Quantitative Security 는 2026 년 7 월 31 일부터 10 월 9 일까지, 연중 리뷰에서 제작 도구를 마련해 둔 공개 시리즈에 시간을 쏟았다. 이 시리즈는 7 월 31 일 클라우드 레인지 정찰부터 10 월 9 일 미결제 Coinbase 카드 유인책까지 이어지며, X 에 TLP:CLEAR 장문 형식으로 게시되었다. 8 월에는 그 방법론을 내부로 돌렸다. GitHub 이웃 하나가 건강보험 판매 신원으로 귀결되었고, 회사 자체 도메인이 외부 표적으로 측정되었으며, 1 년 치 통신사 라벨이 레지스트리와 대조되었다. 9 월에는 동일한 축약 방식을 주거용 방화벽과 스노슈 리드 밀(snowshoe lead mill) 하나에 적용했고, 해당 사례들이 올라탄 플랫폼들은 별도의 클래스로 유지했다. 10 월에는 폐기 로그를 측정값, 알려진 적대 네트워크, 회사 자체 도구로 분리하고, Yandex Compute 에 관한 더 넓은 주장을 벤더 문서와 대조했으며, 카드 키트를 추적해 미결제 상태로 남은 인보이스까지 확인했다.
각 결과물은 원시 텔레메트리와 오픈소스를 속성이 부여되고 우선순위가 정해진 방어 준비 상태의 결과로 전환한다. 이름은 해당 자료가 이름을 붙이는 곳에서만 연결된다. 플랫폼, 테넌트, 조사 프로젝트, 그리고 이를 통과하는 시그니처는 각 자료가 부여한 클래스를 그대로 유지한다. 마지막 부분에서는 사용된 방법, 매핑된 방법, 그리고 각각에 해당하는 그룹·테넌트·클래스를 나열한다.
리포트 시리즈
잔여 클라우드 표면 — 7 월 31 일
약 115 개 주소에 대한 구조화된 외부 스캔을 통해 라이브 프로덕션, 잔여 서비스, 방치된 자산을 분류했다. 104.247.165.210 의 터키 공유 호스팅(silaoglu.com, 배너 mt-rohan.guzelhosting.com)은 완전한 메일 및 웹 스택(Pure-FTPd, Dovecot, Exim, MySQL, LiteSpeed)을 노출했으며, 인증된 SOCKS5 및 HTTP 프록시와 수명이 짧은 인증서가 함께 있었다. 가장 큰 볼륨은 Tencent 와 Aceville 영역에 있었고 강하게 필터링되어 있었다. 응답한 소수가 바로 잔여 표면이었다. 포트 81 의 Nginx Proxy Manager, /arena 아래의 라이브 Next.js 애플리케이션, 상위 포트의 인증된 프록시, 내부 스타일 호스트명을 사용하는 Windows Remote Desktop, 그리고 GENIEX eSIM 브랜드와 인도네시아·베트남 게임 브랜드(오래된 Jetty 로 여전히 제공되는 Dragon Raja 타이틀 포함)의 남은 인증서들이었다. 하나의 Tencent 주소에 있던 라오스 연관 소규모 집합은 중국어 의료미용 및 중고차 사이트를 보여주었으나 공개 흔적은 미미했다. 이 결과물은 연중 리뷰가 Google 엣지에 적용했던 것과 동일한 분리 작업이다. 프로덕션 볼륨과 방치된 서비스는 서로 다른 발견 사항이며, 차단 및 강화 문제가 되는 것은 후자뿐이다. https://x.com/i/article/2083245764969635841
보호 정보 교전 — 8 월 1 일
이란으로 지리적 위치가 표시된 마스킹된 주소가 Quantitative Security 인프라를 방문하면서 교전이 시작되었다. 해당 상호작용에 대한 소셜 엔지니어링으로 주소 집합을 포획했고, 방문자 인프라를 수집하기 위해 특별히 제작된 사이트로 이를 확장했다. 공개된 기준선에는 65.111.5.29 및 74.119.149.79 의 인증된 프록시에 있는 온타리오주 손힐의 GoCodeIT Inc., technofaq.org 용 103.255.134.61 의 노출된 CloudPanel 2.5.2, 포트 8888 의 152.32.169.33 에 있는 Microsoft 스타일 CodePushServer, 해당 브랜드 주변에 사기 클론을 거느린 인도네시아 실머니 도박 플랫폼 rejekibet.com, 38.107.237.68 을 포함한 인터넷 노출 Windows Remote Desktop, 도메인 자체가 AWS 로 해석되며 정리 중인 나이지리아 가상 SIM 운영체 geniex.com, 그리고 과거 Tencent 잔여 영역에 있다가 chukouplus.com 을 통해 Zenlayer 로 이동한 acmmanufacturer.com 이 명시되어 있다. 104.207.0.0/16 의 프록시 호스트는 인증을 요구했고, 약 7 일짜리 인증서를 제시했으며, 탐사된 관리자 경로에서 404 를 반환했다. Zeus-admin 리스너는 필터링된 상태를 유지했다. 시작 주소의 지리적 위치 라벨이 교전의 출발점이다. 이 글은 특정 국가 지원 그룹에 이름을 부여하지 않는다. 데이터셋은 하반기 기준선으로 마감되었다. https://x.com/i/article/2083388096285179904
GitHub 로드 밸런서에서 브라질 건강보험 판매 팜으로 — 8 월 8 일
8 월 7 일 QuantumGuard 및 캡처와의 핫스팟 세션은 Seattle 로드 밸런서 140.82.116.3(lb-140-82-116-3-sea.github.com)의 GitHub 풀 리퀘스트와 역방향 IP 조회에서 시작되었다. 해당 주소는 coindream.site 를 공동 호스팅하고 있었다. 웹은 GitHub 에 있고, 메일 SPF 는 UltaHost cp5 159.100.6.5 를 가리켰으며, 2026 년 1 월 23 일에 생성되었고, 등록자는 프라이버시 처리되어 있었으며, DNS 는 Namecheap 이었다. 캡처에는 이후 사례 주소로 향하는 패킷이 없었다. UltaHost 는 Christian von Langermann 에게 등록된 shelleasternpetroleum.ae 를 비롯해 gamingcomission.co, antifraud.click, aranttru.com, pinupcasinorussia.click 등 약 500 개의 도메인을 보유하고 있었다. 웹 포트는 이후 2082 와 2083 의 cPanel 로 필터링되었다. 187.33.241.58 의 pro114.dnspro.com.br 는 전체 메일 및 패널 스택과 공개 MariaDB 10.11.18 을 노출했다.
주요 노드는 45.87.42.74 의 shared.qloudhost.com 으로, Bradesco, Amil, Unimed, SulAmérica 라는 브랜드명을 사용한 2017~2025 년 브라질 건강보험 판매 팜이다. 핵심 포트폴리오의 WHOIS 등록자는 Fabiola Silva Souza, 핸들 FASSO283, 메일함은 saudeperfeita.com.br 이다. 기사 내 공개 기록은 2021 년 2 월 23 일에 개설된 상파울루 모코카 소재 Fabiola Silva Souza Seguros Ltda 의 CNPJ 40.950.276/0001-55 와 일치한다. 브리지 사이트 saudeperfeita.com.br 은 162.241.2.92 의 HostGator 에 있으며, WordPress 사용자 admin 과 nildo 를 두고 있고 기사에서는 Agência Unit 의 Roger Oliveira da Silva 및 Leonildo Quintiliano 와 연결된다. Tiago Ferreira Pena 는 동일한 네임서버에 있는 인접 등록자다. 같은 노드에는 가짜 은행 페이지, 카지노 가입, Paysafe 및 Neosurf 변환기도 있었다. QloudHost 는 카지노 호스팅을 마케팅한다. 공유 네임서버와 saudeperfeita 메일함이 건강보험 운영자들을 연결한다. 노드의 공동 테넌시가 해당 신원을 금융이나 도박 테넌트로 확장시키지는 않는다. vendasbradescosaude.com.br 는 OpenDNS, Cloudflare, DNS4EU 가 피싱으로 분류한 뒤에도 qloud 주소에 남아 있었다. 이 글에서 열어둔 부분은 전체 registro.br 포트폴리오, 원래 풀 리퀘스트 URL, von Langermann 에 대한 보조 피벗이다. https://x.com/i/article/2085939414463631360
외부 표적으로서의 자체 도메인 — 8 월 15 일
8 월 9 일부터 14 일까지 quantitativesecurity.org 는 외부 헌터가 사용할 것과 동일한 초기 동작으로 검사되었다. 오리진은 깨끗했다. 호스팅은 Squarespace 멀티테넌트 애니캐스트로, NS1 의 p07 세트와 Squarespace DNS, 고객 도메인에 Let's Encrypt, 그리고 *.squarespace.com 용 DigiCert 인증서를 담은 베어 주소에서의 403 응답으로 구성되었다. nmap 은 Go net/http 구현을 보고했지만 Server 헤더는 Squarespace 라고 표시했다. 이 쌍은 두 계층에서 설명된 하나의 엣지다. 약 1,900 개의 .academy 도메인이 이 플랫폼을 공유한다. Gophish 급 지표들을 테스트했으나 존재하지 않았다. QuantC 와 QuantumGuard 는 자체 정찰을 플랫폼 노이즈로 기록했는데, 이것이 해당 센서들이 필요로 하는 실제 기저 사실(ground truth)이다. 실질적인 잔여 위험은 신원이다. MX 없음, SPF 없음, DMARC 없음, 그리고 2026 년 9 월 만료가 다가오는 등록 상태다. 오리진이 깨끗해도 메일 경로가 서명되지 않았다면 여전히 공격 표면이다. https://x.com/i/article/2088437251508436992
역량 수준 — 8 월 15 일
함께 게재된 에세이는 전술과 누적 금액을 기준으로 범죄 조직과 국가 지원 행위자를 구분하고, 아무것도 취하지 않는 노출 작업을 위한 세 번째 범주를 따로 둔다. 하위 단계에서 에세이가 매핑한 예시는 "Man hands"로 알려진 발신자(Tiffany M. 이라고도 함)로, 하드웨어 지갑 및 거래소 지원 사칭, 최소 500 만 달러, Trezor 및 Coinbase, 위조된 BitcoinIRA 메일, 동료가 제공한 패널, 취약한 작전 보안을 특징으로 한다. 이 수치는 해당 발신자에 대한 에세이의 절도 총액이다. 같은 글의 중위 단계 예시는 약 1,900 만 달러의 Dritan Kapllani Jr., 그리고 미국 연방보안관국이 압수한 지갑에서 4,600 만 달러 이상(에세이가 추정하는 더 넓은 활동 규모는 9,000 만 달러 이상)을 챙긴 뒤 체포된 "Lick"이라 불리는 John Daghita 다. 상위 범죄 사례는 단일 Genesis 채권자로부터 약 2 억 4,300 만 달러를 얻은 Greavys, Wiz, Box 조직이다. 국가 지원 사례로는 Lazarus 와 약 15 억 달러 규모의 2025 년 2 월 Bybit 절도 사건, 에세이에서 Sandworm / APT44 와 연결되며 우크라이나 IT 전문가 대상 가짜 면접과 VPN 설정을 전달 수단으로 사용한 UAC-0145, 그리고 정부·국방·주요 인프라를 대상으로 탈취된 자격 증명을 사용하는 러시아 연계 활동으로 묘사된 Laundry Bear 가 있다. https://x.com/i/article/2088672299868377088
.academy 이웃 — 8 월 17 일
Squarespace connect 4 개 주소의 역방향 IP 조회로 2,020 개의 이웃 도메인이 수집되었다. 1,898 개가 .academy 로 끝났고, 그중 1,767 개는 여전히 AS53831 의 198.49.23.144, 198.49.23.145, 198.185.159.144, 198.185.159.145 로만 해석되었다. 전체 집합에서 54 개의 고유 주소가 나타났다. 샘플링한 40 개 Squarespace 도메인 모두 Squarespace 헤더와 crumb 쿠키를 반환했다. Cobalt Strike 및 Mozi 경로를 포함해 198.49.23.145 에 대한 어뷰즈 신고 및 과거 오프라인 멀웨어 URL 이 기사에서는 공유 엣지의 다른 테넌트들과 연결된다. 경계선은 브랜드명과 4 개의 공식 connect 주소다. 학교 이름은 차단 목록에서 제외된다. 호스트명이 아닌 주소에 기반한 평판은 플랫폼 비용이며, 기사에서도 그렇게 기록되었다. https://x.com/i/article/2089015652753502208
신원 계층 — 8 월 17 일
동일 도메인의 등록기관 계열, 이중 네임서버, 4 개의 애니캐스트 주소가 합법적 기준선이며, 모방자가 복사하는 표면이기도 하다. Squarespace, Cloudflare, Vercel, GitHub Pages, AWS Global Accelerator 는 이미 평판, 헤더, 인증 기관을 갖추고 있다. 외부 호스트는 여전히 실패 시 차단(fail closed)되므로 단순 주소 차단은 노이즈가 많다. 기사가 지목하는 제어 수단은 등록기관에 있다. 이전, 네임서버 변경, 연락처 정리, 오래된 등록, 그리고 신뢰받는 엣지에 주차된 유사 도메인 또는 임의 도메인이다. 부수 집계에서 27 개 이상치 .academy 최상위 도메인 중 12 개는 Squarespace Domains 에 등록되어 있으면서 다른 곳에 호스팅되고 있었다. 조작 대상 계층에 맞는 통제 수단은 등록기관 잠금, 플랫폼 다중 인증, 유사 도메인에 대한 Certificate Transparency, 그리고 해당 도메인이 메일을 보내지 않을 경우 hard-fail SPF 레코드다. https://x.com/i/article/2089012676634738688
T-Mobile 로 기록된 Verizon 할당 — 8 월 23 일
8 월 5 일 자체 보고서가 클라이언트 프리픽스 2600:1010:b204:: 를 T-Mobile 스타일로 라벨링했다. 해당 단말기는 최초 소유자의 것으로 항상 Verizon 만 사용해 왔다. ARIN 은 NetName WIRELESSDATANETWORK, 조직 Verizon Business(MCICS), 2010 년 4 월 6 일 등록, 2600:1000:: 부터 2600:1017:ffff:: 범위를 보여준다. 소프트 asname 및 지리적 위치 피드는 2025 년 10 월부터 해당 보고서 작성일까지 T-Mobile 라벨을 전달했다. 8 월 21 일 실시간 조회에서는 Team Cymru AS6167 CELLCO-PART 와 RIPE AS22394 CELLCO 를 반환했다. 할당은 이동하지 않았다. 기사와 함께 공개된 작업 순서는 이 시리즈 나머지 부분의 순서이기도 하다. 도구를 귀속시키고, 다음으로 테넌트를, 그다음 레지스트리를 귀속시킨다. https://x.com/i/article/2091560316878671872
순위 매겨진 2023 인벤토리 — 8 월 23 일
2023 년 초 뉴욕 Charter 주거용 경로에서 확보한 294 개의 스크린샷이 순위 집합으로 이어졌다. 약 1,450 개 IPv4 주소, 그중 약 1,266 개가 공개 주소였으며, 명시적 T1~T5 척도로 평가되었다. 2026 년 스캔은 무언가를 열어두기 전에 서비스를 닫았다. 103.235.46.191 은 Baidu 의 홍콩 분석 엣지 hm.baidu.com(AS55967)이다. 23.82.31.230 은 Leaseweb 위의 TradingView 다. Boeing 범위 주소는 문서 전용 목록에 배치되었다. 이후 Boeing 부품 사업에 대한 LockBit 침해 공개 보도는 해당 문서 행과 조직명을 공유하지만 세션은 공유하지 않는다. 2023 년 2 월 Charter 음성 장애, 2023 년 7 월 Storm-0558 성명, 이후 Salt Typhoon 보도, 2023 년 8 월 22 일 Leaseweb 자체 공지가 맥락 창이 된다. https://x.com/i/article/2091569041584619520
Fastly 위의 GitHub — 8 월 27 일
QS-NetHarden 은 폰 테더링에서 실행되었다. 캡처 시작은 PDT 기준 8 월 26 일 09:08 이었다. NetCloak 은 새로운 Windows 신원을 제시했다. Artillery 디코이가 차단 해제 상태로 가동 중이었다. Phantom-QS 는 Firefox 128 을 순환시켰다. 그날 아침 허니팟 로그에 원격 히트는 없었다. DNS 가 운영자였다. 채팅 프록시, GitHub 로드 밸런서, Actions, Copilot, 그리고 release-assets.githubusercontent.com 이었다. 이를 덮는 프리픽스 185.199.108.0/22 는 RIPE US-GITHUB-20170413, 조직 GitHub, BGP 오리진 AS54113 Fastly 다. Fastly 자체 공개 주소 목록에는 포함되어 있지 않다. .133 집합은 콘텐츠 캐치올이다. .154 집합은 릴리스 및 패키지다. Actions 입구는 Microsoft 13.107.42.0/24 및 13.107.43.0/24 이며, pipelines.actions 는 해당 스캔에서 13.107.43.16 으로 해석되었다. URLhaus 는 release-assets 도메인에서 멀웨어 URL 을 보유하고 있고 Harden-Runner 가 이를 플래그 지정했다. 호스트명은 트럭이다. 행위자는 화물이며 GitHub 이 아닌 다음 홉이다. 후속 가상 서버를 차단하라. 리프, Fastly 캐치올, Azure Front Door, 지역 스냅샷, 센서는 건드리지 마라. https://x.com/i/article/2093021792923508736
단일 스노슈 리드 밀 — 8 월 29 일, 9 월 7 일 계속
8 월 27 일 하나의 수신함에 72 건의 원치 않는 자동차 보험 및 신용카드 메시지, 156 개의 고유 링크, 71 개 From 도메인이 도착했다. 제목 클러스터링으로 3 개의 중복 쌍이 나왔다. 불변 요소는 모든 본문과 링크에 포함된 토큰 e6jbv4z 였다. 클릭은 오래된 최상위 도메인의 두 글자 라벨과 /r 뒤에 16 진수가 오는 PHP 경로를 사용했다. Policy Plug 가 72 건 중 51 건을 차지했다. Easy Insurance Match, Endurance, Indigo and Destiny Mastercard 는 위장용 겉옷이다. 상당수 하위 집합이 LendingTree 의 NMLS 번호 1136 과 Charlotte 거리 주소를 복사했다. LendingTree 는 푸터 도난 피해자다. 메일과 클릭은 185.47.200.0/24 및 185.47.203.0/24 의 NForce(AS43350) 에 있다. nginx, PHP 7.4.33, 443 닫힘, 25 필터링됨. 도메인들은 오래된 Name.com 인벤토리다. HEAD 요청은 일반 nginx 403 을 받는다. 브라우저 형태의 GET 은 taobmaets.com 에서 offer a=44, c=2701 인 CAKE 랜딩 페이지로, 또는 keycanvascanvas.com 의 구독 취소 페이지로 302 를 받는다. Office 파일로 명명된 첨부파일은 평문이다. ClamAV 는 깨끗했다. 하나의 Host 헤더 mediaignorance.com 은 /24 내 7 개 주소에서 동일한 52,667 바이트 본문을 반환했다. 4 개 최상위 도메인의 비마스킹 WHOIS 는 Robert Carpino 를 지목하며, 기사에서는 이를 피벗으로 취급한다. CAKE 오퍼 배후의 구매자는 식별되지 않았다. 9 월 7 일 동일한 토큰과 경로 형태, 자동차 보험 및 Indigo 위장을 추가로 수집한 결과가 AT&T 데이터베이스에 이미 존재한다고 공개되었다. 게시글은 하나의 공유 네임서버 집합이 있다고 주장하지만 출력하지는 않는다. 방어 조치는 토큰, 경로, 두 NForce 프리픽스로 abuse@nforce.com 과 등록기관에 신고하며, 도난당한 NMLS 행은 푸터 도용으로 식별한다. https://x.com/i/article/2093528643779825664 https://x.com/i/article/2093532720119083008 https://x.com/i/article/2097103637160022017
주거용 방화벽, 1 차 스캔 — 9 월 5 일
AT&T 주거용 게이트웨이 로그는 26 분간 296 건의 이벤트, 188 개 고유 주소, 그중 169 개 공개 주소를 담고 있었다. 이 조각은 공개 IPv4 의 배경 방사선이다. 8 월 31 일자 카드들은 이미 QNAX, Recyber, Infrawatch, Xpanse, Censys, Pfcloud, CHINANET 을 지목했다. 3 가지 발견 사항은 새로웠다. QNAX 45.140.193.187 은 21 분 동안 WAN 을 10 회 타격했다. 기사는 170 개 출처의 408 건 AbuseIPDB 신고(모두 적대적)와 RFB 003.008 을 사용한 tcp/5900 VNC 무차별 대입 공격을 인용한다. qnax.sh 는 해당 VPS, RDP, 콘솔 VNC 제품을 판매한다. Spamhaus DROP 넷 내부에서 처음 지목된 인바운드는 11:58 의 176.65.148.0/22 내 Pfcloud 176.65.149.233 이었다. n8n.pfcloud.io 는 176.65.148.168 에 있다. sso.pfcloud.io 는 자신을 authentik 으로 식별한다. 79.124.58.0/24, 79.124.49.0/24, 78.128.114.0/24 에 걸친 Tamatiya 와 4vendeta 의 스프레이에는 79.124.58.90 이 포함되며, 역방향 이름은 ip-58-90.superbit.host, 별칭은 urlforward.topdns.com 으로 143.198.68.197 의 ns-usa.topdns.com 과 동일한 DigitalOcean 주소다. topdns.com 의 수동 확장은 517 개 라벨을 반환했으며, 다수가 브랜드 충돌이었고 거의 전부가 주소가 없었다. 네임서버는 차단되지 않은 상태로 남았다. 우선순위 호스트는 45.140.193.187, 79.124.58.18, 79.124.58.90, 79.124.49.90, 78.128.114.46, 78.128.114.162 다. 선택적 네트워크는 Tamatiya 고객 및 운영 슬라이스, Pfcloud 176.65.148.0/22 및 204.76.203.0/24 다. 이들과 함께 건드리지 않은 것: TopDNS, CriminalIP 수집기, Cloudflare 엣지, 센서스 스캐너, Telepoint 78.128.42.0/24. 기사와 함께 공개된 어뷰즈 연락처는 abuse@qnax.com.br 과 noc@4vendeta.com 이다. 센서는 핫스팟에 있었다. LAN 은 스캔되지 않았다. 이 글은 상반기 시리즈의 7 월 24 일자 Tamatiya 노트에 기반한다. 9 월 4 일자 웹사이트 포인터는 시리즈 제목을 담고 회사 사이트를 가리킨다. 측정의 X 기록은 이 기사와 다음 기사다. https://x.com/i/article/2096029788624523264
주거용 방화벽, 나머지 — 9 월 6 일
8 월 29 일과 9 월 5 일 창을 합쳐 530 건의 고유 이벤트와 270 개 인바운드 공개 주소가 나왔다. 이 두 번째 글은 센서스 스캐너와 지목된 상업적 조회자들을 제외하고 남은 105 개다. 확인한 108 개 주소 중 74 개가 당일 공개 피드에 등장했다. Feodo, SSLBL, ThreatFox, Emerging Threats 에는 없었다. 21 개는 9 월 4 일자 Spamhaus DROP 프리픽스(Pfcloud /22 포함)에 있었다. 기사는 해당 프리픽스의 176.65.148.183 에서 시작된 UniFi OS 악용에 대한 6 월 25 일자 계정, 그리고 CISA 가 6 월 23 일에 추가한 CVE-2026-34908, CVE-2026-34909, CVE-2026-34910 을 인용한다. Ghosty 43.228.157.0/24 와 Stormcloud 94.154.43.0/24 는 같은 글에서 URLhaus 의 Mirai 이웃으로 언급된다. 남은 인바운드 주소 중 가장 시끄러운 것은 여전히 QNAX 45.140.193.187 이었으며, 기사 기준 신고 수는 412 건, 마지막 목격은 9 월 1 일 포트 5000 이었다. 46.146.238.1 은 상위 포트 드로퍼의 정확한 URLhaus 호스트이며 telnet 이 열려 있었다. 195.252.206.160 의 UniFi OS 는 주소 피드 히트가 없었고, 8 월 26 일자 SAB-067, CVE-2026-77550 과 서비스 클래스가 일치했다. EMBNEX 16.5.0.0/24 는 8 개 덤프 오리진이며, 웹사이트 embnex.com 은 CloudFront 다. 무관한 네트워크에 있는 동일한 짧은 HTML 덩어리는 싱크 페이지다. 권장 사항은 해당 네트워크를 차단하는 것이다. https://x.com/i/article/2096732079388299264
관리 노드로 향하는 핫스팟 이그레스 — 9 월 14 일
iPhone 핫스팟에 연결된 개인 기기 트래픽이 static.vnpt.vn 및 rdp.cdmt.vn 으로 명명된 113.176.118.150 에 도달했다. 해당 주소는 MikroTik RouterOS 6.49.13, 포트 80 의 Nginx Proxy Manager, 443 의 이름 제한 HTTPS, 5009 의 공개 MeshCentral 로그인, 8443 의 공개 UniFi 로그인, 8080 과 8090 의 두 SSH 데몬, 그리고 CloudFront 이름 d3azdm1q0gvo54.cloudfront.net 이 관여된 8088 의 미확인 CONNECT 스타일 서비스를 제시했다. 공개된 가설은 인터넷 노출 게이트웨이이자 관리 노드라는 것이다. 개인 핫스팟에서 그곳으로 향하는 이그레스는 알려진 애플리케이션, 사용자, 기기에 매핑될 때까지 승인되지 않은 상태로 남는다. https://x.com/i/article/2099540826854715392
얇은 대기 목록 — 9 월 22 일
uythjmnglk.xyz 는 2026 년 9 월 14 일 Dynadot 에 등록되었고, 프라이버시 프록시 처리되었으며, Cloudflare 네임서버 쌍 phoenix 와 wilson 을 사용했고 DNSSEC 은 없었다. 최상위 도메인과 www 만 응답했다. 로컬 네트워크 밖에서 애플리케이션은 "You're on the list"라는 제목의 대기 목록이었고, 토큰 v:897qvxac7fny03ac 아래 구독 경로로 이메일을 전송했다. AT&T 게이트웨이에서는 같은 도메인이 사유를 멀웨어로 표시하는 짧은 중간 페이지를 반환했다. 그 페이지는 오리진이 아니라 통신사의 것이다. 도메인 앞의 두 Cloudflare 주소는 2023 년 6 월 Mystic Stealer 부록에 등장한다. 이들은 공유 애니캐스트이며, 해당 부록과 이번 등록 사이에는 3 년의 간격이 있다. 같은 등록기관의 동일 날짜 카지노 및 4D 도메인은 다른 네임서버 쌍을 사용한다. 더 오래된 쌍은 FanPartners 제휴 경로와 연결된 "A little chicken" 랜더를 호스팅한다. 이러한 클러스터는 이 시드에서 제외된다. Cloudflare 주소는 어떤 캠페인 차단 목록에도 들어가지 않는다. https://x.com/i/article/2101850617815908352
CAC 및 DEERS 공지 — 9 월 28 일
2026 년 3 월 9 일과 2026 년 5 월 7 일, CACExpiration-DoNotReply@mail.mil 로부터 개인 Gmail 로 두 건의 공지가 도착했다. 5 월 메시지는 SPF, DKIM, DMARC 를 통과했다. DKIM 은 d=mail.mil, 셀렉터 EEMSG2021v1a, 정책 reject 였다. 메시지 식별자는 214.24.21.199 의 UHIL19PA53.eemsg.mail.mil 을 지목한다. S/MIME 서명자는 benefits.notifications@mail.mil 이며, DOD SW CA-83 이 발급하고 2025 년 10 월 15 일부터 2028 년 10 월 15 일까지 유효하다. Gmail 배너는 From 과 서명자가 다르다는 내용이다. 두 메일함은 다르며, 그 차이만으로 배너가 생성되기에 충분하다. 본문은 두 개의 신분증이 누락되었다고 말하며, 수신자에게 RAPIDS 를 방문해 업로드하라고 안내한다. 3 월에는 120 일 시한, 5 월에는 7 월 6 일까지 60 일 시한이었다. 문서는 제출되지 않았다. 카드는 계속 작동했다.
기사가 인용한 공식 프로그램은 2026 년 1 월 DMDC 공지로 시작되었다. 8 월까지 약 215,000 명의 현역 및 예비군이 요건을 충족하지 못했다. 육군은 약 111,000 장의 카드를 검토했으며 9 월 2 일 기준 취소된 것은 없었다. 7 월에도 약 21,500 명의 해병이 부족 상태였다. 9 월 8 일에 공개된 9 월 3 일자 공식 입장은 행정 기록 갱신이라고 설명하며, 누락된 문서에 대해 사기나 침해는 없다고 주장했다. MARADMIN 393/26 은 원본 문서 2 개를 대면으로 요구한다. 3 월 본문은 업로드라고 말했다.
기사가 어휘 열에 유지하는 클래스는 서명자 또는 그 이전에 도입된 주체이므로, 검사는 여전히 통과한다. Gmail 의 검증 이후 재작성은 불가능하다. DKIM 이 통과했기 때문이다. 원본 메시지 파일이나 서명 부분은 확보하지 못했다. 메일 호스트는 AS345, 214.24.21.0/24 로, 1998 년부터 사용된 Defense Network Information Center 블록이다. www.cac.mil 은 Akamai 상의 이름으로, 주소는 23.62.46.164 와 23.62.46.182 이며 403 으로 응답한다. 해당 엣지의 인증서에는 pentagon, defense, department 이름 집합과 함께 www.cac.mil 이 포함되어 있다. DMDC 애플리케이션 idco, myaccess, pki 는 AS27064 에서 서로 다른 214 주소로 해석되며, 여기에는 214.16.194.24 의 pki.dmdc.osd.mil 도 포함된다. 메일 접두사와 해당 애플리케이션 접두사 사이에는 공유되는 것이 없다. 한 지리 위치 조회 제품은 214 쿼리를 오하이오주 콜럼버스에 배치하고, 다른 하나는 버지니아주 로즈힐에 배치한다. 이는 하나의 할당이다.
세 개의 인접한 레코드는 각자의 영역에 머문다. 7 월 20 일 email.usfhp.net 의 마케팅 페이지는 일반적인 HubSpot 급 측정 도구를 갖춘 실제 US Family Health Plan 자산이다. 9 월 18 일자 파일 공유 서신은 2025 년 10 월부터 2026 년 7 월 16 일까지의 암호화되지 않은 접근을 설명하며, 이는 7 월 16 일에 발견되었고 기사는 이를 이 From 줄과 연결하지 않는다. 9 월 4 일자 IDScan 공지는 고객 클라우드 계정에 관한 것이다. 약 400 만 건 및 6,000 만 건의 레코드 수는 기사에서 피해자 총계로 인정되지 않았다. https://x.com/i/article/2104388574397554688
17 분간의 Discard — 10 월 3 일
10 월 3 일 05:55 부터 06:12 까지 출력된 주거용 discard 익스포트에는 234 개 행, 110 개 해외 주소, 166 개 히트 증가분이 포함되었다. 모든 행은 드롭이며, 익스포트에는 목적지 포트가 없다. 시간 창을 약 5 시간 이동시킨 이후의 판독은 다른 시계의 동일한 이벤트다. 57 개 스캐너 히트 중 51 개는 인터넷 전역 조사 프로젝트로 명명되어 있다: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid, Nokia Deepfield 및 그 이웃들이다. 8 월과 정확히 일치하는 10 개 주소가 반복되는데, 여기에는 4vendeta 79.124.49.90, SS-Net 80.94.95.226, Ghosty 43.228.157.10, Amarutu 89.42.231.200 이 포함된다. QNAX 와 Recyber 는 이 시간 창에 없다. 알려진 네트워크의 신규 구성원으로는 Pfcloud 204.76.203.4 와 Stormcloud 94.154.43.203 이 있다. Stormcloud /24 의 멀웨어 이름들은 형제 주소들에 자리 잡고 있다. 로그에 접촉한 주소는 discard 이며, 패밀리 이름은 실제로 신고된 형제 주소에 남아 있다.
8 개의 UDP 정책 드롭은 9 월 20 일 프록시 목록 확인의 꼬리로, 모니터링 대상 네트워크가 보낸 패킷이다. 두 개의 Amazon 무효 패킷 행에는 위협 목록 히트가 없다. 같은 아침의 별도 테더 인리치먼트는 일반적인 통신사 및 콘텐츠 경로다: Verizon, Comcast, Lumen, Cogent, Google, Cloudflare. 스스로를 설명하지 않는 세션은 cloud.yandex.ru 로 명명된 87.250.250.108 이다. 새 목록 매칭에서 유일한 Spamhaus DROP 히트는 140.222.0.0/16 내부의 140.222.19.75 와 140.222.19.77, SBL693942 로, 구 NSFNET 공간에서의 하이재킹 패턴으로 읽혀 호스트 차단 목록에서는 제외되었다. 측정 프로젝트, 방탄 스캐너, 운영자 자신의 도구를 하나의 지표 목록으로 뭉치는 것은 사건을 조작하는 것이다. https://x.com/i/article/2106513298426597376
Yandex Compute, 공개 기록에 반하여 — 10 월 4 일
유포 중인 초기 주장은 러시아 국가가 키 관리, 하이퍼바이저 접근, 사일런트 디스크 복제, 고정 코어 맵, 커스텀 스토리지 데몬, 스케줄러의 합법적 감청 피드를 결합해 Yandex Cloud 게스트를 읽는다고 말했다. 기사는 그 주장을 Yandex 자체 컴퓨트 문서 및 이 호스트에 이미 있던 것과 대조한다. 기본 디스크 암호화는 플랫폼 키를 사용한다. 고객 키는 여전히 Yandex 의 키 서비스에 존재하며, 이를 비활성화하는 것은 킬 스위치다. 게스트 메모리는 QEMU 프로세스의 일반 메모리이므로, 호스트 운영자는 실행 중인 게스트와 신뢰 경계의 같은 쪽에 있다. libvirt 는 없다. 라이브 마이그레이션, 전용 호스트, 동일 호스트 내 QEMU 빌드 전환은 공개된 제품 동작이다. host-id 고정은 라이브 마이그레이션을 비활성화하며, 이미 인스턴스를 업데이트할 수 있는 주체가 컴퓨트 API 를 통해 기록한다. 게스트 인터페이스는 해당 쓰기를 수행하지 않는다. 인용된 페이지들이 보여주지 않는 것은 하이퍼바이저 제어 소켓, 스케줄러 선택, 호스트 어피니티 규칙에 대한 합법적 감청 구독이며, 더 넓은 에세이에서 언급된 사일런트 복제, 고정 코어 맵, 커스텀 데몬, 터널 경로도 보여주지 않는다. yandex 가 포함된 로컬 역방향 이름들이 목록화되었다. 45.87.42.74 는 8 월 qloudhost 판매 팜으로, 다른 이름이다. discard 글에서 설명되지 않았던 세션 87.250.250.108 은 이전 표에 없었다. 등록 정보는 클라우드 객체의 Yandex.Cloud LLC 와 엔터프라이즈 네트워크의 YANDEX LLC 를 분리한다. 완료된 API 인증서는 Yandex, Moscow, GlobalSign 이다. 하나의 광고 이름은 여전히 77.88.21.179 에 미결 역방향 포인터를 가지고 있다. https://x.com/i/article/2106548730942152704
미결제 Coinbase 카드 유인책 — 10 월 9 일
telegra.ph/NCO-09-27 과 graph.org/UIN-10-05 두 Telegraph 페이지는 하나의 계속(continue) 링크를 공유한다. 둘 다 149.154.164.13 에 위치한다. 각각 9 월 27 일과 10 월 5 일에 게시되었다. 링크는 107.189.20.230 의 rss2.sayler.at/go/337413/z274x264 이며, 31.59.121.53 의 97ee1.ralind.at 에 있는 Coinbase Card 키트로 리다이렉트된다. 키트 자체 스크립트는 인덱스부터 빠른 결제 페이지까지 22 단계를 명명한다. 10 월 6 일자 원본 게시물은 그 수를 명시하고 동일한 22 개 파일명을 출력한다. 페이지들은 $39,437.16 의 잔액을 보여준다. 스크립트는 2026 년 8 월 26 일에 마지막으로 수정되었다. 11 개 수수료 코드가 명명되었다. $58 은행 간 라인이었던 y2a4u234 만 따라갔으며, 31.57.29.11 의 bitpays.at, 스트림 4374w2 로 이어졌다. 10 월 9 일 GMT 03:45 의 합성 제출은 172.81.177.1 의 btcpay369329.lndyn.com 에 있는 BTCPay 인보이스 6QTpVwNe9CynFTXZFJE8Yk 로의 리다이렉트를 반환했다. 상태는 New. 58 달러, 0.00070469 BTC, 환율 $82,306.45, 주소 bc1qexqsudur4860kva5789qcvkmpdk4j9wrfrsmzy. 결제 확인은 0 을 반환했다. 결제는 전송되지 않았다.
ip-api 는 키트를 파리에, 결제 양식을 리가에 배치한다. QuantumGuard 와 오리진 레지스트리는 31.57.29.0/24 를 아랍에미리트 AS56971 에 배치한다. sayler.at, ralind.at, bitpays.at 은 DNSPod 를 사용한다. SOA 시리얼 1789107920 을 가진 객체에 대한 10 월 6 일자 메모는 해당 객체를 AS14956, RouterHosting 및 FranTech 하의 잔담에 배치한다. 10 월 9 일자 기사는 그 배치를 반복하지 않는다. Telegraph 의 네임서버, graph.org 의 GoDaddy 네임서버, DNSPod 주소는 공유 DNS 다. 144.31.93.214 는 이 체인에서 벗어나 있다. 8 월 15 일자 에세이와 이 유인책 모두 Coinbase 라는 단어를 사용한다. 에세이의 예시는 전화 사칭 조직이다. 이 글은 페이지, 트래커, 카드 키트, 그리고 미결제 상태로 남은 인보이스다. https://x.com/i/article/2108597864108871681
마무리 입장
두 개의 목록이 시리즈를 마무리한다. 첫 번째는 Quantitative Security 가 사용한 방법론이다. 두 번째는 각 글이 매핑한 방법으로, 글이 부여한 그룹, 테넌트 또는 클래스와 함께 나열된다. 에세이 예시는 8 월 15 일자 에세이 아래에 남는다. 형제 태그는 형제 주소에 남는다. 조사 프로젝트는 측정 버킷에 남는다. 글이 그룹을 명명하지 않은 경우, 해당 줄은 테넌트, 네트워크 또는 클래스에서 끝난다.
사용된 방법론
- 배너, 인증서, 수신 대기 서비스에 대한 구조화된 외부 분석으로, 방치된 자산을 프로덕션 볼륨과 분리함.
- 소셜 엔지니어링으로 시작된 방문자 관여 분석 후 오픈소스 인리치먼트로 확장. 정찰 전용.
- Reverse-IP, WHOIS 및 레지스트리 추출, 메일 인증 레코드, 그리고 해당 레코드가 명명한 주소와 대조한 패킷 캡처.
- 외부 헌터가 사용할 것과 동일한 진입점으로 자사 도메인을 분석하되, 자체 정찰은 센서 노이즈로 보존.
- ARIN, RIPE, Team Cymru 와 대조한 소프트 지리 위치 및 asname 피드. 순서는 도구, 테넌트, 레지스트리.
- 공개 사건과 연결되기 전에 서비스 신원으로 마감된 순위별 과거 인벤토리.
- 온패스 DNS 및 허니팟 로그를 읽어 자사 세션을 원격 히트와 분리.
- 불변 토큰으로 축소된 메일, 브라우저 GET 과 대조한 HEAD 요청, 접두사 전체에서 해시된 하나의 공유 가상 호스트 본문.
- AbuseIPDB, Spamhaus DROP, URLhaus, Feodo, SSLBL, ThreatFox, Emerging Threats 와 대조해 축소한 주거용 discard, 수동 이름 확장은 네임서버를 차단 목록에서 제외.
- 핫스팟 이그레스를 연관 관계로 유지하고, 후속 측정은 첫 세션과 시간을 달리해 수행.
- 레지스트라, 네임서버 쌍, 통신사 중간 페이지를 오리진 콘텐츠와 분리.
- SPF, DKIM, DMARC, S/MIME 를 함께 읽고, 서명된 원본이 없을 경우 클래스 수준에서 유지.
- discard 익스포트를 조사 프로젝트, 반복 적대 네트워크, 자사 패킷, 설명되지 않은 세션으로 분류.
- 벤더 컴퓨트 문서를 더 넓은 주장과 대조하고, 뒷받침되지 않은 조항은 결론에서 제외.
- 트래커, 키트, 하나의 수수료 코드, 합성 미결제 인보이스를 거친 유인 체인 추적. 결제는 전송되지 않음.
매핑된 방법론 및 각각의 명칭
- 잔존 클라우드 서비스 및 단기 인증 프록시. 잔존 브랜드는 GENIEX, Dragon Raja 를 포함한 게임 타이틀, 라오스와 연결된 의료 미용 및 중고차 사이트의 얇은 집합.
- 방문자 인프라 수집. 시작 주소는 이란으로 지리 위치 지정되었고, 기사는 라벨을 그대로 둔다. 기준선은 온타리오주 손힐의 GoCodeIT Inc., rejekibet.com 및 그 브랜드 주변의 스캠 클론, 청산 중인 geniex.com 을 명명한다.
- 브랜드명 건강보험 판매, 그리고 공유 호스팅에서 이미 피싱으로 분류된 사이트. 연관된 이름들은 등록자다. Fabiola Silva Souza 와 Fabiola Silva Souza Seguros Ltda 가 핵심 포트폴리오를 보유한다. Roger Oliveira da Silva 와 Leonildo Quintiliano 는 브릿지 사이트에 있다. Tiago Ferreira Pena 는 인접 등록자다. Christian von Langermann 은 공동 테넌트인 shelleasternpetroleum.ae 의 등록자다. OpenDNS, Cloudflare, DNS4EU 는 vendasbradescosaude.com.br 을 피싱으로 분류했다. 동일 노드의 가짜 은행, 카지노, 지갑 변환 페이지는 이웃으로 남는다.
- 신뢰 엣지 모방: Squarespace, Cloudflare, Vercel, GitHub Pages, AWS Global Accelerator 에 주차된 유사 이름 또는 임의 이름. 198.49.23.145 의 과거 Cobalt Strike 및 Mozi URL 은 해당 애니캐스트의 다른 테넌트다.
- 8 월 15 일자 에세이의 역량 티어. 이 이름들은 에세이의 예시다. Tiffany M. 이라고도 불리는 Man hands: 하드웨어 지갑 및 거래소 지원 사칭, 위조 BitcoinIRA 메일. Dritan Kapllani Jr. John Daghita(Lick 이라 불림): 미국 연방보안관청 압수 지갑 대상. Greavy, Wiz, Box 조직: Genesis 채권자 하나 대상. Lazarus: 2025 년 2 월 Bybit 탈취. UAC-0145: 에세이에서 Sandworm / APT44 와 연결됨, VPN 설정을 전달 수단으로 한 가짜 채용 면접. Laundry Bear: 정부, 국방, 주요 인프라 대상 러시아 연결 자격 증명.
- BGP 오리진이 Fastly 인 GitHub 릴리스 호스트명으로 운반된 멀웨어 URL. 매핑된 방법은 신뢰 호스트명의 화물(cargo)이다. 차단은 후속 가상 서버다.
- Snowshoe 리드 생성. 위장명은 Policy Plug, Easy Insurance Match, Endurance, Indigo and Destiny Mastercard. LendingTree 는 도난당한 NMLS 푸터의 피해자다. 메일과 클릭은 NForce, AS43350 에 있다. 편집되지 않은 WHOIS 는 Robert Carpino 를 피벗으로 명명한다. CAKE 오퍼 2701 뒤의 구매자는 식별되지 않았다.
주거용 스캐닝 및 적대적 호스팅.
- QNAX. VPS, RDP, 콘솔 VNC 를 판매한다. 45.140.193.187 에 매핑된 방법은 tcp/5900 의 RFB 무차별 대입이다.
- Pfcloud. Spamhaus DROP 접두사 내부이며, 해당 네트워크에서 n8n 과 authentik 이 명명되었다. 6 월 25 일자 계정은 동일 /22 내 176.65.148.183 에서 UniFi OS 악용을 배치한다. CISA 의 6 월 23 일자 항목은 CVE-2026-34908, CVE-2026-34909, CVE-2026-34910 을 명명하며, 글에서는 Mirai 급 로더로 설명된다.
- Tamatiya 및 4vendeta. 고객 및 운영 슬라이스에 걸친 살포. TopDNS 는 여전히 포워더다. Recyber 는 8 월 카드에 있으며 10 월 3 일 시간 창에는 없다.
- Ghosty 43.228.157.0/24 및 Stormcloud 94.154.43.0/24. URLhaus 에 명명된 Mirai 이웃들. Stormcloud /24 에서 ApexBot, LummaStealer 등 추가 태그는 형제 주소에 있다. 94.154.43.203 은 10 월 로그에 접촉한 주소다.
- Stealc, MooBot, Vidar, XWorm. 193.233.198.28 의 스캐너와는 다른 자율 시스템의 다른 193.233 호스트들에 명명됨.
- 46.146.238.1. 높은 포트 드로퍼에 대한 정확한 URLhaus 호스트, telnet 열림.
- 195.252.206.160 의 UniFi OS. SAB-067, CVE-2026-77550 과의 서비스 클래스 일치.
- EMBNEX. 8 개 덤프 오리진. embnex.com 은 CloudFront.
- 동일 로그의 조사 프로젝트: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid, Nokia Deepfield. 해당 측정 집합의 반복 네트워크 이름에는 SS-Net 과 Amarutu 가 포함된다.
- 단일 주소의 인터넷 노출 관리 서비스: MikroTik RouterOS, Nginx Proxy Manager, MeshCentral, UniFi.
- 프라이버시 프록시 적용된 Dynadot 이름의 하루 대기 목록. 글은 그룹을 명명하지 않는다. Mystic Stealer 는 동일한 Cloudflare 애니캐스트 주소를 나열한 2023 년 6 월 부록으로 등장한다. FanPartners 와 "A little chicken" 랜더는 다른 네임서버 쌍을 사용한다.
- Defense Network Information Center 호스트에서 SPF, DKIM, DMARC 를 통과하는 메일로, From 줄과 S/MIME 서명자가 다르다. 기사의 프로그램은 DMDC 신원 증명 격차다. 매핑된 클래스는 서명자 또는 그 이전에 도입된 주체다. 9 월 파일 공유 서신은 자체 날짜에 남는다.
- Yandex Cloud 게스트 읽기에 대한 더 넓은 주장. 문서는 플랫폼 암호화 키, Yandex 자체 키 서비스 내에서 여전히 킬 스위치로 남는 고객 키, QEMU 프로세스의 일반 메모리로서의 게스트 메모리를 뒷받침한다. cloud.yandex.ru 로 명명된 87.250.250.108 은 discard 글이 설명할 수 없었던 세션으로 남는다.
- 다단계 카드 유인책: 두 개의 Telegraph 페이지, 하나의 트래커, 22 단계 키트, 수수료 코드 결제 양식, 미결제 상태로 남은 BTCPay 인보이스. 8 월 15 일자 Coinbase 예시는 에세이의 전화 사칭 조직인 Man hands 로 남는다. 이 글은 페이지, 트래커, 키트, 미결제 인보이스다.
