1017:ffff::. I feed soft asname e di geolocalizzazione hanno riportato l'etichetta T-Mobile da ottobre 2025 fino al giorno di quel report. Una query live il 21 agosto ha restituito Team Cymru AS6167 CELLCO-PART e RIPE AS22394 CELLCO. L'allocazione non si era spostata. L'ordine di lavoro pubblicato con il pezzo è l'ordine per il resto di questa serie: attribuire lo strumento, poi il tenant, poi il registro. https://x.com/i/article/2091560316878671872
Un inventario del 2023, classificato — 23 agosto
Duecentonovantaquattro screenshot provenienti da un percorso residenziale Charter a New York all'inizio del 2023 sono stati ripresi come set classificato: circa 1.450 indirizzi IPv4, di cui circa 1.266 pubblici, su una scala esplicita da T1 a T5. Il passaggio del 2026 ha chiuso i servizi prima di lasciare qualcosa di aperto. 103.235.46.191 è l'edge analitico di Baidu a Hong Kong, hm.baidu.com, AS55967. 23.82.31.230 è TradingView su Leaseweb. Un indirizzo dell'area Boeing è stato inserito in una lista solo documentale. I successivi report pubblici di un'intrusione LockBit contro la divisione componenti di Boeing condividono un nome organizzativo con quella riga documentale e non condividono alcuna sessione. L'interruzione vocale di Charter del febbraio 2023, le dichiarazioni su Storm-0558 del luglio 2023, i successivi report su Salt Typhoon e l'avviso stesso di Leaseweb del 22 agosto 2023 sono finestre di contesto. https://x.com/i/article/2091569041584619520
GitHub su Fastly — 27 agosto
QS-NetHarden girava su tethering telefonico. L'inizio della cattura era alle 09:08 PDT del 26 agosto. NetCloak presentava una nuova identità Windows. I decoy Artillery erano attivi con il ban disattivato. Phantom-QS ciclava Firefox 128. Nulla nel log dell'honeypot di quella mattina è un hit remoto. Il DNS è l'operatore: il proxy chat, il load balancer di GitHub, Actions, Copilot, poi release-assets.githubusercontent.com. Il prefisso di copertura 185.199.108.0/22 è RIPE US-GITHUB-20170413, organizzazione GitHub, origine BGP AS54113 Fastly. L'elenco ufficiale degli indirizzi pubblicati da Fastly non lo include. Il set .133 è il catch-all dei contenuti. Il set .154 riguarda release e pacchetti. La porta d'ingresso di Actions è Microsoft 13.107.42.0/24 e 13.107.43.0/24, e pipelines.actions ha risolto verso 13.107.43.16 in quel passaggio. URLhaus contiene URL di malware sul nome release-assets e Harden-Runner lo ha segnalato. L'hostname è il camion. L'attore è il carico e il next hop che non è GitHub. Blocca il server virtuale successivo. Lascia stare il leaf, il catch-all Fastly, Azure Front Door, gli snapshot regionali e il sensore. https://x.com/i/article/2093021792923508736
Una snowshoe lead mill — 29 agosto, proseguito il 7 settembre
Il 27 agosto una singola casella ha ricevuto 72 messaggi non richiesti di assicurazioni auto e carte di credito, 156 link unici, 71 domini From. Il clustering degli oggetti ha prodotto tre coppie duplicate. L'invariante è il token e6jbv4z in ogni corpo e in ogni link. I clic usano un'etichetta di due lettere su un apice datato e un percorso PHP nella forma /r più cifre esadecimali. Policy Plug rappresenta 51 dei 72. Easy Insurance Match, Endurance e Indigo and Destiny Mastercard sono travestimenti. Un ampio sottoinsieme copia il numero NMLS 1136 di LendingTree e un indirizzo stradale di Charlotte. LendingTree è la vittima del furto del footer. Mail e clic risiedono su NForce, AS43350, in 185.47.200.0/24 e 185.47.203.0/24: nginx, PHP 7.4.33, 443 chiusa, 25 filtrata. I domini sono inventario datato di Name.com. Una richiesta HEAD riceve un generico 403 nginx. Una GET simile a un browser riceve un 302 verso una lander CAKE, offerta a=44 e c=2701, su taobmaets.com, o una pagina di cancellazione iscrizione su keycanvascanvas.com. Gli allegati con nomi di file Office sono testo semplice. ClamAV era pulito. Un header Host, mediaignorance.com, restituiva lo stesso corpo di 52.667 byte da sette indirizzi nel /24. Il WHOIS non redatto su quattro apici nomina Robert Carpino, trattato negli articoli come pivot. L'acquirente dietro l'offerta CAKE non è identificato. Il 7 settembre un'ulteriore raccolta dello stesso token e della stessa struttura di percorso, con travestimenti da assicurazione auto e Indigo, è stata pubblicata come già presente nel database di AT&T. Il post afferma l'esistenza di un set di nameserver condiviso e non lo stampa. L'azione di difesa consiste nel token, nel percorso e nei due prefissi NForce, segnalati a abuse@nforce.com e al registrar, con la riga NMLS rubata identificata come furto di un footer. https://x.com/i/article/2093528643779825664 https://x.com/i/article/2093532720119083008 https://x.com/i/article/2097103637160022017
Firewall residenziale, primo passaggio — 5 settembre
Un log di gateway residenziale AT&T conteneva 296 eventi in 26 minuti, 188 indirizzi unici, di cui 169 pubblici. La fetta rappresenta la radiazione di fondo di un IPv4 pubblico. Le schede del 31 agosto avevano già nominato QNAX, Recyber, Infrawatch, Xpanse, Censys, Pfcloud e CHINANET. Tre risultati erano nuovi. QNAX 45.140.193.187 ha colpito la WAN dieci volte in 21 minuti. L'articolo cita 408 report AbuseIPDB da 170 fonti, tutti ostili, e un brute force VNC su tcp/5900 usando RFB 003.008. qnax.sh vende quel prodotto VPS, RDP e console-VNC. Il primo inbound nominato all'interno di una rete Spamhaus DROP era Pfcloud 176.65.149.233, in 176.65.148.0/22, alle 11:58. n8n.pfcloud.io risiede su 176.65.148.168. sso.pfcloud.io si identifica come authentik. Lo spray Tamatiya e 4vendeta su 79.124.58.0/24, 79.124.49.0/24 e 78.128.114.0/24 include 79.124.58.90, il cui nome inverso è ip-58-90.superbit.host e il cui alias è urlforward.topdns.com, lo stesso indirizzo DigitalOcean di ns-usa.topdns.com a 143.198.68.197. Un'espansione passiva di topdns.com ha restituito 517 etichette, molte delle quali collisioni di brand, quasi tutte senza indirizzi. Il nameserver rimane sbloccato. Gli host prioritari sono 45.140.193.187, 79.124.58.18, 79.124.58.90, 79.124.49.90, 78.128.114.46 e 78.128.114.162. Le reti opzionali sono le fette cliente e operative di Tamatiya e Pfcloud 176.65.148.0/22 più 204.76.203.0/24. Lasciati stare insieme a loro: TopDNS, i collector CriminalIP, gli edge Cloudflare, gli scanner census e Telepoint 78.128.42.0/24. I contatti abuse pubblicati con il pezzo sono abuse@qnax.com.br e noc@4vendeta.com. Il sensore era su un hotspot. La LAN non è stata scansionata. Il pezzo si basa sulla nota Tamatiya del 24 luglio della serie della prima metà dell'anno. Un puntatore web del 4 settembre riporta il titolo della serie e punta al sito aziendale; il record X della misurazione è questo articolo e il successivo. https://x.com/i/article/2096029788624523264
Firewall residenziale, il resto — 6 settembre
Le finestre del 29 agosto e del 5 settembre insieme hanno prodotto 530 eventi unici e 270 indirizzi pubblici in ingresso. Questo secondo pezzo riguarda i 105 rimanenti, dopo aver messo da parte gli scanner census e gli osservatori commerciali nominati. Settantaquattro dei 108 indirizzi controllati comparivano quel giorno in un feed pubblico. Nessuno appariva in Feodo, SSLBL, ThreatFox o Emerging Threats. Ventuno risiedevano in prefissi Spamhaus DROP datati 4 settembre, incluso il /22 di Pfcloud. L'articolo cita un resoconto del 25 giugno sullo sfruttamento di UniFi OS lanciato da 176.65.148.183 in quel prefisso, e l'aggiunta del 23 giugno da parte della CISA di CVE-2026-34908, CVE-2026-34909 e CVE-2026-34910. Ghosty 43.228.157.0/24 e Stormcloud 94.154.43.0/24 sono vicinati Mirai su URLhaus nello stesso pezzo. L'indirizzo in ingresso restante più rumoroso era ancora QNAX 45.140.193.187, con il conteggio dell'articolo a 412 report, visto l'ultima volta il 1° settembre sulla porta 5000. 46.146.238.1 è un host URLhaus esatto per un dropper su porta alta, con telnet aperto. UniFi OS su 195.252.206.160 non aveva hit nei feed di indirizzi ed è una corrispondenza di classe servizio con SAB-067, CVE-2026-77550, datato 26 agosto. EMBNEX 16.5.0.0/24 corrisponde a otto origini di dump; il sito web embnex.com è su CloudFront. Un identico breve blob HTML su reti non correlate è una pagina sink. La raccomandazione è di bloccare le reti. https://x.com/i/article/2096732079388299264
Egress da hotspot verso un nodo di gestione — 14 settembre
Il traffico da un dispositivo personale su un hotspot iPhone ha raggiunto 113.176.118.150, denominato static.vnpt.vn e rdp.cdmt.vn. L'indirizzo presenta MikroTik RouterOS 6.49.13, Nginx Proxy Manager sulla porta 80, HTTPS vincolato al nome sulla 443, un login MeshCentral pubblico sulla 5009, un login UniFi pubblico sulla 8443, due demoni SSH sulle 8080 e 8090 e un servizio non identificato in stile CONNECT sulla 8088 che coinvolgeva il nome CloudFront d3azdm1q0gvo54.cloudfront.net. L'ipotesi pubblicata è quella di un gateway esposto su Internet e di un nodo di gestione. L'egress verso di esso da un hotspot personale resta non autorizzata finché non viene mappata a un'applicazione, un utente o un dispositivo noto. https://x.com/i/article/2099540826854715392
Una waitlist sottile — 22 settembre
uythjmnglk.xyz è stato registrato presso Dynadot il 14 settembre 2026, con proxy privacy, sulla coppia di nameserver Cloudflare phoenix e wilson, senza DNSSEC. Rispondono solo l'apice e www. Fuori dalla rete locale, l'applicazione era una waitlist intitolata "You're on the list", che inviava un'email a un percorso di sottoscrizione sotto il token v:897qvxac7fny03ac. Sul gateway AT&T lo stesso nome restituiva un breve interstiziale la cui motivazione era malware. Quella pagina è l'operatore, non l'origine. I due indirizzi Cloudflare davanti al nome compaiono in un'appendice di Mystic Stealer del giugno 2023. Sono anycast condivisi e passano tre anni tra quell'appendice e questa registrazione. Nomi di casinò e 4D dello stesso giorno presso lo stesso registrar usano una coppia di nameserver diversa. Una coppia più vecchia ospita la lander "A little chicken" legata a un percorso affiliato FanPartners. Quei cluster restano fuori da questo seed. Gli indirizzi Cloudflare restano fuori da qualsiasi block list di campagna. https://x.com/i/article/2101850617815908352
Avvisi CAC e DEERS — 28 settembre
Due avvisi sono arrivati a una Gmail personale da CACExpiration-DoNotReply@mail.mil, il 9 marzo 2026 e il 7 maggio 2026. Il messaggio di maggio ha superato SPF, DKIM e DMARC. Il DKIM era d=mail.mil, selettore EEMSG2021v1a, policy reject. L'identificatore del messaggio nomina UHIL19PA53.eemsg.mail.mil a 214.24.21.199. Il firmatario S/MIME è benefits.notifications@mail.mil, emesso da DOD SW CA-83, valido dal 15 ottobre 2025 al 15 ottobre 2028. Il banner di Gmail indica che il From e il firmatario differiscono. Le due caselle sono diverse, e quella differenza è sufficiente a generare il banner. I corpi dicono che mancano due documenti d'identità e invitano il destinatario a visitare RAPIDS per caricarli, con una scadenza di 120 giorni a marzo e di 60 giorni, entro il 6 luglio, a maggio. Nessun documento è stato inviato. La carta ha continuato a funzionare.
Il programma ufficiale citato nell'articolo è iniziato con gli avvisi DMDC nel gennaio 2026. Ad agosto circa 215.000 membri in servizio attivo e nella riserva non erano conformi. L'esercito aveva esaminato circa 111.000 carte, senza alcuna revoca al 2 settembre. Circa 21.500 Marines erano ancora inadempienti a luglio. Una linea ufficiale del 3 settembre, pubblicata l'8 settembre, descrive un aggiornamento amministrativo dei registri, senza frodi né violazioni dichiarate per i documenti mancanti. MARADMIN 393/26 richiede due documenti originali, di persona. Il corpo del messaggio di marzo diceva di caricarli.
La classe che l'articolo mantiene nella colonna del vocabolario è un soggetto introdotto in corrispondenza o prima del firmatario, quindi i controlli continuano a essere superati. Una riscrittura dopo la verifica di Gmail è esclusa, perché il DKIM è passato. Non si aveva a disposizione né il file del messaggio originale né la parte della firma. L'host di posta è AS345, 214.24.21.0/24, un blocco del Defense Network Information Center risalente al 1998. www.cac.mil è un nome su Akamai, indirizzi 23.62.46.164 e 23.62.46.182, che risponde con 403, e il certificato su quell'edge riporta www.cac.mil insieme a un insieme di nomi legati a pentagon, defense e department. Le applicazioni DMDC idco, myaccess e pki risolvono in AS27064 su indirizzi 214 diversi, tra cui pki.dmdc.osd.mil al 214.16.194.24. Nulla è condiviso tra il prefisso di posta e quei prefissi applicativi. Un prodotto di geolocalizzazione colloca le query 214 a Columbus, Ohio. Un altro le colloca a Rose Hill, Virginia. Si tratta di un'unica allocazione.
Tre record adiacenti restano nei rispettivi ambiti. Una pagina di marketing su email.usfhp.net del 20 luglio è una proprietà reale dello US Family Health Plan con misurazioni ordinarie di classe HubSpot. Una lettera relativa a una condivisione di file datata 18 settembre descrive un accesso non cifrato da ottobre 2025 fino al 16 luglio 2026, scoperto il 16 luglio, e l'articolo non la collega a questa riga From. Un avviso IDScan del 4 settembre riguarda account cloud dei clienti. Nell'articolo vengono scartate come totali delle vittime le stime di circa quattro milioni e di 60 milioni di record. https://x.com/i/article/2104388574397554688
Diciassette minuti di scarti — 3 ottobre
Un'esportazione di scarti residenziali stampata dalle 05:55 alle 06:12 del 3 ottobre conteneva 234 righe, 110 indirizzi esteri e 166 incrementi di hit. Ogni riga è un drop e l'esportazione non ha porta di destinazione. Una lettura successiva che sposta la finestra di circa cinque ore rappresenta lo stesso evento su un orologio diverso. Cinquantuno dei 57 hit degli scanner appartengono a progetti noti di rilevamento su scala internet: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid, Nokia Deepfield e i loro vicini. Dieci indirizzi esatti si ripetono da agosto, tra cui 4vendeta 79.124.49.90, SS-Net 80.94.95.226, Ghosty 43.228.157.10 e Amarutu 89.42.231.200. QNAX e Recyber sono assenti da questa finestra. Tra i nuovi membri di reti note figurano Pfcloud 204.76.203.4 e Stormcloud 94.154.43.203. I nomi di malware sul /24 di Stormcloud si trovano su indirizzi fratelli. L'indirizzo che ha toccato il log è lo scarto, mentre il nome della famiglia resta sull'indirizzo fratello dove è stato effettivamente archiviato.
Otto drop di policy UDP sono la coda di un controllo di liste proxy del 20 settembre, pacchetti inviati dalla rete monitorata. Due righe di pacchetti non validi Amazon non presentano hit nelle liste delle minacce. Un arricchimento tether separato, la stessa mattina, mostra un percorso ordinario di operatore e contenuti: Verizon, Comcast, Lumen, Cogent, Google e Cloudflare. La sessione che non trova spiegazione è 87.250.250.108, denominata cloud.yandex.ru. L'unico hit Spamhaus DROP nella corrispondenza con la lista aggiornata è 140.222.19.75 e 140.222.19.77 all'interno di 140.222.0.0/16, SBL693942, letto come uno schema di hijack su vecchio spazio NSFNET e lasciato fuori da una block list di host. Fondere in un unico elenco di indicatori progetti di misurazione, scanner bulletproof e gli strumenti stessi dell'operatore significa fabbricare un incidente. https://x.com/i/article/2106513298426597376
Yandex Compute, contro i documenti pubblici — 4 ottobre
Un'affermazione iniziale in circolazione sosteneva che lo Stato russo leggesse i guest di Yandex Cloud combinando custodia delle chiavi, accesso all'hypervisor, cloni silenziosi dei dischi, una mappa dei core fissata, un demone di storage personalizzato e un feed di intercettazione legale sullo scheduler. L'articolo contrappone tale affermazione ai documenti compute di Yandex e a quanto era già presente su questo host. La crittografia predefinita del disco utilizza una chiave di piattaforma. Una chiave del cliente risiede comunque nel servizio chiavi di Yandex, e disabilitarla equivale a un kill switch. La memoria del guest è normale memoria del processo QEMU, quindi l'operatore dell'host si trova dallo stesso lato del confine di fiducia rispetto al guest in esecuzione. Non c'è libvirt. La live migration, gli host dedicati e il cambio di build QEMU sullo stesso host sono comportamenti di prodotto documentati. Un pin dell'host-id disabilita la live migration e viene scritto tramite l'API compute da un principal che può già aggiornare l'istanza. L'interfaccia del guest non veicola quella scrittura. Ciò che le pagine citate non mostrano è una sottoscrizione di intercettazione legale al socket di controllo dell'hypervisor, alle scelte dello scheduler o alle regole di host-affinity; né mostrano il clone silenzioso, la mappa fissa dei core, il demone personalizzato o il percorso in tunnel presenti nel saggio più ampio. Sono stati inventariati i nomi inversi locali contenenti yandex. 45.87.42.74 resta la farm di vendita qloudhost di agosto, con un nome diverso. 87.250.250.108, la sessione inspiegata del pezzo sugli scarti, era assente da quella tabella precedente. La registrazione separa Yandex.Cloud LLC per gli oggetti cloud da YANDEX LLC per la rete enterprise. I certificati API completati sono Yandex, Mosca, GlobalSign. Un nome pubblicitario ha ancora un puntatore inverso pendente a 77.88.21.179. https://x.com/i/article/2106548730942152704
Un'esca Coinbase-Card non pagata — 9 ottobre
Due pagine Telegraph, telegra.ph/NCO-09-27 e graph.org/UIN-10-05, condividono un unico link "continue". Entrambe risiedono su 149.154.164.13. Sono state pubblicate il 27 settembre e il 5 ottobre. Il link è rss2.sayler.at/go/337413/z274x264 su 107.189.20.230 e reindirizza a un kit Coinbase Card presso 97ee1.ralind.at su 31.59.121.53. Lo script del kit stesso elenca 22 passaggi, dall'index fino a una pagina di pagamento rapido. Un post originale del 6 ottobre dichiara quel numero e stampa gli stessi 22 nomi di file. Le pagine mostrano un saldo di $39.437,16. Gli script sono stati modificati l'ultima volta il 26 agosto 2026. Vengono citati undici codici tariffa. Solo y2a4u234, la riga interbancaria da $58, è stata seguita, verso bitpays.at al 31.57.29.11, stream 4374w2. Un invio sintetico alle 03:45 GMT del 9 ottobre ha restituito un redirect verso una fattura BTCPay, 6QTpVwNe9CynFTXZFJE8Yk, su btcpay369329.lndyn.com al 172.81.177.1. Stato New. Cinquantotto dollari, 0,00070469 BTC, tasso $82.306,45, indirizzo bc1qexqsudur4860kva5789qcvkmpdk4j9wrfrsmzy. Il controllo di pagamento ha restituito zero. Nessun pagamento è stato inviato.
ip-api colloca il kit a Parigi e il modulo di pagamento a Riga. QuantumGuard e il registro di origine collocano 31.57.29.0/24 negli Emirati Arabi Uniti, AS56971. sayler.at, ralind.at e bitpays.at usano DNSPod. La nota del 6 ottobre, sull'oggetto che riporta il seriale SOA 1789107920, colloca quell'oggetto a Zaandam sotto AS14956, RouterHosting e FranTech. L'articolo del 9 ottobre non ripete tale collocazione. I nameserver di Telegraph, i nameserver GoDaddy per graph.org e gli indirizzi DNSPod sono DNS condivisi. 144.31.93.214 è fuori da questa catena. Il saggio del 15 agosto e questa esca usano entrambi la parola Coinbase. L'esempio del saggio è un gruppo di impersonificazione telefonica. Questo pezzo è una pagina, un tracker, un kit per carte e una fattura rimasta non pagata. https://x.com/i/article/2108597864108871681
Posizione finale
Due liste chiudono la serie. La prima contiene i metodi usati da Quantitative Security. La seconda contiene i metodi mappati dai vari pezzi, ciascuno con il gruppo, il tenant o la classe che il pezzo vi ha associato. Gli esempi del saggio restano sotto il saggio del 15 agosto. I tag fratelli restano sull'indirizzo fratello. I progetti di rilevamento restano nel contenitore delle misurazioni. Dove un pezzo non indica alcun gruppo, la riga termina al tenant, alla rete o alla classe.
Metodi utilizzati
- Passaggi esterni strutturati su banner, certificati e servizi in ascolto, con gli asset abbandonati separati dal volume di produzione.
- Un coinvolgimento del visitatore avviato tramite social engineering, poi ampliato con arricchimenti open-source. Solo ricognizione.
- Reverse-IP, estrazioni WHOIS e dai registri, record di autenticazione della posta e una cattura pacchetti verificata rispetto agli indirizzi indicati da tali record.
- Il dominio stesso dell'azienda, sottoposto alla stessa apertura che userebbe un hunter esterno, mantenendo l'auto-ricognizione come rumore del sensore.
- Feed di geolocalizzazione soft e asname verificati rispetto ad ARIN, RIPE e Team Cymru. L'ordine è strumento, poi tenant, poi registro.
- Un inventario storico classificato, chiuso sull'identità del servizio prima che vi venisse associato qualsiasi incidente pubblico.
- Log DNS on-path e honeypot, letti in modo che le sessioni proprie dell'azienda restino separate dagli hit remoti.
- Posta ridotta su un token invariante, una richiesta HEAD contrapposta a una GET del browser e un corpo di virtual-host condiviso sottoposto a hash lungo il prefisso.
- Scarti residenziali ridotti rispetto ad AbuseIPDB, Spamhaus DROP, URLhaus, Feodo, SSLBL, ThreatFox ed Emerging Threats, con l'espansione passiva dei nomi che lascia il nameserver fuori dalla block list.
- Egress degli hotspot conservato come associazione, con misurazioni di follow-up distanziate temporalmente dalla prima sessione.
- Registrar, coppia di nameserver e interstizio dell'operatore separati dal contenuto di origine.
- SPF, DKIM, DMARC e S/MIME letti insieme e mantenuti a livello di classe quando l'originale firmato non era disponibile.
- Un'esportazione di scarti suddivisa in progetti di rilevamento, reti ostili ricorrenti, pacchetti propri dell'azienda e la sessione che non trovava spiegazione.
- Documenti compute del fornitore letti rispetto a un'affermazione più ampia, lasciando fuori dal risultato le clausole non supportate.
- Una catena di esche seguita attraverso il tracker, il kit, un codice tariffa e una fattura sintetica non pagata. Nessun pagamento è stato inviato.
Metodi mappati e relativo nome
- Servizi cloud residui e proxy autenticati di breve durata. I marchi residui sono GENIEX, titoli di gioco tra cui Dragon Raja e un esiguo insieme legato al Laos di siti di medicina estetica e auto usate.
- Raccolta di infrastrutture per visitatori. L'indirizzo di apertura è stato geolocalizzato in Iran e l'articolo lascia l'etichetta lì. La baseline cita GoCodeIT Inc. di Thornhill, Ontario; rejekibet.com e i cloni truffaldini attorno a quel marchio; e geniex.com in fase di chiusura.
- Vendita di piani sanitari con nomi di marca e un sito già classificato come phishing, su hosting condiviso. I nomi associati sono quelli dei registranti. Fabiola Silva Souza e Fabiola Silva Souza Seguros Ltda detengono il portafoglio principale. Roger Oliveira da Silva e Leonildo Quintiliano si trovano sul sito ponte. Tiago Ferreira Pena è un registrante adiacente. Christian von Langermann è il registrante di shelleasternpetroleum.ae, un co-tenant. OpenDNS, Cloudflare e DNS4EU hanno classificato vendasbradescosaude.com.br come phishing. Le pagine fake-bank, casinò e wallet-converter sullo stesso nodo restano vicine.
- Imitazione di edge fidati: un lookalike o un nome arbitrario parcheggiato su Squarespace, Cloudflare, Vercel, GitHub Pages o AWS Global Accelerator. Gli URL storici Cobalt Strike e Mozi su 198.49.23.145 sono altri tenant di quell'anycast.
- Livelli di capacità, nel saggio del 15 agosto. Questi nomi sono gli esempi del saggio. Man hands, detta anche Tiffany M.: impersonificazione di supporto per hardware wallet ed exchange, posta BitcoinIRA falsificata. Dritan Kapllani Jr. John Daghita, detto Lick, contro i wallet sequestrati dallo U.S. Marshals Service. Il gruppo Greavys, Wiz e Box, contro un creditore di Genesis. Lazarus, il furto Bybit del febbraio 2025. UAC-0145, collegato nel saggio a Sandworm / APT44: finti colloqui di lavoro, con una configurazione VPN come vettore di consegna. Laundry Bear: credenziali legate alla Russia contro governo, difesa e infrastrutture critiche.
- URL di malware veicolati su un hostname di release GitHub il cui origin BGP è Fastly. Il metodo mappato è carico su un hostname fidato. Il blocco è il server virtuale successivo.
- Generazione di lead snowshoe. I travestimenti sono Policy Plug, Easy Insurance Match, Endurance e Indigo and Destiny Mastercard. LendingTree è vittima di un footer NMLS rubato. La posta e i clic risiedono su NForce, AS43350. Il WHOIS non redatto indica Robert Carpino come pivot. L'acquirente dietro l'offerta CAKE 2701 non è identificato.
Scansione residenziale e hosting ostile.
- QNAX. Vende VPS, RDP e console VNC. Il metodo mappato su 45.140.193.187 è brute force RFB su tcp/5900.
- Pfcloud. All'interno di un prefisso Spamhaus DROP, con n8n e authentik segnalati su quella rete. Un account del 25 giugno colloca lo sfruttamento di UniFi OS al 176.65.148.183 nello stesso /22. Le voci CISA del 23 giugno citano CVE-2026-34908, CVE-2026-34909 e CVE-2026-34910, descritti nel pezzo come un loader di classe Mirai.
- Tamatiya e 4vendeta. Lo spray attraverso le porzioni clienti e operations. TopDNS resta il forwarder. Recyber è sulle schede di agosto ed è assente dalla finestra del 3 ottobre.
- Ghosty 43.228.157.0/24 e Stormcloud 94.154.43.0/24. Intorni Mirai segnalati su URLhaus. Sul /24 di Stormcloud, le ulteriori etichette, tra cui ApexBot e LummaStealer, si trovano su indirizzi fratelli. 94.154.43.203 è l'indirizzo che ha toccato il log di ottobre.
- Stealc, MooBot, Vidar e XWorm. Segnalati su altri host 193.233, su sistemi autonomi diversi dallo scanner al 193.233.198.28.
- 46.146.238.1. Un host URLhaus esatto per un dropper su porta alta, con telnet aperto.
- UniFi OS su 195.252.206.160. Una corrispondenza di classe di servizio con SAB-067, CVE-2026-77550.
- EMBNEX. Otto origini di dump. embnex.com è CloudFront.
- Progetti di rilevamento negli stessi log: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid e Nokia Deepfield. I nomi di rete ricorrenti in quel set di misurazioni includono SS-Net e Amarutu.
- Servizi di gestione esposti su Internet su un unico indirizzo: MikroTik RouterOS, Nginx Proxy Manager, MeshCentral e UniFi.
- Una waitlist di un giorno su un nome Dynadot con proxy privacy. Il pezzo non indica alcun gruppo. Mystic Stealer compare come appendice del giugno 2023 che elencava gli stessi indirizzi anycast Cloudflare. FanPartners e la lander "A little chicken" usano una coppia di nameserver diversa.
- Posta che supera SPF, DKIM e DMARC su un host del Defense Network Information Center, con la riga From e il firmatario S/MIME diversi. Il programma nell'articolo è la lacuna di identity-proofing del DMDC. La classe mappata è un soggetto introdotto in corrispondenza o prima del firmatario. La lettera di condivisione file di settembre resta legata alle proprie date.
- Un'affermazione più ampia sulla lettura dei guest Yandex Cloud. I documenti confermano una chiave di crittografia di piattaforma, una chiave del cliente che resta un kill switch all'interno del servizio chiavi di Yandex e la memoria del guest come normale memoria del processo QEMU. 87.250.250.108, denominato cloud.yandex.ru, resta la sessione che il pezzo sugli scarti non riusciva a spiegare.
- Un'esca per carte in più passaggi: due pagine Telegraph, un tracker, un kit in 22 passaggi, un modulo di pagamento con codice tariffa e una fattura BTCPay lasciata non pagata. L'esempio Coinbase del 15 agosto resta il gruppo di impersonificazione telefonica del saggio, Man hands. Questo pezzo è la pagina, il tracker, il kit e la fattura non pagata.
