Quantitative Security は、2026 年 7 月 31 日から 10 月 9 日までの期間を、中間レビューで構築したツール群を用いて制作する公開シリーズに費やした。このシリーズは、7 月 31 日のクラウドレンジ偵察から 10 月 9 日の未払い Coinbase カードの誘導までを扱い、X 上で TLP:CLEAR の長文記事として配信された。8 月は手法を内側へと向けた。GitHub 上の近隣ノードが医療保険販売の身元に紐づけられ、自社ドメインが外部ターゲットとして測定され、1 年分のキャリアラベルがレジストリと照合された。9 月は同じ還元手法を住宅用ファイアウォールと 1 つのスノーシュー型リード生成拠点に適用し、それらの事例が置かれていたプラットフォームを独立したクラスとして維持した。10 月は破棄ログを測定値、既知の敵対的ネットワーク、自社のツールに分類し、Yandex Compute に関するより広範な主張をベンダーの文書と照らし合わせ、カードキットを追跡して未払いのまま残った請求書に至った。
各プロダクトは、生テレメトリとオープンソースを、帰属が特定され優先順位付けされた防御準備済みの結果へと変換する。名前が付与されるのは、その証拠が名前を結びつけた場合のみである。プラットフォーム、テナント、調査プロジェクト、そしてそれぞれを通過するシグネチャは、記事が与えたクラスを保持する。末尾のポジションには、使用された手法、マッピングされた手法、そしてそれぞれに該当するグループ、テナント、またはクラスが列挙される。
レポートシリーズ
残留クラウドサーフェス — 7 月 31 日
約 115 アドレスに対する構造化された外部スキャンにより、稼働中の本番環境、残留サービス、放棄された資産が分類された。104.247.165.210 にあるトルコの共有ホスティング（silaoglu.com、バナーは mt-rohan.guzelhosting.com）は、Pure-FTPd、Dovecot、Exim、MySQL、LiteSpeed からなる完全なメール・Web スタックを提示し、認証付き SOCKS5 および HTTP プロキシと、有効期限の短い証明書が併存していた。最大ボリュームは Tencent および Aceville の空間にあり、厳格にフィルタリングされていた。応答した少数派こそが残留サーフェスであった。ポート 81 の Nginx Proxy Manager、/arena 配下の稼働中 Next.js アプリケーション、高位ポートの認証付きプロキシ、内部スタイルのホスト名を持つ Windows リモートデスクトップ、そして GENIEX eSIM ブランドやインドネシア・ベトナムのゲームブランド向けに残された証明書（老朽化した Jetty で提供され続けている Dragon Raja タイトルを含む）である。Tencent の 1 アドレス上にあるラオス関連の小規模セットは、中国語の美容医療サイトと中古車サイトを提示したが、公開フットプリントは薄かった。本プロダクトは、中間レビューが Google のエッジに適用したのと同じ分離処理である。本番ボリュームと放棄されたサービスは異なる発見事項であり、ブロックおよびハードニングの問題となるのは後者のみである。https://x.com/i/article/2083245764969635841
防護インテリジェンス・エンゲージメント — 8 月 1 日
このエンゲージメントは、イランにジオロケートされたマスク済みアドレスが Quantitative Security のインフラストラクチャにアクセスしたことで開始された。そのやり取りに対するソーシャルエンジニアリングにより一連のアドレスが捕捉され、訪問者のインフラを収集する専用サイトを通じて拡大した。公開されたベースラインでは、65.111.5.29 および 74.119.149.79 の認証付きプロキシにおけるオンタリオ州ソーンヒルの GoCodeIT Inc.、technofaq.org 向けの 103.255.134.61 で露出した CloudPanel 2.5.2、ポート 8888 の 152.32.169.33 にある Microsoft 風 CodePushServer、ブランド周辺に詐欺クローンを抱えるインドネシアの実金ギャンブルプラットフォームとしての rejekibet.com、38.107.237.68 を含むインターネットに公開された Windows リモートデスクトップ、ドメイン自体が AWS に解決される縮小中のナイジェリアのバーチャル SIM 事業としての geniex.com、そして以前は Tencent の残留空間にあり後に chukouplus.com 経由で Zenlayer へ移行した acmmanufacturer.com が挙げられている。104.207.0.0/16 のプロキシホストは認証を要求し、約 7 日間の証明書を提示し、プローブされた管理パスで 404 を返した。Zeus-admin リスナーはフィルタリングされたままであった。開始アドレスのジオロケーションラベルがこのエンゲージメントの起点である。この記事はいかなる国家支援グループにも名前を割り当てていない。データセットは下半期のベースラインとしてクローズされた。https://x.com/i/article/2083388096285179904
GitHub ロードバランサーからブラジルの医療保険販売ファームへ — 8 月 8 日
8 月 7 日の QuantumGuard とキャプチャによるホットスポットセッションは、GitHub のプルリクエストとシアトルのロードバランサー 140.82.116.3（lb-140-82-116-3-sea.github.com）のリバース IP から始まった。このアドレスは coindream.site を共同ホストしていた。Web は GitHub 上、メール SPF は UltaHost cp5 159.100.6.5 を指し、2026 年 1 月 23 日作成、プライバシー登録者、Namecheap DNS であった。キャプチャには後の事例アドレスへのパケットは含まれていなかった。UltaHost は約 500 のドメイン名を保持しており、Christian von Langermann に登録された shelleasternpetroleum.ae に加え、gamingcomission.co、antifraud.click、aranttru.com、pinupcasinorussia.click が含まれていた。Web ポートは後に 2082 および 2083 の cPanel にフィルタリングされた。187.33.241.58 の pro114.dnspro.com.br は、完全なメール・パネルスタックと公開 MariaDB 10.11.18 を露出していた。
主要ノードは 45.87.42.74 の shared.qloudhost.com であり、Bradesco、Amil、Unimed、SulAmérica というブランド名を使用する 2017〜2025 年のブラジル医療保険販売ファームである。コアポートフォリオの WHOIS は Fabiola Silva Souza、ハンドル FASSO283、メールボックスは saudeperfeita.com.br である。記事内の公開記録は CNPJ 40.950.276/0001-55、Fabiola Silva Souza Seguros Ltda、サンパウロ州モコカ、2021 年 2 月 23 日開設と一致する。ブリッジサイト saudeperfeita.com.br は 162.241.2.92 の HostGator 上にあり、WordPress ユーザー admin および nildo を持ち、記事内で Agência Unit の Roger Oliveira da Silva と Leonildo Quintiliano に紐づけられている。Tiago Ferreira Pena は同じネームサーバー上の隣接登録者である。同ノードは偽銀行ページ、カジノ登録、Paysafe および Neosurf コンバーターも保持していた。QloudHost はカジノホスティングを宣伝している。共有ネームサーバーと saudeperfeita のメールボックスが医療保険事業者を結びつけている。ノード上の同居は、その身元を金融やギャンブルのテナントにまで拡張するものではない。vendasbradescosaude.com.br は、OpenDNS、Cloudflare、DNS4EU がフィッシングとして分類した後も qloud アドレス上に留まっていた。記事で未解決のまま残されたのは、完全な registro.br ポートフォリオ、元のプルリクエスト URL、von Langermann に対する二次ピボットである。https://x.com/i/article/2085939414463631360
外部ターゲットとしての自社ドメイン — 8 月 15 日
8 月 9 日から 14 日にかけて、quantitativesecurity.org が外部のハンターが用いるのと同じ初期手順で調査された。オリジンはクリーンであった。ホスティングは Squarespace のマルチテナント anycast であり、NS1 の p07 セットに加えて Squarespace DNS、顧客名義の Let's Encrypt、そして *.squarespace.com の DigiCert 証明書を伴うベアアドレスからの 403 が確認された。nmap は Go net/http 実装を報告したが、Server ヘッダーは Squarespace を示していた。このペアは、2 つのレイヤーで記述された 1 つのエッジである。約 1,900 の .academy ドメインが同プラットフォームを共有している。Gophish クラスの指標はテストされ、存在しなかった。QuantC と QuantumGuard はこの自己偵察をプラットフォームノイズとして記録したが、これこそがこれらのセンサーに必要なグラウンドトゥルースである。物質的な残留リスクはアイデンティティである。MX なし、SPF なし、DMARC なし、そして 2026 年 9 月に失効を迎える登録である。メール経路が未署名のクリーンオリジンであっても、依然として攻撃対象領域となる。https://x.com/i/article/2088437251508436992
能力レベル — 8 月 15 日
付随する論考は、犯罪グループと国家支援アクターを戦術および累積金額によって区別し、何も奪わない暴露活動を第 3 のカテゴリとして確保している。下位層において論考がマッピングした例は、「Man hands」として知られ Tiffany M. とも呼ばれる発信者である。ハードウェアウォレットおよび取引所サポートのなりすまし、少なくとも 500 万ドル、Trezor と Coinbase、偽装 BitcoinIRA メール、関係者が提供するパネル、脆弱な運用セキュリティ。この数字は当該発信者に対する論考上の窃取総額である。同記事の中位層の例は、約 1,900 万ドルの Dritan Kapllani Jr.、そして米連邦保安局が押収したウォレットから 4,600 万ドル超（論考で疑われるより広範な活動は 9,000 万ドル超）を得て後に逮捕された「Lick」と呼ばれる John Daghita である。上位の犯罪例は Greavys、Wiz、Box グループであり、単一の Genesis 債権者から約 2 億 4,300 万ドルを得ている。国家支援の例としては、Lazarus と 2025 年 2 月の Bybit からの約 15 億ドルの窃取、ウクライナの IT 専門家に対する偽の求人面接と VPN 設定を配布手段として用い論考で Sandworm / APT44 に紐づけられた UAC-0145、そして政府・防衛・重要インフラに対して侵害された認証情報を利用するロシア関連の活動として記述された Laundry Bear が挙げられる。https://x.com/i/article/2088672299868377088
.academy ネイバーフッド — 8 月 17 日
Squarespace connect のカルテットに対するリバース IP により、2,020 の近隣ドメイン名が編纂された。1,898 が .academy で終わり、そのうち 1,767 は AS53831 の 198.49.23.144、198.49.23.145、198.185.159.144、198.185.159.145 にのみ解決され続けた。セット全体で 54 のユニークアドレスが出現した。サンプリングされた 40 の Squarespace ドメインすべてが Squarespace ヘッダーと crumb クッキーを返した。198.49.23.145 上の不正利用報告および過去のオフラインマルウェア URL（Cobalt Strike や Mozi のパスを含む）は、記事内で共有エッジ上の他のテナントに紐づけられている。境界線はブランド名と 4 つの公式 connect アドレスである。学校名はブロックリストから除外される。ホスト名ではなくアドレスをキーとするレピュテーションはプラットフォームのコストであり、そのように記録されている。https://x.com/i/article/2089015652753502208
アイデンティティレイヤー — 8 月 17 日
同一ドメインのレジストラファミリー、デュアルネームサーバー、4 つの anycast アドレスが正当なベースラインであり、模倣者がコピーするサーフェスでもある。Squarespace、Cloudflare、Vercel、GitHub Pages、AWS Global Accelerator はすでにレピュテーション、ヘッダー、認証局を備えている。外部ホストはフェイルクローズするため、単純なアドレスブロックはノイズが多い。記事が挙げるレバレッジはレジストラに存在する。移管、ネームサーバー変更、連絡先情報の整理、長期保有の登録、そして信頼されたエッジ上に配置された類似ドメインまたは任意のドメインである。付随する集計における 27 の外れ値 .academy apex のうち 12 は Squarespace Domains で登録され、他でホストされていた。操作対象レイヤーに適合する制御は、レジストラロック、プラットフォームの多要素認証、類似ドメインに対する Certificate Transparency、そしてドメインがメールを送信しない場合のハードフェイル SPF レコードである。https://x.com/i/article/2089012676634738688
T-Mobile として記録された Verizon 割り当て — 8 月 23 日
8 月 5 日、自社レポートはクライアントプレフィックス 2600:1010:b204:: を T-Mobile 風とラベル付けした。当該端末は当初から Verizon のみを使用しており、元の所有者のものである。ARIN は NetName WIRELESSDATANETWORK、組織 Verizon Business (MCICS)、2010 年 4 月 6 日登録、2600:1000:: から 2600:1017:ffff:: をカバーすると示している。緩い asname およびジオロケーションフィードは、2025 年 10 月から当該レポートの日まで T-Mobile ラベルを保持していた。8 月 21 日のライブ取得では Team Cymru AS6167 CELLCO-PART および RIPE AS22394 CELLCO が返された。割り当ては移動していなかった。記事とともに公開された作業順序は、本シリーズ残りの順序でもある。まずツールを帰属させ、次にテナント、そしてレジストリを帰属させる。https://x.com/i/article/2091560316878671872
ランク付けされた 2023 年インベントリ — 8 月 23 日
2023 年初頭にニューヨークの Charter 住宅経路から得られた 294 枚のスクリーンショットが、ランク付けされたセットとして引き継がれた。約 1,450 の IPv4 アドレス、うち約 1,266 がパブリックであり、明示的な T1 から T5 のスケールに基づく。2026 年のスキャンは、何かを公開状態に残す前にサービスをクローズした。103.235.46.191 は Baidu の香港アナリティクスエッジ hm.baidu.com（AS55967）である。23.82.31.230 は Leaseweb 上の TradingView である。Boeing 範囲のアドレスは文書のみのリストに配置された。Boeing の部品事業に対する LockBit 侵入に関するその後の公開報道は、その文書行と組織名を共有するが、セッションは共有していない。Charter の 2023 年 2 月の音声障害、2023 年 7 月の Storm-0558 声明、その後の Salt Typhoon 報道、Leaseweb 自身の 2023 年 8 月 22 日の通知がコンテキストウィンドウとなる。https://x.com/i/article/2091569041584619520
Fastly 上の GitHub — 8 月 27 日
QS-NetHarden はスマートフォンのテザリングで実行された。キャプチャ開始は太平洋時間 8 月 26 日 09:08 である。NetCloak は新しい Windows 身元を提示した。Artillery デコイは ban オフの状態で稼働していた。Phantom-QS は Firefox 128 を巡回させた。その朝のハニーポットログにリモートヒットは存在しない。DNS がオペレーターである。チャットプロキシ、GitHub のロードバランサー、Actions、Copilot、そして release-assets.githubusercontent.com である。これを包含するプレフィックス 185.199.108.0/22 は RIPE US-GITHUB-20170413、組織 GitHub、BGP オリジン AS54113 Fastly である。Fastly 自身が公開するアドレスリストには含まれていない。.133 セットはコンテンツのキャッチオールである。.154 セットはリリースとパッケージである。Actions の正面玄関は Microsoft 13.107.42.0/24 および 13.107.43.0/24 であり、pipelines.actions は当該スキャンで 13.107.43.16 に解決された。URLhaus は release-assets 名義でマルウェア URL を保持しており、Harden-Runner もこれをフラグ付けしている。ホスト名はトラックである。アクターは積荷と、GitHub ではない次のホップである。後続の仮想サーバーをブロックせよ。リーフ、Fastly キャッチオール、Azure Front Door、リージョナルスナップショット、センサーはそのまま残せ。https://x.com/i/article/2093021792923508736
1 つのスノーシュー型リード生成拠点 — 8 月 29 日、9 月 7 日継続
8 月 27 日、1 つの受信トレイが 72 件の迷惑自動車保険・クレジットカードメッセージ、156 のユニークリンク、71 の From ドメインを受信した。件名のクラスタリングにより 3 組の重複ペアが生成された。不変要素は、すべての本文とリンクに含まれるトークン e6jbv4z である。クリックは、長期保有 apex 上の 2 文字ラベルと、/r に 16 進数を続けた形式の PHP パスを使用する。Policy Plug が 72 件中 51 件を占める。Easy Insurance Match、Endurance、Indigo and Destiny Mastercard は仮の姿である。大部分のサブセットは LendingTree の NMLS 番号 1136 とシャーロットの住所をコピーしている。LendingTree はフッター盗難の被害者である。メールとクリックは NForce（AS43350）上の 185.47.200.0/24 および 185.47.203.0/24 に存在する。nginx、PHP 7.4.33、443 はクローズ、25 はフィルタリング済みである。ドメインは長期保有の Name.com インベントリである。HEAD リクエストは汎用 nginx 403 を受け取る。ブラウザ風の GET は、taobmaets.com 上の CAKE ランディングページ（オファー a=44 および c=2701）、または keycanvascanvas.com の購読解除ページへ 302 を返す。Office ファイルとして命名された添付ファイルはプレーンテキストである。ClamAV はクリーンであった。1 つの Host ヘッダー mediaignorance.com は、/24 内の 7 アドレスから同一の 52,667 バイトの本文を返した。4 つの apex に対する未編集 WHOIS は Robert Carpino を示し、記事群ではピボットとして扱われている。CAKE オファー背後の購入者は未特定である。9 月 7 日、同一トークンおよび同一パス形状、自動車保険と Indigo の仮の姿を用いた追加収集分が、すでに AT&T のデータベースに存在するものとして公開された。投稿は 1 つの共有ネームサーバーセットを主張するが、それを印刷していない。防御側のアクションはトークン、パス、2 つの NForce プレフィックスであり、abuse@nforce.com とレジストラに報告され、盗用された NMLS 行はフッターの窃取として特定された。https://x.com/i/article/2093528643779825664 https://x.com/i/article/2093532720119083008 https://x.com/i/article/2097103637160022017
住宅用ファイアウォール、初回スキャン — 9 月 5 日
AT&T 住宅用ゲートウェイのログは、26 分間で 296 イベント、188 ユニークアドレス、うち 169 がパブリックであった。このスライスはパブリック IPv4 の背景放射である。8 月 31 日時点のカードはすでに QNAX、Recyber、Infrawatch、Xpanse、Censys、Pfcloud、CHINANET を挙げていた。3 つの発見事項が新規であった。QNAX 45.140.193.187 は 21 分間に WAN へ 10 回ヒットした。記事は 170 ソースからの 408 件の AbuseIPDB レポート（すべて敵対的）と、RFB 003.008 を使用する tcp/5900 での VNC ブルートフォースを引用している。qnax.sh はその VPS、RDP、コンソール VNC 製品を販売している。Spamhaus DROP ネットワーク内で最初に名前が挙がったインバウンドは、11:58 の 176.65.148.0/22 内 Pfcloud 176.65.149.233 であった。n8n.pfcloud.io は 176.65.148.168 に存在する。sso.pfcloud.io は自身を authentik と識別する。79.124.58.0/24、79.124.49.0/24、78.128.114.0/24 にわたる Tamatiya および 4vendeta のスプレーには 79.124.58.90 が含まれ、その逆引き名は ip-58-90.superbit.host、エイリアスは urlforward.topdns.com であり、143.198.68.197 の ns-usa.topdns.com と同一の DigitalOcean アドレスである。topdns.com のパッシブ拡張は 517 ラベルを返し、多くがブランド衝突で、ほぼすべてアドレスを持たなかった。ネームサーバーはブロックされていない。優先ホストは 45.140.193.187、79.124.58.18、79.124.58.90、79.124.49.90、78.128.114.46、78.128.114.162 である。任意対応ネットワークは Tamatiya の顧客・運用スライス、Pfcloud 176.65.148.0/22 および 204.76.203.0/24 である。これらとともに放置されるのは TopDNS、CriminalIP コレクター、Cloudflare エッジ、センサススキャナー、Telepoint 78.128.42.0/24 である。記事とともに公開された不正利用連絡先は abuse@qnax.com.br と noc@4vendeta.com である。センサーはホットスポット上にあった。LAN はスキャンされていない。この記事は前半シリーズの 7 月 24 日付 Tamatiya ノートに基づいている。9 月 4 日のウェブサイトポインターはシリーズタイトルを掲げ企業サイトを指している。測定の X 記録は本記事と次記事である。https://x.com/i/article/2096029788624523264
住宅用ファイアウォール、残り — 9 月 6 日
8 月 29 日と 9 月 5 日のウィンドウを合わせて、530 のユニークイベントと 270 のインバウンドパブリックアドレスが生成された。この第 2 記事は、センサススキャナーと名前の挙がった商用監視者を除外した後の残り 105 件である。確認された 108 アドレスのうち 74 が同日のパブリックフィードに出現した。Feodo、SSLBL、ThreatFox、Emerging Threats には出現しなかった。21 は 9 月 4 日付の Spamhaus DROP プレフィックス内にあり、Pfcloud /22 も含まれていた。記事は、同プレフィックス内の 176.65.148.183 から開始された UniFi OS 悪用に関する 6 月 25 日の報告と、CISA による 6 月 23 日の CVE-2026-34908、CVE-2026-34909、CVE-2026-34910 の追加を引用している。Ghosty 43.228.157.0/24 と Stormcloud 94.154.43.0/24 は、同記事内で URLhaus 上の Mirai ネイバーフッドとされている。残存する最も騒がしいインバウンドアドレスは依然として QNAX 45.140.193.187 であり、記事上のカウントは 412 レポート、最終確認は 9 月 1 日ポート 5000 であった。46.146.238.1 は高位ポートドロッパーの正確な URLhaus ホストであり、telnet が開いていた。195.252.206.160 の UniFi OS はアドレスフィードヒットがなく、8 月 26 日付の SAB-067、CVE-2026-77550 とサービスクラスで一致する。EMBNEX 16.5.0.0/24 は 8 つのダンプオリジンであり、ウェブサイト embnex.com は CloudFront である。無関係なネットワーク上の同一の短い HTML ブロブはシンクページである。推奨事項はネットワークのブロックである。https://x.com/i/article/2096732079388299264
管理ノードへのホットスポットエグレス — 9 月 14 日
iPhone ホットスポット上の個人端末からのトラフィックが、static.vnpt.vn および rdp.cdmt.vn と名付けられた 113.176.118.150 に到達した。このアドレスは MikroTik RouterOS 6.49.13、ポート 80 の Nginx Proxy Manager、443 の名称制限付き HTTPS、5009 の公開 MeshCentral ログイン、8443 の公開 UniFi ログイン、8080 と 8090 の 2 つの SSH デーモン、そして CloudFront 名 d3azdm1q0gvo54.cloudfront.net が関与する 8088 の未特定 CONNECT 型サービスを提示する。公開された仮説は、インターネットに面したゲートウェイ兼管理ノードというものである。個人ホットスポットからそこへのエグレスは、既知のアプリケーション、ユーザー、デバイスにマッピングされるまで未承認のままである。https://x.com/i/article/2099540826854715392
薄いウェイトリスト — 9 月 22 日
uythjmnglk.xyz は 2026 年 9 月 14 日に Dynadot で登録され、プライバシープロキシ経由、Cloudflare ネームサーバーペア phoenix と wilson 上、DNSSEC なしであった。apex と www のみが応答する。ローカルネットワーク外では、アプリケーションは「You're on the list」と題されたウェイトリストであり、トークン v:897qvxac7fny03ac の下にある購読パスへメールを投稿していた。AT&T ゲートウェイ上では、同一ドメインがマルウェアを理由とする短いインタースティシャルを返した。そのページはキャリアであり、オリジンではない。ドメインの前にある 2 つの Cloudflare アドレスは 2023 年 6 月の Mystic Stealer 付録に出現する。これらは共有 anycast であり、その付録と今回の登録の間には 3 年の隔たりがある。同一レジストラでの同日のカジノおよび 4D ドメインは別のネームサーバーペアを使用している。より古いペアは、FanPartners アフィリエイトパスに紐づく「A little chicken」ランディングページをホストしている。これらのクラスターはこのシードから除外される。Cloudflare アドレスはいかなるキャンペーンブロックリストからも除外される。https://x.com/i/article/2101850617815908352
CAC および DEERS 通知 — 9 月 28 日
2026 年 3 月 9 日と 2026 年 5 月 7 日に、CACExpiration-DoNotReply@mail.mil から個人の Gmail へ 2 件の通知が届いた。5 月のメッセージは SPF、DKIM、DMARC を通過した。DKIM は d=mail.mil、セレクタ EEMSG2021v1a、ポリシー reject であった。メッセージ識別子は 214.24.21.199 の UHIL19PA53.eemsg.mail.mil を示す。S/MIME 署名者は benefits.notifications@mail.mil、DOD SW CA-83 発行、2025 年 10 月 15 日から 2028 年 10 月 15 日まで有効である。Gmail のバナーは From と署名者が異なることを示す。2 つのメールボックスは異なり、その差異だけでバナーが生成される。本文は 2 つの身分証明書が欠落していると述べ、RAPIDS にアクセスしてアップロードするよう指示する。3 月は 120 日以内、5 月は 7 月 6 日までの 60 日以内であった。書類は提出されなかった。カードは機能し続けた。
記事が引用する公式プログラムは 2026 年 1 月の DMDC 通知から始まった。8 月までに約 215,000 人の現役および予備役隊員が非準拠となった。陸軍は約 111,000 枚のカードを審査したが、9 月 2 日時点で失効したものはない。7 月時点で約 21,500 人の海兵隊員が不足していた。9 月 8 日に公開された 9 月 3 日の公式見解は、行政記録の更新であると説明し、書類欠落に関して不正や侵害は主張していない。MARADMIN 393/26 は、対面で 2 つの原本書類を要求する。3 月の本文はアップロードと述べていた。
記事が語彙列に保持しているクラスは、署名者以前に導入された実体であるため、チェックは依然として通過する。Gmail の検証後の書き換えは除外される。DKIM が通過したからだ。元のメッセージファイルも署名部分も手元にはなかった。メールホストは AS345、214.24.21.0/24 であり、1998 年からの Defense Network Information Center ブロックである。www.cac.mil は Akamai 上の名前で、アドレスは 23.62.46.164 と 23.62.46.182、403 を返し、そのエッジ上の証明書は www.cac.mil とともに pentagon、defense、department といった一連の名前を保持している。DMDC アプリケーションの idco、myaccess、pki は AS27064 内の異なる 214 アドレスで解決され、その中には 214.16.194.24 の pki.dmdc.osd.mil も含まれる。メールプレフィックスとそれらのアプリケーションプレフィックスの間には共有されるものはない。あるジオロケーション製品は 214 クエリをオハイオ州コロンバスに配置し、別の製品はバージニア州ローズヒルに配置する。これは単一の割り当てである。
隣接する 3 つのレコードはそれぞれ独自の領域にとどまる。7 月 20 日付の email.usfhp.net 上のマーケティングページは、通常の HubSpot クラスの計測を備えた本物の US Family Health Plan の資産である。9 月 18 日付のファイル共有通知は、2025 年 10 月から 2026 年 7 月 16 日までの暗号化されていないアクセスについて記述し、7 月 16 日に発見されたとしているが、記事はこの From 行と結びつけていない。9 月 4 日の IDScan 通知は顧客のクラウドアカウントに関するものである。約 400 万件および 6,000 万件のレコードという数は、被害者の総数として記事では否定されている。https://x.com/i/article/2104388574397554688
17 分間の破棄 — 10 月 3 日
10 月 3 日の 05:55 から 06:12 に出力された住宅用破棄エクスポートには、234 行、110 の外国アドレス、166 のヒット増分が含まれていた。すべての行がドロップであり、エクスポートには宛先ポートがない。ウィンドウを約 5 時間ずらした後の読み取りは、別の時計における同一のイベントである。57 のスキャナヒットのうち 51 は、インターネット全体の調査プロジェクトとして名前が挙げられている。Infrawatch、Cortex Xpanse、Censys、Shadowserver、Stretchoid、Nokia Deepfield、そしてその近隣だ。8 月のものと完全に一致する 10 のアドレスが繰り返されており、4vendeta 79.124.49.90、SS-Net 80.94.95.226、Ghosty 43.228.157.10、Amarutu 89.42.231.200 が含まれる。QNAX と Recyber はこのウィンドウには存在しない。既知ネットワークの新規メンバーには Pfcloud 204.76.203.4 と Stormcloud 94.154.43.203 が含まれる。Stormcloud /24 上のマルウェア名は兄弟アドレスに存在する。ログに触れたアドレスは破棄であり、ファミリー名は実際に登録された兄弟アドレスにとどまる。
8 つの UDP ポリシードロップは、9 月 20 日のプロキシリストチェックの末尾であり、監視対象ネットワークが送信したパケットである。2 行の Amazon 無効パケットには脅威リストのヒットがない。同じ朝の別のテザーエンリッチメントは、Verizon、Comcast、Lumen、Cogent、Google、Cloudflare という通常のキャリアおよびコンテンツパスである。自らを説明しないセッションは 87.250.250.108 で、cloud.yandex.ru と名付けられている。新しいリストマッチにおける唯一の Spamhaus DROP ヒットは、140.222.0.0/16 内の 140.222.19.75 と 140.222.19.77（SBL693942）であり、古い NSFNET 空間でのハイジャックパターンとして読まれ、ホストブロックリストからは外されている。計測プロジェクト、防弾スキャナ、オペレーター自身のツールを 1 つの指標リストにまとめることは、インシデントを捏造することになる。https://x.com/i/article/2106513298426597376
Yandex Compute、公開記録に反して — 10 月 4 日
出回っていた最初の主張は、ロシア国家が鍵管理、ハイパーバイザーアクセス、サイレントディスククローン、固定コアマップ、カスタムストレージデーモン、スケジューラ上の合法傍受フィードを組み合わせることで Yandex Cloud ゲストを読み取っているというものだった。記事はその主張を、Yandex 自身のコンピュート文書およびこのホスト上にすでにあったものと照合する。デフォルトのディスク暗号化はプラットフォーム鍵を使用する。顧客鍵は依然として Yandex の鍵サービス内に存在し、それを無効化することはキルスイッチとなる。ゲストメモリは QEMU プロセスの通常のメモリであるため、ホストのオペレーターは実行中のゲストと同じ信頼境界の側にいる。libvirt は存在しない。ライブマイグレーション、専用ホスト、同一ホスト上での QEMU ビルド切り替えは公開された製品動作である。host-id ピンはライブマイグレーションを無効にし、インスタンスをすでに更新できるプリンシパルによってコンピュート API を通じて書き込まれる。ゲストインターフェースはその書き込みを持たない。引用されたページが示していないのは、ハイパーバイザー制御ソケット、スケジューラの選択、ホストアフィニティルールに対する合法傍受サブスクリプションであり、またより広い論考におけるサイレントクローン、固定コアマップ、カスタムデーモン、トンネル経路も示していない。yandex を含むローカルの逆引き名前の目録が作成された。45.87.42.74 は 8 月の qloudhost 販売ファームのままであり、別の名前である。破棄の記事で説明されなかったセッション 87.250.250.108 は、以前の表には存在しなかった。登録情報は、クラウドオブジェクトの Yandex.Cloud LLC とエンタープライズネットワークの YANDEX LLC を分割している。完成した API 証明書は Yandex、モスクワ、GlobalSign である。1 つの広告名は依然として 77.88.21.179 に宙ぶらりんの逆引きポインタを持っている。https://x.com/i/article/2106548730942152704
未払いの Coinbase カード誘導 — 10 月 9 日
2 つの Telegraph ページ、telegra.ph/NCO-09-27 と graph.org/UIN-10-05 は、1 つの続行リンクを共有している。どちらも 149.154.164.13 上に存在する。これらは 9 月 27 日と 10 月 5 日に公開された。リンクは 107.189.20.230 上の rss2.sayler.at/go/337413/z274x264 であり、31.59.121.53 上の 97ee1.ralind.at にある Coinbase Card キットへリダイレクトする。キット自身のスクリプトは、インデックスから高速支払いページまで 22 ステップを指定している。10 月 6 日のオリジナル投稿はその数を述べ、同じ 22 のファイル名を出力している。ページには 39,437.16 ドルの残高が表示されている。スクリプトの最終更新日は 2026 年 8 月 26 日である。11 の手数料コードが指定されている。58 ドルの銀行間送金行である y2a4u234 のみが追跡され、31.57.29.11 上の bitpays.at、ストリーム 4374w2 へと至った。10 月 9 日 03:45 GMT での合成送信は、172.81.177.1 上の btcpay369329.lndyn.com にある BTCPay インボイス 6QTpVwNe9CynFTXZFJE8Yk へのリダイレクトを返した。ステータスは New。58 ドル、0.00070469 BTC、レート 82,306.45 ドル、アドレス bc1qexqsudur4860kva5789qcvkmpdk4j9wrfrsmzy。支払い確認はゼロを返した。支払いは送信されなかった。
ip-api はキットをパリに、支払いフォームをリガに配置する。QuantumGuard とオリジンレジストリは 31.57.29.0/24 をアラブ首長国連邦の AS56971 に配置する。sayler.at、ralind.at、bitpays.at は DNSPod を使用している。SOA シリアル 1789107920 を持つオブジェクト上の 10 月 6 日のメモは、そのオブジェクトを AS14956（RouterHosting および FranTech）の下でザーンダムに配置する。10 月 9 日の記事はその配置を繰り返していない。Telegraph のネームサーバー、graph.org 用の GoDaddy ネームサーバー、DNSPod アドレスは共有 DNS である。144.31.93.214 はこのチェーンから外れている。8 月 15 日の論考とこの誘導の両方が Coinbase という単語を使用している。論考の例は電話なりすましグループである。今回のものはページ、トラッカー、カードキット、そして未払いのままのインボイスだ。https://x.com/i/article/2108597864108871681
結語
2 つのリストがこのシリーズを締めくくる。1 つ目は Quantitative Security が使用した手法である。2 つ目は各記事がマッピングした手法であり、それぞれに記事が付与したグループ、テナント、またはクラスが付随する。論考の例は 8 月 15 日の論考の下にとどまる。兄弟タグは兄弟アドレスにとどまる。調査プロジェクトは計測バケットにとどまる。記事がグループを指定しない場合、その行はテナント、ネット、またはクラスで終わる。
使用された手法
- バナー、証明書、リスニングサービスに対する構造化された外部パス。放棄された資産を本番ボリュームから分離する。
- ソーシャルエンジニアリングで開始され、オープンソースエンリッチメントで拡張された訪問者エンゲージメント。偵察のみ。
- リバース IP、WHOIS およびレジストリの取得、メール認証レコード、そしてそれらのレコードが指定したアドレスに対してチェックされたパケットキャプチャ。
- 外部のハンターが使用するのと同じ開口部を通して実行された自社ドメイン。自己偵察はセンサーノイズとして保持される。
- ARIN、RIPE、Team Cymru と照合されたソフトジオロケーションおよび asname フィード。順序はツール、次にテナント、次にレジストリ。
- 公開インシデントが結びつけられる前にサービスアイデンティティで閉じられた、ランク付けされた履歴インベントリ。
- オンパス DNS およびハニーポットログ。自社セッションをリモートヒットから分離するように読み取られる。
- 不変トークンで削減されたメール、ブラウザ GET と対比された HEAD リクエスト、プレフィックス全体でハッシュ化された 1 つの共有バーチャルホストボディ。
- AbuseIPDB、Spamhaus DROP、URLhaus、Feodo、SSLBL、ThreatFox、Emerging Threats に対して削減された住宅用破棄。パッシブな名前展開によりネームサーバーはブロックリストから外される。
- 関連付けとして保持されたホットスポット出口。フォローアップ計測は最初のセッションから時間をずらして実施される。
- オリジンコンテンツから分離されたレジストラ、ネームサーバーペア、キャリア中間ページ。
- SPF、DKIM、DMARC、S/MIME をまとめて読み取り、署名付き原本が手元にない場合はクラスとして保持する。
- 調査プロジェクト、繰り返される敵対的ネット、自社パケット、自らを説明しないセッションに分類された破棄エクスポート。
- より広い主張に対して読み取られたベンダーのコンピュート文書。裏付けのない条項は調査結果から除外される。
- トラッカー、キット、1 つの手数料コード、合成未払いインボイスを通じて追跡された誘導チェーン。支払いは送信されなかった。
マッピングされた手法とそれぞれの名称
- 残留クラウドサービスと短命な認証済みプロキシ。残留ブランドは GENIEX、Dragon Raja を含むゲームタイトル、ラオスに関連する小規模な医療美容および中古車サイト群である。
- 訪問者インフラの収穫。開始アドレスはイランにジオロケートされ、記事はラベルをそこに留めている。ベースラインはオンタリオ州ソーンヒルの GoCodeIT Inc.、rejekibet.com とそのブランド周辺の詐欺クローン、清算中の geniex.com を挙げる。
- 共有ホスティング上のブランド名の健康保険販売、およびすでにフィッシングとして分類されたサイト。関連する名前は登録者である。Fabiola Silva Souza と Fabiola Silva Souza Seguros Ltda が中核ポートフォリオを保有する。Roger Oliveira da Silva と Leonildo Quintiliano はブリッジサイトに存在する。Tiago Ferreira Pena は隣接する登録者である。Christian von Langermann は共同テナントである shelleasternpetroleum.ae の登録者である。OpenDNS、Cloudflare、DNS4EU は vendasbradescosaude.com.br をフィッシングとして分類した。同じノード上の偽銀行、カジノ、ウォレットコンバーターのページは近隣のままだ。
- 信頼されたエッジの模倣：Squarespace、Cloudflare、Vercel、GitHub Pages、AWS Global Accelerator にパークされた類似名または任意の名前。198.49.23.145 上の過去の Cobalt Strike および Mozi URL は、そのエニーキャストの別テナントである。
- 8 月 15 日の論考における能力階層。これらの名前は論考の例である。Man hands（Tiffany M. とも呼ばれる）：ハードウェアウォレットおよび取引所サポートのなりすまし、偽装 BitcoinIRA メール。Dritan Kapllani Jr.。John Daghita（Lick と呼ばれる）：米国連邦保安官局が押収したウォレットに対する攻撃。Greavys、Wiz、Box グループ：1 人の Genesis 債権者に対する攻撃。Lazarus：2025 年 2 月の Bybit 盗難。UAC-0145：論考で Sandworm / APT44 に結び付けられた、VPN 設定を配信手段とする偽の求人面接。Laundry Bear：政府、防衛、重要インフラに対するロシア関連の認証情報。
- BGP オリジンが Fastly である GitHub リリースホスト名で運ばれるマルウェア URL。マッピングされた手法は信頼されたホスト名上の貨物である。ブロックは後続の仮想サーバーである。
- スノーシューリード生成。衣装は Policy Plug、Easy Insurance Match、Endurance、Indigo and Destiny Mastercard。LendingTree は盗まれた NMLS フッターの被害者である。メールとクリックは NForce（AS43350）上に存在する。編集されていない WHOIS は Robert Carpino をピボットとして挙げる。CAKE オファー 2701 の背後にいる購入者は特定されていない。
住宅用スキャンと敵対的ホスティング。
- QNAX。VPS、RDP、コンソール VNC を販売する。45.140.193.187 上でマッピングされた手法は tcp/5900 での RFB ブルートフォースである。
- Pfcloud。Spamhaus DROP プレフィックス内にあり、そのネット上で n8n と authentik が指定されている。6 月 25 日のアカウントは、同じ /22 内の 176.65.148.183 での UniFi OS エクスプロイトを配置する。CISA の 6 月 23 日のエントリーは CVE-2026-34908、CVE-2026-34909、CVE-2026-34910 を挙げており、記事では Mirai クラスのローダーとして説明されている。
- Tamatiya と 4vendeta。顧客セクションと運用セクションにわたるスプレイ。TopDNS がフォワーダーのままである。Recyber は 8 月のカードに存在し、10 月 3 日のウィンドウには存在しない。
- Ghosty 43.228.157.0/24 と Stormcloud 94.154.43.0/24。URLhaus で指定された Mirai 近隣。Stormcloud /24 では、ApexBot や LummaStealer を含むさらなるタグが兄弟アドレスに存在する。94.154.43.203 は 10 月のログに触れたアドレスである。
- Stealc、MooBot、Vidar、XWorm。193.233.198.28 のスキャナとは異なる自律システム上の、他の 193.233 ホストで指定されている。
- 46.146.238.1。ハイポートドロッパーの正確な URLhaus ホストで、telnet が開いている。
- 195.252.206.160 上の UniFi OS。SAB-067、CVE-2026-77550 とのサービスクラス一致。
- EMBNEX。8 つのダンプオリジン。embnex.com は CloudFront である。
- 同じログ内の調査プロジェクト：Infrawatch、Cortex Xpanse、Censys、Shadowserver、Stretchoid、Nokia Deepfield。その計測セットで繰り返されるネット名には SS-Net と Amarutu が含まれる。
- 1 つのアドレス上のインターネット向け管理サービス：MikroTik RouterOS、Nginx Proxy Manager、MeshCentral、UniFi。
- プライバシープロキシされた Dynadot 名前の 1 日間のウェイトリスト。記事はグループを指定していない。Mystic Stealer は、同じ Cloudflare エニーキャストアドレスをリストした 2023 年 6 月の付録として登場する。FanPartners と「A little chicken」ランディングページは別のネームサーバーペアを使用する。
- Defense Network Information Center ホスト上で SPF、DKIM、DMARC を通過するメール。From 行と S/MIME 署名者が異なる。記事内のプログラムは DMDC の本人確認ギャップである。マッピングされたクラスは署名者以前に導入された実体である。9 月のファイル共有通知は独自の日付にとどまる。
- Yandex Cloud ゲストの読み取りに関するより広い主張。文書はプラットフォーム暗号化鍵、Yandex 自身の鍵サービス内でキルスイッチとして残る顧客鍵、QEMU プロセスの通常メモリとしてのゲストメモリを裏付けている。cloud.yandex.ru と名付けられた 87.250.250.108 は、破棄の記事が説明できなかったセッションのままである。
- 複数ステップのカード誘導：2 つの Telegraph ページ、1 つのトラッカー、22 ステップのキット、手数料コード支払いフォーム、未払いのままの BTCPay インボイス。8 月 15 日の Coinbase の例は、論考の電話なりすましグループ Man hands のままである。今回のものはページ、トラッカー、キット、未払いインボイスである。
