A Quantitative Security dedicou de 31 de julho a 9 de outubro de 2026 à série pública para a qual a revisão de meio de ano havia construído as ferramentas de produção. A série vai do reconhecimento em faixa de nuvem de 31 de julho à isca com cartão Coinbase não pago de 9 de outubro, entregue como conteúdo longo TLP:CLEAR no X. Agosto voltou o método para dentro: um vizinho no GitHub foi resolvido até uma identidade de vendas de planos de saúde, o próprio domínio da empresa foi medido como alvo externo e um ano de rótulos de operadoras foi confrontado com o registro. Setembro levou a mesma redução a um firewall residencial e a uma fábrica de snowshoe, mantendo as plataformas nas quais esses casos se apoiavam em sua própria classe. Outubro separou um log de descarte entre medição, redes hostis conhecidas e as próprias ferramentas da empresa, contrapôs uma afirmação mais ampla sobre o Yandex Compute aos documentos do fornecedor e acompanhou um kit de cartões até uma fatura que permaneceu sem pagamento.
Cada produto transforma telemetria bruta e fontes abertas em um resultado atribuído, priorizado e pronto para defesa. Um nome só é associado onde o material o associa. A plataforma, o locatário (tenant), o projeto de levantamento e uma assinatura que os atravessa mantêm a classe que o material lhes atribuiu. A posição final lista os métodos usados, os métodos mapeados e o grupo, locatário ou classe que repousa sobre cada um.
A Série de Relatórios
Superfície Residual na Nuvem — 31 de julho
Uma varredura externa estruturada por cerca de 115 endereços separou produção ativa, serviços residuais e ativos abandonados. Uma hospedagem compartilhada turca em 104.247.165.210 (silaoglu.com, com banner mt-rohan.guzelhosting.com) apresentava uma pilha completa de e-mail e web: Pure-FTPd, Dovecot, Exim, MySQL e LiteSpeed, além de proxies SOCKS5 e HTTP autenticados e certificados de curta duração. O maior volume estava em espaço da Tencent e da Aceville, fortemente filtrado. A minoria que respondeu era a superfície residual: Nginx Proxy Manager na porta 81, uma aplicação Next.js ativa sob /arena, proxies autenticados em portas altas, Windows Remote Desktop com nomes de host de estilo interno e certificados remanescentes de uma marca de eSIM GENIEX e de marcas de jogos indonésias e vietnamitas, incluindo um título Dragon Raja ainda servido por um Jetty envelhecido. Um pequeno conjunto ligado ao Laos em um endereço da Tencent apresentava sites de estética médica e carros usados em chinês, com presença pública rala. O produto é a mesma separação que a revisão de meio de ano aplicou à borda do Google. Volume de produção e serviços abandonados são achados distintos, e apenas o segundo é um problema de bloqueio e endurecimento. https://x.com/i/article/2083245764969635841
Engajamento de Inteligência Protetiva — 1º de agosto
O engajamento começou quando um endereço mascarado, geolocalizado no Irã, visitou a infraestrutura da Quantitative Security. A engenharia social dessa interação capturou um conjunto de endereços, expandido por meio de um site criado sob medida que coletava a infraestrutura dos visitantes. A linha de base publicada cita a GoCodeIT Inc., de Thornhill, Ontário, em proxies autenticados nos IPs 65.111.5.29 e 74.119.149.79; um CloudPanel 2.5.2 exposto em 103.255.134.61 para technofaq.org; um CodePushServer de estilo Microsoft em 152.32.169.33 na porta 8888; rejekibet.com como plataforma indonésia de apostas com dinheiro real, com clones fraudulentos em torno da marca; Windows Remote Desktop voltado para a internet, incluindo 38.107.237.68; geniex.com como operação nigeriana de SIM virtual em fase de encerramento, com o próprio domínio resolvendo para a AWS; e acmmanufacturer.com, antes em espaço residual da Tencent e depois movido para a Zenlayer via chukouplus.com. Hosts de proxy em 104.207.0.0/16 exigiam autenticação, apresentavam certificados de cerca de sete dias e retornavam 404 nos caminhos administrativos sondados. Os listeners zeus-admin permaneceram filtrados. Um rótulo de geolocalização no endereço inicial é o ponto de partida do engajamento. O artigo não atribui nenhum grupo estatal nominal. O conjunto de dados foi fechado como linha de base para o segundo semestre. https://x.com/i/article/2083388096285179904
Balanceador de Carga do GitHub para uma Fazenda de Vendas de Planos de Saúde Brasileira — 8 de agosto
Uma sessão de hotspot em 7 de agosto com QuantumGuard e uma captura começaram a partir de um pull request no GitHub e de um reverse-IP do balanceador de carga de Seattle 140.82.116.3 (lb-140-82-116-3-sea.github.com). Esse endereço co-hospedava coindream.site: web no GitHub, SPF de e-mail apontando para o cp5 da UltaHost 159.100.6.5, criado em 23 de janeiro de 2026, registrante com privacidade, DNS Namecheap. A captura não continha pacotes para os endereços do caso posterior. A UltaHost mantinha cerca de 500 nomes, incluindo shelleasternpetroleum.ae registrado para Christian von Langermann, além de gamingcomission.co, antifraud.click, aranttru.com e pinupcasinorussia.click. As portas web foram depois filtradas para cPanel em 2082 e 2083. pro114.dnspro.com.br em 187.33.241.58 expunha uma pilha completa de e-mail e painel, além de MariaDB 10.11.18 público.
O nó principal é shared.qloudhost.com em 45.87.42.74, uma fazenda brasileira de vendas de planos de saúde de 2017 a 2025 usando as marcas Bradesco, Amil, Unimed e SulAmérica. O WHOIS do portfólio central aponta Fabiola Silva Souza, handle FASSO283, caixa postal em saudeperfeita.com.br. Registros públicos no artigo correspondem ao CNPJ 40.950.276/0001-55, Fabiola Silva Souza Seguros Ltda, Mococa, São Paulo, aberto em 23 de fevereiro de 2021. O site-ponte saudeperfeita.com.br está na HostGator em 162.241.2.92, com usuários WordPress admin e nildo, vinculados no artigo a Roger Oliveira da Silva, da Agência Unit, e a Leonildo Quintiliano. Tiago Ferreira Pena é um registrante adjunto nos mesmos nameservers. O mesmo nó também abrigava páginas falsas de banco, cadastro de cassino e conversores Paysafe e Neosurf. A QloudHost comercializa hospedagem para cassinos. Nameservers compartilhados e a caixa saudeperfeita ligam os operadores de planos de saúde. A co-locação no nó não estende essa identidade aos locatários financeiros ou de apostas. vendasbradescosaude.com.br permaneceu no endereço qloud mesmo após OpenDNS, Cloudflare e DNS4EU o classificarem como phishing. Ficaram em aberto no texto: o portfólio completo no registro.br, a URL original do pull request e pivôs secundários sobre von Langermann. https://x.com/i/article/2085939414463631360
O Próprio Domínio como Alvo Externo — 15 de agosto
De 9 a 14 de agosto, quantitativesecurity.org foi examinado com os mesmos movimentos iniciais que um caçador externo usaria. A origem estava limpa. A hospedagem é anycast multilocatário da Squarespace, com o conjunto p07 da NS1 mais o DNS da Squarespace, Let’s Encrypt nos nomes dos clientes e um 403 a partir dos endereços nus carregando um certificado DigiCert para *.squarespace.com. O nmap relatou uma implementação Go net/http enquanto o cabeçalho Server dizia Squarespace. Esse par é uma única borda descrita em duas camadas. Cerca de 1.900 nomes .academy compartilham a plataforma. Indicadores de classe Gophish foram testados e estavam ausentes. QuantC e QuantumGuard registraram o autorreconhecimento como ruído de plataforma, que é a verdade fundamental que esses sensores precisam capturar. O risco residual material é de identidade: sem MX, sem SPF, sem DMARC e um registro próximo do vencimento em setembro de 2026. Uma origem limpa cuja via de e-mail não é assinada continua sendo superfície de ataque. https://x.com/i/article/2088437251508436992
Níveis de Capacidade — 15 de agosto
Um ensaio complementar separa quadrilhas criminosas de atores apoiados por Estados pelas táticas e pelos dólares acumulados, e reserva uma terceira categoria para trabalhos de exposição que não tomam nada. Na ponta inferior, o exemplo mapeado no ensaio é uma interlocutora conhecida como Man hands, também chamada Tiffany M.: impersonificação de carteiras de hardware e suporte de exchanges, pelo menos US$ 5 milhões, Trezor e Coinbase, e-mails falsificados da BitcoinIRA, painéis fornecidos por associados, segurança operacional fraca. Esse valor é o total de roubo atribuído pelo ensaio a essa interlocutora. Exemplos de nível médio no mesmo texto são Dritan Kapllani Jr., com cerca de US$ 19 milhões, e John Daghita, chamado Lick, com mais de US$ 46 milhões em carteiras apreendidas pelo U.S. Marshals Service, com atividade suspeita mais ampla estimada acima de US$ 90 milhões, posteriormente preso. O exemplo criminoso mais alto é a equipe Greavys, Wiz e Box, com cerca de US$ 243 milhões de um único credor da Genesis. Exemplos apoiados por Estados incluem Lazarus e o roubo da Bybit em fevereiro de 2025, de cerca de US$ 1,5 bilhão; UAC-0145, vinculado no ensaio a Sandworm / APT44, usando entrevistas de emprego falsas contra profissionais de TI ucranianos e uma configuração de VPN como vetor de entrega; e Laundry Bear, descrito como uso ligado à Rússia de credenciais comprometidas contra governo, defesa e infraestrutura crítica. https://x.com/i/article/2088672299868377088
A Vizinhança .academy — 17 de agosto
O reverse-IP do quarteto connect da Squarespace compilou 2.020 nomes vizinhos. 1.898 terminavam em .academy, e 1.767 deles ainda resolviam apenas para 198.49.23.144, 198.49.23.145, 198.185.159.144 e 198.185.159.145, AS53831. Cinquenta e quatro endereços únicos apareceram em todo o conjunto. Quarenta de quarenta nomes Squarespace amostrados retornaram o cabeçalho Squarespace e um cookie crumb. Relatos de abuso e URLs históricas de malware offline em 198.49.23.145, incluindo caminhos Cobalt Strike e Mozi, são atribuídos no artigo a outros locatários na mesma borda compartilhada. A linha de propriedade é o nome da marca e os quatro endereços oficiais de conexão. Nomes escolares ficam fora da lista de bloqueio. Reputação que se ancora no endereço em vez do hostname é um custo da plataforma, e é documentada como tal. https://x.com/i/article/2089015652753502208
A Camada de Identidade — 17 de agosto
A família de registradores do mesmo domínio, os nameservers duplos e os quatro endereços anycast formam a linha de base legítima, e são a superfície que um imitador copia. Squarespace, Cloudflare, Vercel, GitHub Pages e AWS Global Accelerator já carregam a reputação, os cabeçalhos e as autoridades certificadoras. Um Host estrangeiro ainda falha em modo fechado, então um simples bloqueio de endereço gera ruído. As alavancas citadas no artigo estão no registrador: uma transferência, uma mudança de nameserver, higiene de contatos e um registro antigo, seguidos de um nome semelhante ou de um nome arbitrário estacionado na borda confiável. Doze de vinte e sete ápices .academy discrepantes na contagem complementar foram registrados na Squarespace Domains e hospedados em outro lugar. Os controles que correspondem à camada manipulada são bloqueio no registrador, autenticação multifator na plataforma, Certificate Transparency em nomes semelhantes e um registro SPF de falha rigorosa onde o domínio não envia e-mails. https://x.com/i/article/2089012676634738688
Uma Alocação da Verizon Registrada como T-Mobile — 23 de agosto
Em 5 de agosto, um relatório próprio rotulou o prefixo de cliente 2600:1010:b204:: como de estilo T-Mobile. O aparelho sempre foi apenas Verizon, do proprietário original. A ARIN mostra NetName WIRELESSDATANETWORK, organização Verizon Business (MCICS), registrado em 6 de abril de 2010, cobrindo de 2600:1000:: até 2600:1017:ffff::. Feeds leves de asname e geolocalização carregaram o rótulo T-Mobile de outubro de 2025 até o dia daquele relatório. Uma consulta ao vivo em 21 de agosto retornou Team Cymru AS6167 CELLCO-PART e RIPE AS22394 CELLCO. A alocação não havia se movido. A ordem de trabalho publicada com o texto é a ordem para o restante desta série: atribuir a ferramenta, depois o locatário, depois o registro. https://x.com/i/article/2091560316878671872
Um Inventário de 2023, Ranqueado — 23 de agosto
Duzentas e noventa e quatro capturas de tela de um caminho residencial da Charter em Nova York no início de 2023 foram levadas adiante como um conjunto ranqueado: cerca de 1.450 endereços IPv4, aproximadamente 1.266 deles públicos, em uma escala explícita de T1 a T5. A passagem de 2026 fechou serviços antes de deixar qualquer coisa aberta. 103.235.46.191 é a borda de analytics da Baidu em Hong Kong, hm.baidu.com, AS55967. 23.82.31.230 é TradingView na Leaseweb. Um endereço da faixa Boeing foi colocado em uma lista apenas documental. Relatórios públicos posteriores sobre uma intrusão LockBit contra a divisão de peças da Boeing compartilham um nome organizacional com essa linha documental, mas não compartilham sessão. A interrupção de voz da Charter em fevereiro de 2023, as declarações sobre Storm-0558 em julho de 2023, relatórios posteriores sobre Salt Typhoon e o próprio aviso da Leaseweb de 22 de agosto de 2023 são janelas de contexto. https://x.com/i/article/2091569041584619520
GitHub na Fastly — 27 de agosto
O QS-NetHarden rodou em tethering de celular. O início da captura foi às 09h08 PDT de 26 de agosto. O NetCloak apresentou uma nova identidade Windows. Iscas Artillery estavam ativas com o ban desligado. O Phantom-QS alternava Firefox 128. Nada no log do honeypot naquela manhã é um acesso remoto. O DNS é o operador: o proxy de chat, o balanceador de carga do GitHub, Actions, Copilot, depois release-assets.githubusercontent.com. O prefixo de cobertura 185.199.108.0/22 é RIPE US-GITHUB-20170413, organização GitHub, origem BGP AS54113 Fastly. A própria lista de endereços publicada pela Fastly não o inclui. O conjunto .133 é o coringa de conteúdo. O conjunto .154 são releases e pacotes. A porta de entrada do Actions é Microsoft 13.107.42.0/24 e 13.107.43.0/24, e pipelines.actions resolveu para 13.107.43.16 nessa passagem. O URLhaus carrega URLs de malware no nome release-assets, e o Harden-Runner o sinalizou. O hostname é o caminhão. O ator é a carga e o próximo salto que não é o GitHub. Bloqueie o servidor virtual subsequente. Deixe a folha, o coringa da Fastly, o Azure Front Door, os snapshots regionais e o sensor em paz. https://x.com/i/article/2093021792923508736
Uma Fábrica de Leads Snowshoe — 29 de agosto, continuado em 7 de setembro
Em 27 de agosto, uma única caixa de entrada recebeu 72 mensagens não solicitadas de seguro automotivo e cartão de crédito, 156 links únicos, 71 domínios From. O agrupamento por assunto produziu três pares duplicados. A invariante é o token e6jbv4z em todos os corpos e em todos os links. Os cliques usam um rótulo de duas letras em um ápice antigo e um caminho PHP no formato /r seguido de dígitos hexadecimais. A Policy Plug responde por 51 das 72. Easy Insurance Match, Endurance e Indigo and Destiny Mastercard são fantasias. Um grande subconjunto copia o número NMLS 1136 da LendingTree e um endereço de rua em Charlotte. A LendingTree é a vítima do roubo de rodapé. E-mails e cliques ficam na NForce, AS43350, em 185.47.200.0/24 e 185.47.203.0/24: nginx, PHP 7.4.33, 443 fechado, 25 filtrado. Os domínios são inventário antigo da Name.com. Uma requisição HEAD recebe um 403 genérico do nginx. Um GET semelhante ao de um navegador recebe um 302 para uma lander CAKE, oferta a=44 e c=2701, em taobmaets.com, ou uma página de cancelamento em keycanvascanvas.com. Anexos nomeados como arquivos Office são texto puro. O ClamAV não detectou nada. Um cabeçalho Host, mediaignorance.com, retornou o mesmo corpo de 52.667 bytes a partir de sete endereços no /24. O WHOIS não redigido de quatro ápices nomeia Robert Carpino, tratado nos artigos como pivô. O comprador por trás da oferta CAKE não foi identificado. Em 7 de setembro, uma nova coleta com o mesmo token e o mesmo formato de caminho, com fantasias de seguro automotivo e Indigo, foi publicada como já presente no banco de dados da AT&T. A postagem afirma um conjunto de nameservers compartilhado e não o imprime. A ação defensiva recai sobre o token, o caminho e os dois prefixos NForce, reportados a abuse@nforce.com e ao registrador, com a linha NMLS roubada identificada como furto de rodapé. https://x.com/i/article/2093528643779825664 https://x.com/i/article/2093532720119083008 https://x.com/i/article/2097103637160022017
Firewall Residencial, Primeira Passagem — 5 de setembro
Um log de gateway residencial da AT&T registrou 296 eventos em 26 minutos, 188 endereços únicos, 169 deles públicos. O recorte é a radiação de fundo de um IPv4 público. Cartões de 31 de agosto já haviam nomeado QNAX, Recyber, Infrawatch, Xpanse, Censys, Pfcloud e CHINANET. Três achados eram novos. O QNAX 45.140.193.187 atingiu a WAN dez vezes em 21 minutos. O artigo cita 408 relatos no AbuseIPDB de 170 fontes, todos hostis, e uma força bruta VNC em tcp/5900 usando RFB 003.008. qnax.sh vende esse produto de VPS, RDP e console-VNC. O primeiro tráfego de entrada nomeado dentro de uma rede Spamhaus DROP foi o Pfcloud 176.65.149.233, em 176.65.148.0/22, às 11h58. n8n.pfcloud.io fica em 176.65.148.168. sso.pfcloud.io identifica-se como authentik. O spray Tamatiya e 4vendeta por 79.124.58.0/24, 79.124.49.0/24 e 78.128.114.0/24 inclui 79.124.58.90, cujo nome reverso é ip-58-90.superbit.host e cujo alias é urlforward.topdns.com, o mesmo endereço DigitalOcean de ns-usa.topdns.com em 143.198.68.197. Uma expansão passiva de topdns.com retornou 517 rótulos, muitos deles colisões de marca, quase todos sem endereços. O nameserver permanece desbloqueado. Os hosts prioritários são 45.140.193.187, 79.124.58.18, 79.124.58.90, 79.124.49.90, 78.128.114.46 e 78.128.114.162. Redes opcionais são os recortes de clientes e operações da Tamatiya e Pfcloud 176.65.148.0/22 mais 204.76.203.0/24. Deixados de fora junto com eles: TopDNS, coletores CriminalIP, bordas Cloudflare, scanners de censo e Telepoint 78.128.42.0/24. Os contatos de abuso publicados com o texto são abuse@qnax.com.br e noc@4vendeta.com. O sensor estava em um hotspot. A LAN não foi escaneada. O texto apoia-se na nota Tamatiya de 24 de julho da série do primeiro semestre. Um ponteiro de site de 4 de setembro carrega o título da série e aponta para o site da empresa; o registro no X da medição é este artigo e o próximo. https://x.com/i/article/2096029788624523264
Firewall Residencial, Restante — 6 de setembro
As janelas de 29 de agosto e 5 de setembro juntas produziram 530 eventos únicos e 270 endereços públicos de entrada. Este segundo texto trata dos 105 restantes, depois de separar scanners de censo e observadores comerciais nomeados. Setenta e quatro de 108 endereços verificados apareceram em um feed público naquele dia. Nenhum apareceu em Feodo, SSLBL, ThreatFox ou Emerging Threats. Vinte e um estavam em prefixos Spamhaus DROP datados de 4 de setembro, incluindo o /22 da Pfcloud. O artigo cita um relato de 25 de junho sobre exploração do UniFi OS lançada de 176.65.148.183 nesse prefixo, e a inclusão pela CISA, em 23 de junho, de CVE-2026-34908, CVE-2026-34909 e CVE-2026-34910. Ghosty 43.228.157.0/24 e Stormcloud 94.154.43.0/24 são vizinhanças Mirai no URLhaus no mesmo texto. O endereço de entrada restante mais barulhento continuava sendo o QNAX 45.140.193.187, com a contagem do artigo em 412 relatos, visto pela última vez em 1º de setembro na porta 5000. 46.146.238.1 é um host exato do URLhaus para um dropper em porta alta, com telnet aberto. O UniFi OS em 195.252.206.160 não teve acerto em feeds de endereços e é uma correspondência de classe de serviço com SAB-067, CVE-2026-77550, datado de 26 de agosto. EMBNEX 16.5.0.0/24 corresponde a oito origens de dump; o site embnex.com está na CloudFront. Um mesmo trecho curto de HTML idêntico em redes não relacionadas é uma página de sumidouro. A recomendação é bloquear as redes. https://x.com/i/article/2096732079388299264
Saída de Hotspot para um Nó de Gerenciamento — 14 de setembro
O tráfego de um dispositivo pessoal em um hotspot de iPhone alcançou 113.176.118.150, nomeado static.vnpt.vn e rdp.cdmt.vn. O endereço apresenta MikroTik RouterOS 6.49.13, Nginx Proxy Manager na porta 80, HTTPS restrito por nome em 443, um login público do MeshCentral em 5009, um login público do UniFi em 8443, dois daemons SSH em 8080 e 8090, e um serviço não identificado estilo CONNECT em 8088 que envolvia o nome CloudFront d3azdm1q0gvo54.cloudfront.net. A hipótese publicada é de um gateway voltado para a internet e nó de gerenciamento. A saída em direção a ele a partir de um hotspot pessoal permanece não autorizada até que seja mapeada a uma aplicação, usuário ou dispositivo conhecido. https://x.com/i/article/2099540826854715392
Uma Lista de Espera Rala — 22 de setembro
uythjmnglk.xyz foi registrado na Dynadot em 14 de setembro de 2026, com proxy de privacidade, no par de nameservers phoenix e wilson da Cloudflare, sem DNSSEC. Apenas o ápice e www respondem. Fora da rede local, a aplicação era uma lista de espera intitulada “You’re on the list”, enviando um e-mail para um caminho de assinatura sob o token v:897qvxac7fny03ac. No gateway da AT&T, o mesmo nome retornava uma breve intersticial cujo motivo era malware. Essa página é a operadora, não a origem. Os dois endereços Cloudflare à frente do nome aparecem em um apêndice de junho de 2023 sobre o Mystic Stealer. São anycast compartilhados, e há três anos entre aquele apêndice e este registro. Nomes de cassino e 4D do mesmo dia no mesmo registrador usam um par de nameservers diferente. Um par mais antigo hospeda a lander “A little chicken” ligada a um caminho de afiliado FanPartners. Esses clusters ficam fora desta semente. Os endereços Cloudflare ficam fora de qualquer lista de bloqueio de campanha. https://x.com/i/article/2101850617815908352
Avisos CAC e DEERS — 28 de setembro
Dois avisos chegaram a um Gmail pessoal vindos de CACExpiration-DoNotReply@mail.mil, em 9 de março de 2026 e em 7 de maio de 2026. A mensagem de maio passou por SPF, DKIM e DMARC. O DKIM era d=mail.mil, seletor EEMSG2021v1a, política reject. O identificador da mensagem nomeia UHIL19PA53.eemsg.mail.mil em 214.24.21.199. O signatário S/MIME é benefits.notifications@mail.mil, emitido por DOD SW CA-83, válido de 15 de outubro de 2025 a 15 de outubro de 2028. O aviso do Gmail é que o From e o signatário diferem. As duas caixas postais são diferentes, e essa diferença basta para gerar o aviso. Os corpos dizem que faltam dois documentos de identidade e orientam o destinatário a visitar o RAPIDS para enviá-los, com prazo de 120 dias em março e de 60 dias, até 6 de julho, em maio. Nenhum documento foi enviado. O cartão continuou funcionando.
O programa oficial citado no artigo começou com avisos do DMDC em janeiro de 2026. Até agosto, cerca de 215 mil membros da ativa e da reserva estavam em desconformidade. O Exército havia revisado cerca de 111 mil cartões, sem nenhum revogado até 2 de setembro. Cerca de 21.500 Marines ainda estavam pendentes em julho. Uma declaração oficial de 3 de setembro, publicada em 8 de setembro, descreve uma atualização administrativa de registros, sem alegações de fraude ou violação relacionadas aos documentos ausentes. O MARADMIN 393/26 exige dois documentos originais, presencialmente. O corpo de março dizia para fazer upload.
A classe que o artigo mantém na coluna de vocabulário é um corpo introduzido no momento do signatário ou antes dele, então as verificações ainda passam. Uma reescrita após a verificação do Gmail está descartada, porque o DKIM passou. Nenhum arquivo de mensagem original e nenhuma parte da assinatura estavam em mãos. O host de e-mail é AS345, 214.24.21.0/24, um bloco do Defense Network Information Center de 1998. www.cac.mil é um nome na Akamai, endereços 23.62.46.164 e 23.62.46.182, respondendo 403, e o certificado nessa borda carrega www.cac.mil junto com um conjunto de nomes pentagon, defense e department. As aplicações idco, myaccess e pki do DMDC resolvem no AS27064 em diferentes endereços 214, incluindo pki.dmdc.osd.mil em 214.16.194.24. Nada é compartilhado entre o prefixo de e-mail e esses prefixos de aplicação. Um produto de geolocalização coloca as consultas 214 em Columbus, Ohio. Outro as coloca em Rose Hill, Virgínia. É uma única alocação.
Três registros adjacentes permanecem em suas próprias faixas. Uma página de marketing em email.usfhp.net de 20 de julho é uma propriedade real do US Family Health Plan com medição comum de classe HubSpot. Uma carta de compartilhamento de arquivos datada de 18 de setembro descreve acesso não criptografado de outubro de 2025 até 16 de julho de 2026, descoberto em 16 de julho, e o artigo a deixa sem vinculação a esta linha From. Um aviso do IDScan de 4 de setembro trata de contas de clientes na nuvem. Contagens de cerca de quatro milhões e de 60 milhões de registros são rejeitadas no artigo como totais de vítimas. https://x.com/i/article/2104388574397554688
Dezessete Minutos de Descartes — 3 de Outubro
Uma exportação de descartes residenciais impressa das 05:55 às 06:12 em 3 de outubro continha 234 linhas, 110 endereços estrangeiros e 166 incrementos de acerto. Cada linha é um descarte, e a exportação não tem porta de destino. Uma leitura posterior que desloca a janela em cerca de cinco horas é o mesmo evento em um relógio diferente. Cinquenta e um dos 57 acertos de scanner são projetos de varredura de internet conhecidos por nome: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid, Nokia Deepfield e seus vizinhos. Dez endereços exatos se repetem desde agosto, incluindo 4vendeta 79.124.49.90, SS-Net 80.94.95.226, Ghosty 43.228.157.10 e Amarutu 89.42.231.200. QNAX e Recyber estão ausentes nesta janela. Novos membros de redes conhecidas incluem Pfcloud 204.76.203.4 e Stormcloud 94.154.43.203. Nomes de malware no /24 da Stormcloud ficam em endereços irmãos. O endereço que tocou o log é o descarte, e o nome da família permanece no irmão onde foi realmente arquivado.
Oito descartes de política UDP são o fim de uma verificação de lista de proxies de 20 de setembro, pacotes que a rede monitorada enviou. Duas linhas de pacote inválido da Amazon não carregam acertos de lista de ameaças. Um enriquecimento de tethering separado na mesma manhã segue o caminho normal de operadora e conteúdo: Verizon, Comcast, Lumen, Cogent, Google e Cloudflare. A sessão que não se explica é 87.250.250.108, chamada cloud.yandex.ru. O único acerto do Spamhaus DROP na correspondência da nova lista é 140.222.19.75 e 140.222.19.77 dentro de 140.222.0.0/16, SBL693942, lido como um padrão de sequestro em espaço antigo da NSFNET e deixado fora de uma lista de bloqueio de hosts. Colapsar projetos de medição, scanners blindados e as próprias ferramentas do operador em uma única lista de indicadores fabrica um incidente. https://x.com/i/article/2106513298426597376
Yandex Compute, Contra o Registro Público — 4 de Outubro
Uma alegação inicial em circulação dizia que o Estado russo lê os convidados do Yandex Cloud combinando custódia de chaves, acesso ao hipervisor, clones silenciosos de disco, um mapa de núcleos fixado, um daemon de armazenamento personalizado e um feed de interceptação legal no agendador. O artigo contrapõe essa alegação aos próprios documentos de computação da Yandex e ao que já estava neste host. A criptografia de disco padrão usa uma chave de plataforma. Uma chave do cliente ainda reside no serviço de chaves da Yandex, e desativá-la é um kill switch. A memória do convidado é memória comum do processo QEMU, então o operador do host está do mesmo lado da fronteira de confiança que o convidado em execução. Não há libvirt. Migração ao vivo, hosts dedicados e troca de builds do QEMU no mesmo host são comportamentos publicados do produto. Um pin de host-id desativa a migração ao vivo e é escrito pela API de computação por um principal que já pode atualizar a instância. A interface do convidado não carrega essa escrita. O que as páginas citadas não mostram é uma assinatura de interceptação legal no soquete de controle do hipervisor, nas escolhas do agendador ou nas regras de afinidade de host, e elas não mostram o clone silencioso, o mapa de núcleos fixo, o daemon personalizado ou o caminho tunelado no ensaio mais amplo. Nomes reversos locais contendo yandex foram inventariados. 45.87.42.74 continua sendo a fazenda de vendas qloudhost de agosto, um nome diferente. 87.250.250.108, a sessão inexplicada do trecho sobre descartes, estava ausente daquela tabela anterior. O registro divide a Yandex.Cloud LLC nos objetos de nuvem da YANDEX LLC na rede corporativa. Os certificados de API concluídos são Yandex, Moscou, GlobalSign. Um nome publicitário ainda tem um ponteiro reverso pendurado em 77.88.21.179. https://x.com/i/article/2106548730942152704
Uma Isca de Cartão Coinbase Não Pago — 9 de Outubro
Duas páginas do Telegraph, telegra.ph/NCO-09-27 e graph.org/UIN-10-05, compartilham um link de continuar. Ambas ficam em 149.154.164.13. Foram publicadas em 27 de setembro e 5 de outubro. O link é rss2.sayler.at/go/337413/z274x264 em 107.189.20.230, e redireciona para um kit de Coinbase Card em 97ee1.ralind.at em 31.59.121.53. O próprio script do kit nomeia 22 etapas, do índice até uma página de pagamento rápido. Uma postagem original de 6 de outubro declara essa contagem e imprime os mesmos 22 nomes de arquivo. As páginas mostram um saldo de $39.437,16. Os scripts foram modificados pela última vez em 26 de agosto de 2026. Onze códigos de taxa são nomeados. Apenas y2a4u234, a linha interbancária de $58, foi seguida, até bitpays.at em 31.57.29.11, fluxo 4374w2. Um envio sintético às 03:45 GMT em 9 de outubro retornou um redirecionamento para uma fatura BTCPay, 6QTpVwNe9CynFTXZFJE8Yk, em btcpay369329.lndyn.com em 172.81.177.1. Status Novo. Cinquenta e oito dólares, 0,00070469 BTC, taxa $82.306,45, endereço bc1qexqsudur4860kva5789qcvkmpdk4j9wrfrsmzy. A verificação de pago retornou zero. Nenhum pagamento foi enviado.
O ip-api coloca o kit em Paris e o formulário de pagamento em Riga. O QuantumGuard e o registro de origem colocam 31.57.29.0/24 nos Emirados Árabes Unidos, AS56971. sayler.at, ralind.at e bitpays.at usam DNSPod. A nota de 6 de outubro, no objeto que carrega o serial SOA 1789107920, coloca esse objeto em Zaandam sob o AS14956, RouterHosting e FranTech. O artigo de 9 de outubro não repete esse posicionamento. Os nameservers do Telegraph, os nameservers da GoDaddy para graph.org e os endereços do DNSPod são DNS compartilhado. 144.31.93.214 está fora dessa cadeia. O ensaio de 15 de agosto e esta isca usam a palavra Coinbase. O exemplo do ensaio é uma equipe de personificação por telefone. Este trecho é uma página, um rastreador, um kit de cartão e uma fatura que ficou sem pagamento. https://x.com/i/article/2108597864108871681
Posição de Encerramento
Duas listas encerram a série. A primeira são os métodos que a Quantitative Security usou. A segunda são os métodos que os trechos mapearam, cada um com o grupo, locatário ou classe que o trecho lhe atribuiu. Os exemplos do ensaio permanecem sob o ensaio de 15 de agosto. Tags irmãs permanecem no endereço irmão. Projetos de varredura permanecem no balde de medição. Onde um trecho não nomeia nenhum grupo, a linha termina no locatário, na rede ou na classe.
Métodos utilizados
- Passagens externas estruturadas sobre banners, certificados e serviços em escuta, com ativos abandonados separados do volume de produção.
- Um engajamento de visitante aberto por engenharia social, depois expandido por enriquecimento de fontes abertas. Apenas reconhecimento.
- Consultas de IP reverso, WHOIS e registro, registros de autenticação de e-mail e uma captura de pacotes verificada contra os endereços que esses registros nomeavam.
- O próprio domínio da empresa, percorrido pela mesma abertura que um caçador externo usaria, com o autorreconhecimento mantido como ruído de sensor.
- Feeds de geolocalização suave e asname verificados contra ARIN, RIPE e Team Cymru. A ordem é ferramenta, depois locatário, depois registro.
- Um inventário histórico classificado, fechado para identidade de serviço antes que qualquer incidente público fosse vinculado a ele.
- Logs de DNS on-path e honeypot, lidos de modo que as próprias sessões da empresa permaneçam separadas dos acertos remotos.
- E-mail reduzido em um token invariante, uma requisição HEAD confrontada com um GET de navegador e um corpo de host virtual compartilhado hasheado pelo prefixo.
- Descartes residenciais reduzidos contra AbuseIPDB, Spamhaus DROP, URLhaus, Feodo, SSLBL, ThreatFox e Emerging Threats, com a expansão passiva de nomes deixando o nameserver fora da lista de bloqueio.
- Saída de hotspot mantida como associação, e medição de acompanhamento cronometrada separadamente da primeira sessão.
- Registrador, par de nameserver e intersticial de operadora separados do conteúdo de origem.
- SPF, DKIM, DMARC e S/MIME lidos juntos, e mantidos em uma classe quando o original assinado não estava em mãos.
- Uma exportação de descartes dividida em projetos de varredura, redes hostis recorrentes, os próprios pacotes da empresa e a sessão que não se explicou.
- Documentos de computação de fornecedores lidos contra uma alegação mais ampla, com as cláusulas não suportadas deixadas fora da conclusão.
- Uma cadeia de isca seguida através do rastreador, do kit, de um código de taxa e de uma fatura sintética não paga. Nenhum pagamento foi enviado.
Métodos mapeados e o nome em cada um
- Serviços de nuvem residuais e proxies autenticados de curta duração. As marcas residuais são GENIEX, títulos de jogos incluindo Dragon Raja e um conjunto enxuto ligado ao Laos de sites de estética médica e carros usados.
- Coleta de infraestrutura de visitantes. O endereço de abertura foi geolocalizado no Irã, e o artigo deixa o rótulo ali. A linha de base nomeia GoCodeIT Inc. de Thornhill, Ontário; rejekibet.com e os clones fraudulentos em torno dessa marca; e geniex.com em fase de encerramento.
- Vendas de plano de saúde com nome de marca e um site já classificado como phishing, em hospedagem compartilhada. Os nomes associados são registrantes. Fabiola Silva Souza e Fabiola Silva Souza Seguros Ltda detêm o portfólio principal. Roger Oliveira da Silva e Leonildo Quintiliano ficam no site-ponte. Tiago Ferreira Pena é um registrante adjacente. Christian von Langermann é o registrante de shelleasternpetroleum.ae, um colocatário. OpenDNS, Cloudflare e DNS4EU classificaram vendasbradescosaude.com.br como phishing. As páginas de banco falso, cassino e conversor de carteira no mesmo nó permanecem como vizinhas.
- Imitação de borda confiável: um visual semelhante ou um nome arbitrário estacionado no Squarespace, Cloudflare, Vercel, GitHub Pages ou AWS Global Accelerator. URLs históricas de Cobalt Strike e Mozi em 198.49.23.145 são outros locatários daquele anycast.
- Camadas de capacidade, no ensaio de 15 de agosto. Estes nomes são os exemplos do ensaio. Man hands, também chamada Tiffany M.: personificação de suporte a hardware wallet e exchange, e-mail falsificado da BitcoinIRA. Dritan Kapllani Jr. John Daghita, chamado Lick, contra carteiras apreendidas pelo U.S. Marshals Service. A equipe Greavys, Wiz e Box, contra um credor da Genesis. Lazarus, o roubo da Bybit em fevereiro de 2025. UAC-0145, vinculado no ensaio a Sandworm / APT44: entrevistas de emprego falsas, com uma configuração de VPN como vetor de entrega. Laundry Bear: credenciais ligadas à Rússia contra governo, defesa e infraestrutura crítica.
- URLs de malware carregadas em um hostname de release do GitHub cuja origem BGP é a Fastly. O método mapeado é carga em um hostname confiável. O bloqueio é o servidor virtual subsequente.
- Geração de leads snowshoe. Os disfarces são Policy Plug, Easy Insurance Match, Endurance e Indigo and Destiny Mastercard. A LendingTree é vítima de um rodapé NMLS roubado. O e-mail e os cliques ficam na NForce, AS43350. O WHOIS não redigido nomeia Robert Carpino como pivô. O comprador por trás da oferta CAKE 2701 não está identificado.
Varredura residencial e hospedagem hostil.
- QNAX. Vende VPS, RDP e console VNC. O método mapeado em 45.140.193.187 é força bruta RFB em tcp/5900.
- Pfcloud. Dentro de um prefixo Spamhaus DROP, com n8n e authentik nomeados nessa rede. Uma conta de 25 de junho coloca a exploração do UniFi OS em 176.65.148.183 no mesmo /22. As entradas da CISA de 23 de junho nomeiam CVE-2026-34908, CVE-2026-34909 e CVE-2026-34910, descritas no trecho como um loader de classe Mirai.
- Tamatiya e 4vendeta. A pulverização pelas fatias de clientes e operações. TopDNS continua sendo o forwarder. Recyber está nos cartões de agosto e está ausente da janela de 3 de outubro.
- Ghosty 43.228.157.0/24 e Stormcloud 94.154.43.0/24. Vizinhanças Mirai nomeadas no URLhaus. No /24 da Stormcloud, as tags adicionais, incluindo ApexBot e LummaStealer, ficam em endereços irmãos. 94.154.43.203 é o endereço que tocou o log de outubro.
- Stealc, MooBot, Vidar e XWorm. Nomeados em outros hosts 193.233, em sistemas autônomos diferentes do scanner em 193.233.198.28.
- 46.146.238.1. Um host URLhaus exato para um dropper de porta alta, com telnet aberto.
- UniFi OS em 195.252.206.160. Uma correspondência de classe de serviço com SAB-067, CVE-2026-77550.
- EMBNEX. Oito origens de dump. embnex.com é CloudFront.
- Projetos de varredura nos mesmos logs: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid e Nokia Deepfield. Nomes de rede recorrentes nesse conjunto de medição incluem SS-Net e Amarutu.
- Serviços de gerenciamento voltados para a internet em um endereço: MikroTik RouterOS, Nginx Proxy Manager, MeshCentral e UniFi.
- Uma lista de espera de um dia em um nome Dynadot com proxy de privacidade. O trecho não nomeia nenhum grupo. Mystic Stealer aparece como um apêndice de junho de 2023 que listava os mesmos endereços anycast da Cloudflare. FanPartners e a lander “A little chicken” usam um par de nameservers diferente.
- E-mail que passa em SPF, DKIM e DMARC em um host do Defense Network Information Center, com a linha From e o signatário S/MIME diferentes. O programa no artigo é a lacuna de prova de identidade do DMDC. A classe mapeada é um corpo introduzido no momento do signatário ou antes dele. A carta de compartilhamento de arquivos de setembro permanece em suas próprias datas.
- Uma alegação mais ampla sobre ler convidados do Yandex Cloud. Os documentos sustentam uma chave de criptografia de plataforma, uma chave de cliente que continua sendo um kill switch dentro do próprio serviço de chaves da Yandex e a memória do convidado como memória comum do processo QEMU. 87.250.250.108, chamada cloud.yandex.ru, continua sendo a sessão que o trecho sobre descartes não conseguiu explicar.
- Uma isca de cartão em várias etapas: duas páginas do Telegraph, um rastreador, um kit de 22 etapas, um formulário de pagamento com código de taxa e uma fatura BTCPay deixada sem pagamento. O exemplo da Coinbase de 15 de agosto continua sendo a equipe de personificação por telefone do ensaio, Man hands. Este trecho é a página, o rastreador, o kit e a fatura não paga.
