Обновление за Q3 | Октябрь 2026 - Quant. Sec.

Quantitative Security потратила период с 31 июля по 9 октября 2026 года на публичную серию материалов, инструментарий для которой был подготовлен в ходе среднесрочного обзора. Серия охватывает всё: от разведки облачного периметра 31 июля до приманки с неоплаченной картой Coinbase 9 октября, публикуясь в формате длинных постов TLP:CLEAR на платформе X. В августе методология была направлена внутрь: соседний узел на GitHub был привязан к личности продавца медицинских страховок, собственный домен компании был оценён как внешняя цель, а годовая подборка меток операторов связи была сверена с реестром. В сентябре тот же подход сведения данных применили к домашнему межсетевому экрану и к одной «снежной» фабрике лидов, при этом платформы, на которых размещались эти кейсы, оставили в отдельном классе. В октябре журнал отбраковки разделили на результаты измерений, известные враждебные сети и собственные инструменты компании, сопоставили более широкое утверждение о Yandex Compute с документацией вендора и проследили путь карточного набора вплоть до неоплаченного инвойса.

Каждый продукт превращает сырую телеметрию и открытые источники в атрибутированный, приоритизированный результат, готовый для защиты. Имя фигурирует только там, где материал его устанавливает. Платформа, арендатор, проект обследования и сигнатура, проходящая через каждый из них, сохраняют тот класс, который им присвоил материал. В заключительной части перечисляются использованные методы, картированные методы, а также группа, арендатор или класс, закреплённые за каждым из них.

Серия отчётов

Остаточная облачная поверхность — 31 июля

Структурированное внешнее сканирование примерно 115 адресов позволило разделить работающие продакшен-системы, остаточные сервисы и заброшенные активы. Турецкий виртуальный хостинг на 104.247.165.210 (silaoglu.com, баннер mt-rohan.guzelhosting.com) представлял собой полный стек почты и веба: Pure-FTPd, Dovecot, Exim, MySQL и LiteSpeed, а рядом — SOCKS5- и HTTP-прокси с авторизацией и короткоживущие сертификаты. Наибольший объём находился в пространствах Tencent и Aceville и был жёстко отфильтрован. Та меньшая часть, что отвечала, и составила остаточную поверхность: Nginx Proxy Manager на порту 81, работающее приложение Next.js по пути /arena, прокси с авторизацией на высоких портах, Windows Remote Desktop с именами хостов во внутреннем стиле, а также оставшиеся сертификаты для бренда eSIM GENIEX и для индонезийских и вьетнамских игровых брендов, включая игру Dragon Raja, которую всё ещё обслуживал устаревший Jetty. Небольшой набор, связанный с Лаосом, на одном адресе Tencent содержал сайты медицинской эстетики и продажи подержанных автомобилей на китайском языке со слабым публичным следом. Результат — то же самое разделение, которое среднесрочный обзор применял к периметру Google. Продакшен-трафик и заброшенные сервисы — это разные находки, и только вторая представляет проблему блокировки и усиления защиты. https://x.com/i/article/2083245764969635841

Взаимодействие в рамках защитной разведки — 1 августа

Всё началось, когда замаскированный адрес с геолокацией в Иране обратился к инфраструктуре Quantitative Security. Социальная инженерия этого взаимодействия позволила захватить набор адресов, расширенный через специально созданный сайт, собиравший данные об инфраструктуре посетителей. Опубликованный базовый список называет GoCodeIT Inc. из Торнхилла (Онтарио) на прокси с авторизацией 65.111.5.29 и 74.119.149.79; открытый CloudPanel 2.5.2 на 103.255.134.61 для technofaq.org; CodePushServer в стиле Microsoft на 152.32.169.33, порт 8888; rejekibet.com как индонезийскую платформу азартных игр на реальные деньги с мошенническими клонами вокруг бренда; доступный из интернета Windows Remote Desktop, включая 38.107.237.68; geniex.com как нигерийский проект виртуальных SIM-карт в стадии сворачивания, сам домен которого указывает на AWS; и acmmanufacturer.com, ранее находившийся в остаточном пространстве Tencent, а затем переехавший в Zenlayer через chukouplus.com. Прокси-хосты в 104.207.0.0/16 требовали авторизации, предъявляли сертификаты сроком около семи дней и возвращали 404 на проверяемых путях админ-панелей. Слушатели zeus-admin оставались отфильтрованными. Метка геолокации на начальном адресе стала отправной точкой взаимодействия. Статья не относит активность ни к одной названной государственной группе. Набор данных был закрыт как базовый для второй половины года. https://x.com/i/article/2083388096285179904

Балансировщик нагрузки GitHub и бразильская ферма продаж медстраховок — 8 августа

Сессия горячей точки 7 августа с QuantumGuard и захватом трафика началась с pull request на GitHub и обратного IP-поиска сиэтлского балансировщика 140.82.116.3 (lb-140-82-116-3-sea.github.com). На этом адресе совместно размещался coindream.site: веб на GitHub, почтовый SPF указывает на UltaHost cp5 159.100.6.5, создан 23 января 2026 года, скрытый регистрант, DNS Namecheap. В захвате не было пакетов к адресам из последующего кейса. UltaHost держал порядка 500 имён, включая shelleasternpetroleum.ae, зарегистрированный на Кристиана фон Лангерманна, а также gamingcomission.co, antifraud.click, aranttru.com и pinupcasinorussia.click. Позже веб-порты были отфильтрованы до cPanel на 2082 и 2083. pro114.dnspro.com.br на 187.33.241.58 демонстрировал полный стек почты и панели управления, а также публичную MariaDB 10.11.18.

Основной узел — shared.qloudhost.com на 45.87.42.74, бразильская ферма продаж медицинских страховок 2017–2025 годов, использующая названия брендов Bradesco, Amil, Unimed и SulAmérica. В WHOIS основного портфеля указана Fabiola Silva Souza, идентификатор FASSO283, почтовый ящик на saudeperfeita.com.br. Публичные записи в статье соответствуют CNPJ 40.950.276/0001-55, Fabiola Silva Souza Seguros Ltda, Мосока, Сан-Паулу, открыта 23 февраля 2021 года. Связующий сайт saudeperfeita.com.br размещён на HostGator (162.241.2.92), пользователи WordPress — admin и nildo, в статье они связаны с Роджером Оливейрой да Силвой из Agência Unit и с Леонилдо Квинтилиано. Тиаго Феррейра Пена — смежный регистрант на тех же серверах имён. На том же узле находились фейковые банковские страницы, регистрация в казино и конвертеры Paysafe и Neosurf. QloudHost рекламирует хостинг для казино. Общие серверы имён и почтовый ящик saudeperfeita связывают операторов страховых планов. Совместное размещение на узле не распространяет эту идентичность на финансовых или игорных арендаторов. vendasbradescosaude.com.br оставался на адресе qloud даже после того, как OpenDNS, Cloudflare и DNS4EU классифицировали его как фишинг. В материале остались нераскрытыми: полный портфель registro.br, исходный URL pull request и вторичные зацепки по фон Лангерманну. https://x.com/i/article/2085939414463631360

Собственный домен как внешняя цель — 15 августа

С 9 по 14 августа quantitativesecurity.org исследовался теми же начальными методами, которые использовал бы внешний охотник. Источник оказался чистым. Хостинг — мультитенантный anycast Squarespace с набором p07 от NS1 плюс DNS Squarespace, Let’s Encrypt на клиентских именах и ответ 403 с голых адресов, несущих сертификат DigiCert для *.squarespace.com. nmap сообщил о реализации Go net/http, тогда как заголовок Server указывал на Squarespace. Эта пара — один и тот же периметр, описанный на двух уровнях. Около 1900 имён .academy используют ту же платформу. Индикаторы класса Gophish были проверены и отсутствовали. QuantC и QuantumGuard зафиксировали самосканирование как платформенный шум, что и является истинным положением дел, необходимым этим датчикам. Материальный остаточный риск связан с идентификацией: нет MX, нет SPF, нет DMARC, а срок регистрации истекает в сентябре 2026 года. Чистый источник, чей почтовый канал не подписан, всё равно остаётся поверхностью атаки. https://x.com/i/article/2088437251508436992

Уровни возможностей — 15 августа

Сопутствующее эссе отделяет криминальные группировки от государственных акторов по тактикам и совокупным суммам, а третью категорию резервирует для работы по выявлению уязвимостей, которая ничего не крадёт. На нижнем уровне приведённый в эссе пример — звонящий, известный как Man hands (она же Tiffany M.): выдача себя за поддержку аппаратных кошельков и бирж, не менее 5 млн долларов, Trezor и Coinbase, поддельные письма BitcoinIRA, панели от сообщников, слабая операционная безопасность. Эта цифра — общая сумма краж данного звонящего по оценке эссе. Примеры среднего уровня в том же материале: Dritan Kapllani Jr. с суммой около 19 млн долларов и John Daghita по кличке Lick — более 46 млн долларов из кошельков, изъятых Службой маршалов США, при общей предполагаемой активности свыше 90 млн долларов (позже арестован). Более высокий криминальный пример — группировка Greavys, Wiz и Box, около 243 млн долларов от одного кредитора Genesis. Примеры государственного уровня: Lazarus и кража у Bybit в феврале 2025 года на сумму около 1,5 млрд долларов; UAC-0145, связанный в эссе с Sandworm / APT44, использующий фальшивые собеседования против украинских IT-специалистов и конфигурацию VPN как вектор доставки; и Laundry Bear, описанный как использование скомпрометированных учётных данных против госструктур, оборонного сектора и критической инфраструктуры, связанное с Россией. https://x.com/i/article/2088672299868377088

Соседство .academy — 17 августа

Обратный IP-поиск квартета connect-адресов Squarespace выявил 2020 соседних имён. 1898 заканчивались на .academy, и 1767 из них по-прежнему указывали только на 198.49.23.144, 198.49.23.145, 198.185.159.144 и 198.185.159.145, AS53831. Во всём наборе встретилось 54 уникальных адреса. Сорок из сорока проверенных имён Squarespace вернули заголовок Squarespace и cookie crumb. Жалобы на злоупотребления и исторические URL-адреса вредоносного ПО в офлайне на 198.49.23.145, включая пути Cobalt Strike и Mozi, в статье привязаны к другим арендаторам на общем периметре. Граница собственности — это имя бренда и четыре официальных connect-адреса. Школьные имена остаются вне списков блокировки. Репутация, опирающаяся на адрес, а не на имя хоста, — это издержка платформы, и она задокументирована именно так. https://x.com/i/article/2089015652753502208

Слой идентификации — 17 августа

Семейство регистраторов того же домена, двойные серверы имён и четыре anycast-адреса — это легитимная база, и именно эту поверхность копирует имитатор. Squarespace, Cloudflare, Vercel, GitHub Pages и AWS Global Accelerator уже несут репутацию, заголовки и центры сертификации. Чужой хост всё равно блокируется по умолчанию, поэтому простая блокировка адреса создаёт много шума. Рычаги, названные в статье, находятся на стороне регистратора: перенос, смена серверов имён, гигиена контактов и возраст регистрации, а затем либо похожее имя, либо произвольное имя, припаркованное на доверенном периметре. Двенадцать из двадцати семи аномальных корневых доменов .academy в сопутствующем подсчёте были зарегистрированы в Squarespace Domains, но размещались в другом месте. Средства контроля, соответствующие манипулируемому слою: блокировка на стороне регистратора, многофакторная аутентификация платформы, Certificate Transparency для похожих имён и жёсткая запись SPF, если домен не отправляет почту. https://x.com/i/article/2089012676634738688

Выделение Verizon, записанное как T-Mobile — 23 августа

5 августа собственный отчёт пометил клиентский префикс 2600:1010:b204:: как характерный для T-Mobile. Телефон всегда работал только с Verizon, первый владелец. ARIN показывает NetName WIRELESSDATANETWORK, организация Verizon Business (MCICS), зарегистрировано 6 апреля 2010 года, охватывает диапазон от 2600:1000:: до 2600:1017:ffff::. Мягкие каналы asname и геолокации несли метку T-Mobile с октября 2025 года до дня публикации того отчёта. Запрос в реальном времени 21 августа вернул Team Cymru AS6167 CELLCO-PART и RIPE AS22394 CELLCO. Выделение не менялось. Рабочий порядок, опубликованный в материале, стал правилом для всей остальной серии: сначала атрибутировать инструмент, затем арендатора, затем реестр. https://x.com/i/article/2091560316878671872

Инвентаризация 2023 года, ранжированная — 23 августа

Двести девяносто четыре скриншота с домашнего канала Charter в Нью-Йорке начала 2023 года были перенесены в виде ранжированного набора: около 1450 IPv4-адресов, из них около 1266 публичных, по явной шкале от T1 до T5. Сканирование 2026 года закрывало сервисы до того, как оставить что-либо открытым. 103.235.46.191 — гонконгский аналитический периметр Baidu, hm.baidu.com, AS55967. 23.82.31.230 — TradingView на Leaseweb. Адрес из диапазона Boeing попал в список, основанный только на документах. Более поздние публичные сообщения о взломе подразделения запчастей Boeing группировкой LockBit имеют общее название организации с этой документальной строкой, но не имеют общих сессий. Февральский сбой голосовой связи Charter в 2023 году, заявления Storm-0558 в июле 2023 года, поздние отчёты Salt Typhoon и собственное уведомление Leaseweb от 22 августа 2023 года служат контекстными окнами. https://x.com/i/article/2091569041584619520

GitHub на Fastly — 27 августа

QS-NetHarden работал через телефонный модем. Захват начался в 09:08 PDT 26 августа. NetCloak представил новую личность Windows. Приманки Artillery были подняты без включённого бана. Phantom-QS крутил Firefox 128. Ничто в журнале ловушки тем утром не является удалённым попаданием. Оператор здесь — DNS: чат-прокси, балансировщик нагрузки GitHub, Actions, Copilot, затем release-assets.githubusercontent.com. Покрывающий префикс 185.199.108.0/22 — это RIPE US-GITHUB-20170413, организация GitHub, BGP-источник AS54113 Fastly. Собственный опубликованный список адресов Fastly его не включает. Набор .133 — универсальный сборщик контента. Набор .154 — релизы и пакеты. Парадная дверь Actions — это Microsoft 13.107.42.0/24 и 13.107.43.0/24, а pipelines.actions в том проходе указывал на 13.107.43.16. URLhaus содержит URL-адреса вредоносного ПО на имени release-assets, и Harden-Runner его отмечал. Имя хоста — это грузовик. Актор — это груз и следующий прыжок, который не является GitHub. Блокируйте последующий виртуальный сервер. Оставьте в покое лист, универсальный узел Fastly, Azure Front Door, региональные снимки и датчик. https://x.com/i/article/2093021792923508736

Одна фабрика лидов типа «snowshoe» — 29 августа, продолжение 7 сентября

27 августа один почтовый ящик принял 72 непрошеных письма об автостраховании и кредитных картах, 156 уникальных ссылок, 71 домен в поле From. Кластеризация тем дала три пары дубликатов. Инвариант — токен e6jbv4z в каждом теле письма и каждой ссылке. Переходы используют двухбуквенную метку на старом корневом домене и PHP-путь вида /r плюс шестнадцатеричные цифры. Policy Plug отвечает за 51 из 72 писем. Easy Insurance Match, Endurance, а также Indigo и Destiny Mastercard — лишь маски. Большая часть копирует номер NMLS 1136 компании LendingTree и её адрес улицы в Шарлотте. LendingTree — жертва кражи футера. Почта и переходы сидят на NForce, AS43350, в 185.47.200.0/24 и 185.47.203.0/24: nginx, PHP 7.4.33, 443 закрыт, 25 отфильтрован. Домены — старый инвентарь Name.com. HEAD-запрос получает стандартный ответ nginx 403. GET-запрос, похожий на браузерный, получает 302 на лендинг CAKE, предложение a=44 и c=2701, на taobmaets.com, или страницу отписки на keycanvascanvas.com. Вложения, названные файлами Office, являются обычным текстом. ClamAV показал чисто. Один заголовок Host, mediaignorance.com, возвращал одно и то же тело размером 52 667 байт с семи адресов в /24. Неочищенный WHOIS четырёх корневых доменов называет Роберта Карпино, что в статьях рассматривается как точка опоры. Покупатель, стоящий за предложением CAKE, не установлен. 7 сентября дальнейшая выборка с тем же токеном и той же структурой пути, в масках автострахования и Indigo, была опубликована как уже присутствующая в базе данных AT&T. Пост утверждает наличие одного общего набора серверов имён, но не приводит его. Действия защитника строятся вокруг токена, пути и двух префиксов NForce, о которых сообщено на abuse@nforce.com и регистратору, при этом украденная строка NMLS идентифицирована как кража футера. https://x.com/i/article/2093528643779825664 https://x.com/i/article/2093532720119083008 https://x.com/i/article/2097103637160022017

Домашний межсетевой экран, первый проход — 5 сентября

Журнал домашнего шлюза AT&T содержал 296 событий за 26 минут, 188 уникальных адресов, 169 из них публичные. Этот срез — фоновое излучение публичного IPv4. Карточки от 31 августа уже назвали QNAX, Recyber, Infrawatch, Xpanse, Censys, Pfcloud и CHINANET. Три находки оказались новыми. QNAX 45.140.193.187 обращался к WAN десять раз за 21 минуту. Статья ссылается на 408 отчётов AbuseIPDB от 170 источников, все враждебные, и на брутфорс VNC по tcp/5900 с использованием RFB 003.008. qnax.sh продаёт этот VPS, RDP и консольный VNC-продукт. Первым названным входящим подключением внутри сети Spamhaus DROP стало Pfcloud 176.65.149.233, в 176.65.148.0/22, в 11:58. n8n.pfcloud.io находится на 176.65.148.168. sso.pfcloud.io идентифицирует себя как authentik. Распыление Tamatiya и 4vendeta по 79.124.58.0/24, 79.124.49.0/24 и 78.128.114.0/24 включает 79.124.58.90, чьё обратное имя — ip-58-90.superbit.host, а псевдоним — urlforward.topdns.com, тот же адрес DigitalOcean, что и у ns-usa.topdns.com на 143.198.68.197. Пассивное расширение topdns.com вернуло 517 меток, многие из них пересекаются с брендами, почти все без адресов. Сервер имён остаётся незаблокированным. Приоритетные хосты: 45.140.193.187, 79.124.58.18, 79.124.58.90, 79.124.49.90, 78.128.114.46 и 78.128.114.162. Необязательные сети — клиентские и операционные срезы Tamatiya, а также Pfcloud 176.65.148.0/22 плюс 204.76.203.0/24. Вместе с ними оставлены без внимания: TopDNS, коллекторы CriminalIP, периметры Cloudflare, сканеры переписи и Telepoint 78.128.42.0/24. Контакты для жалоб, опубликованные в материале: abuse@qnax.com.br и noc@4vendeta.com. Датчик работал через точку доступа. Локальная сеть не сканировалась. Материал опирается на заметку о Tamatiya от 24 июля из серии первой половины года. Указатель на сайте от 4 сентября носит название серии и ведёт на сайт компании; записью X об этом измерении является данная статья и следующая. https://x.com/i/article/2096029788624523264

Домашний межсетевой экран, остаток — 6 сентября

Окна 29 августа и 5 сентября вместе дали 530 уникальных событий и 270 входящих публичных адресов. Этот второй материал — оставшиеся 105, после того как сканеры переписи и названные коммерческие наблюдатели были отложены. Семьдесят четыре из 108 проверенных адресов появились в публичном канале в тот день. Ни один не встречался в Feodo, SSLBL, ThreatFox или Emerging Threats. Двадцать один находился в префиксах Spamhaus DROP от 4 сентября, включая Pfcloud /22. Статья ссылается на отчёт от 25 июня об эксплуатации UniFi OS, запущенной с 176.65.148.183 в этом префиксе, и на добавление CISA 23 июня CVE-2026-34908, CVE-2026-34909 и CVE-2026-34910. Ghosty 43.228.157.0/24 и Stormcloud 94.154.43.0/24 — соседства Mirai на URLhaus в том же материале. Самым громким оставшимся входящим адресом всё ещё был QNAX 45.140.193.187, причём в статье насчитывается 412 отчётов, последнее появление — 1 сентября на порту 5000. 46.146.238.1 — точный хост URLhaus для дроппера на высоком порту, с открытым telnet. UniFi OS на 195.252.206.160 не имел совпадений в каналах адресов и по классу сервиса соответствует SAB-067, CVE-2026-77550, от 26 августа. EMBNEX 16.5.0.0/24 — это восемь источников дампов; сайт embnex.com работает на CloudFront. Идентичный короткий HTML-фрагмент в несвязанных сетях — это страница-поглотитель. Рекомендация — заблокировать сети. https://x.com/i/article/2096732079388299264

Исходящий трафик точки доступа к узлу управления — 14 сентября

Трафик с личного устройства через точку доступа iPhone достиг 113.176.118.150, известного как static.vnpt.vn и rdp.cdmt.vn. Адрес демонстрирует MikroTik RouterOS 6.49.13, Nginx Proxy Manager на порту 80, HTTPS с ограничением по имени на 443, публичный логин MeshCentral на 5009, публичный логин UniFi на 8443, два SSH-демона на 8080 и 8090, а также неидентифицированный сервис в стиле CONNECT на 8088, в котором фигурировало имя CloudFront d3azdm1q0gvo54.cloudfront.net. Опубликованная гипотеза — это интернет-шлюз и узел управления. Исходящий трафик к нему с личной точки доступа остаётся несанкционированным, пока не будет привязан к известному приложению, пользователю или устройству. https://x.com/i/article/2099540826854715392

Редкий список ожидания — 22 сентября

uythjmnglk.xyz был зарегистрирован в Dynadot 14 сентября 2026 года, с прокси-защитой конфиденциальности, на паре серверов имён Cloudflare phoenix и wilson, без DNSSEC. Отвечают только корневой домен и www. Вне локальной сети приложение представляло собой список ожидания под названием «You’re on the list», отправляющий email на путь подписки с токеном v:897qvxac7fny03ac. На шлюзе AT&T то же имя возвращало короткую промежуточную страницу, причиной которой значилось вредоносное ПО. Эта страница — перевозчик, а не источник. Два адреса Cloudflare перед именем фигурируют в приложении к Mystic Stealer от июня 2023 года. Это общий anycast, и между тем приложением и этой регистрацией прошло три года. Однодневные имена казино и 4D у того же регистратора используют другую пару серверов имён. Более старая пара обслуживает лендинг «A little chicken», привязанный к партнёрскому пути FanPartners. Эти кластеры остаются в стороне от данного семени. Адреса Cloudflare остаются вне любых списков блокировки кампаний. https://x.com/i/article/2101850617815908352

Уведомления CAC и DEERS — 28 сентября

Два уведомления пришли на личную почту Gmail от CACExpiration-DoNotReply@mail.mil: 9 марта 2026 года и 7 мая 2026 года. Майское письмо прошло проверки SPF, DKIM и DMARC. DKIM: d=mail.mil, селектор EEMSG2021v1a, политика reject. Идентификатор сообщения называет UHIL19PA53.eemsg.mail.mil на 214.24.21.199. Подписант S/MIME — benefits.notifications@mail.mil, выдан DOD SW CA-83, действителен с 15 октября 2025 года по 15 октября 2028 года. Баннер Gmail сообщает, что отправитель и подписант различаются. Эти два почтовых ящика действительно разные, и этого достаточно для появления баннера. В текстах говорится, что отсутствуют два документа, удостоверяющих личность, и получателю предлагается посетить RAPIDS, чтобы загрузить их: с отсчётом в 120 дней в марте и в 60 дней (до 6 июля) в мае. Никакие документы не отправлялись. Карта продолжала работать.

Официальная программа, на которую ссылается статья, началась с уведомлений DMDC в январе 2026 года. К августу около 215 000 действующих военнослужащих и резервистов не соответствовали требованиям. Армия проверила около 111 000 карт, ни одна не была отозвана по состоянию на 2 сентября. Около 21 500 морских пехотинцев всё ещё имели задолженность в июле. Официальная позиция от 3 сентября, опубликованная 8 сентября, описывает обновление административных записей, при этом ни мошенничество, ни утечка из-за отсутствующих документов не заявлялись. MARADMIN 393/26 требует два оригинала документов, лично. В мартовском тексте говорилось о загрузке.

Класс, который статья оставляет в колонке словаря, — это субъект, представленный на уровне подписанта или до него, поэтому проверки всё равно проходят. Перезапись после верификации Gmail исключена, потому что DKIM прошёл. Ни исходного файла сообщения, ни части с подписью под рукой не было. Почтовый хост — AS345, 214.24.21.0/24, блок Defense Network Information Center от 1998 года. www.cac.mil — имя на Akamai, адреса 23.62.46.164 и 23.62.46.182, отвечают кодом 403, а сертификат на этом edge-узле содержит www.cac.mil вместе с набором имён pentagon, defense и department. Приложения DMDC idco, myaccess и pki резолвятся в AS27064 на разных адресах 214, включая pki.dmdc.osd.mil на 214.16.194.24. Между почтовым префиксом и префиксами этих приложений нет ничего общего. Один сервис геолокации помещает запросы к 214 в Колумбус, штат Огайо. Другой — в Роуз-Хилл, Виргиния. Это один аллоцированный блок.

Три соседние записи остаются каждая в своей полосе. Маркетинговая страница на email.usfhp.net от 20 июля — реальный ресурс US Family Health Plan с обычной аналитикой класса HubSpot. Письмо о файловом обмене от 18 сентября описывает нешифрованный доступ с октября 2025 по 16 июля 2026 года, обнаруженный 16 июля, и статья не связывает его с этой строкой From. Уведомление IDScan от 4 сентября касается облачных аккаунтов клиентов. Цифры около четырёх миллионов и 60 миллионов записей отвергаются в статье как общее число жертв. https://x.com/i/article/2104388574397554688

Семнадцать минут discard-трафика — 3 октября

Экспорт отброшенного (discard) трафика из жилого сегмента, собранный с 05:55 до 06:12 3 октября, содержал 234 строки, 110 внешних адресов и 166 приращений срабатываний. Каждая строка — это сброс, и в экспорте нет порта назначения. Более позднее чтение, сдвинувшее окно примерно на пять часов, — то же событие по другим часам. 51 из 57 срабатываний сканеров относится к известным проектам интернет-сканирования: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid, Nokia Deepfield и их соседи. Десять точных адресов повторяются с августа, включая 4vendeta 79.124.49.90, SS-Net 80.94.95.226, Ghosty 43.228.157.10 и Amarutu 89.42.231.200. QNAX и Recyber в этом окне отсутствуют. Среди новых участников известных сетей — Pfcloud 204.76.203.4 и Stormcloud 94.154.43.203. Имена вредоносов на /24 Stormcloud находятся на соседних адресах. Адрес, попавший в лог, — это discard, а семейство малвари остаётся на соседнем адресе, где оно и было фактически зарегистрировано.

Восемь сбросов UDP-политики — это хвост проверки списка прокси от 20 сентября, пакеты, отправленные самой наблюдаемой сетью. Две строки Amazon с невалидными пакетами не дают срабатываний по спискам угроз. Отдельное обогащение через tethering тем же утром — обычный путь оператора и контента: Verizon, Comcast, Lumen, Cogent, Google и Cloudflare. Сессия, которая сама себя не объясняет, — 87.250.250.108, с именем cloud.yandex.ru. Единственное срабатывание Spamhaus DROP в свежем совпадении списков — 140.222.19.75 и 140.222.19.77 внутри 140.222.0.0/16, SBL693942, читаемое как паттерн перехвата старого пространства NSFNET и оставленное вне списка блокировки хостов. Схлопывание измерительных проектов, «пуленепробиваемых» сканеров и собственных инструментов оператора в один список индикаторов искусственно создаёт инцидент. https://x.com/i/article/2106513298426597376

Yandex Compute против публичных данных — 4 октября

Первоначальное утверждение, разошедшееся в сети, гласило, что российское государство читает гостевые системы Yandex Cloud, комбинируя контроль над ключами, доступ к гипервизору, незаметные клоны дисков, закреплённую карту ядер, кастомный демон хранения и канал легального перехвата на планировщике. Статья сопоставляет это утверждение с собственными документами Yandex о вычислениях и с тем, что уже было на этом хосте. Шифрование диска по умолчанию использует платформенный ключ. Клиентский ключ всё равно живёт в сервисе ключей Yandex, а его отключение работает как аварийный рубильник. Память гостя — обычная память процесса QEMU, поэтому оператор хоста находится по ту же сторону границы доверия, что и работающий гость. Никакого libvirt нет. Живая миграция, выделенные хосты и переключение сборок QEMU на одном хосте — опубликованное поведение продукта. Закрепление host-id отключает живую миграцию и пишется через compute API принципалом, который и так может обновлять инстанс. Гостевой интерфейс эту запись не передаёт. На цитируемых страницах нет ни подписки на легальный перехват сокета управления гипервизором, ни решений планировщика, ни правил привязки к хосту; они не показывают ни незаметного клона, ни фиксированной карты ядер, ни кастомного демона, ни туннелированного пути из более широкого эссе. Были проинвентаризированы локальные обратные имена, содержащие yandex. 45.87.42.74 остаётся августовской фермой продаж qloudhost, просто под другим именем. 87.250.250.108, необъяснённая сессия из материала про discard, в той ранней таблице отсутствовал. Регистрация разделяет ООО Yandex.Cloud для облачных объектов и YANDEX LLC для корпоративной сети. Выпущенные сертификаты API — Yandex, Москва, GlobalSign. Одно рекламное имя всё ещё имеет повисший обратный указатель на 77.88.21.179. https://x.com/i/article/2106548730942152704

Неоплаченная приманка с картой Coinbase — 9 октября

Две страницы Telegraph, telegra.ph/NCO-09-27 и graph.org/UIN-10-05, делят одну ссылку «продолжить». Обе лежат на 149.154.164.13. Они были опубликованы 27 сентября и 5 октября. Ссылка ведёт на rss2.sayler.at/go/337413/z274x264 на 107.189.20.230 и перенаправляет на комплект Coinbase Card на 97ee1.ralind.at на 31.59.121.53. Собственный скрипт комплекта называет 22 шага, от index до страницы быстрой оплаты. Исходный пост от 6 октября указывает это число и печатает те же 22 имени файлов. Страницы показывают баланс $39 437,16. Скрипты последний раз изменялись 26 августа 2026 года. Названо одиннадцать кодов комиссий. Отслежен был только y2a4u234, межбанковская строка на $58, ведущий на bitpays.at на 31.57.29.11, поток 4374w2. Синтетическая отправка в 03:45 GMT 9 октября вернула редирект на инвойс BTCPay, 6QTpVwNe9CynFTXZFJE8Yk, на btcpay369329.lndyn.com на 172.81.177.1. Статус New. Пятьдесят восемь долларов, 0,00070469 BTC, курс $82 306,45, адрес bc1qexqsudur4860kva5789qcvkmpdk4j9wrfrsmzy. Проверка оплаты вернула ноль. Платёж не отправлялся.

ip-api помещает комплект в Париж, а платёжную форму — в Ригу. QuantumGuard и реестр происхождения помещают 31.57.29.0/24 в Объединённые Арабские Эмираты, AS56971. sayler.at, ralind.at и bitpays.at используют DNSPod. Заметка от 6 октября, на объекте с серийным номером SOA 1789107920, помещает этот объект в Зандам под AS14956, RouterHosting и FranTech. Статья от 9 октября это размещение не повторяет. Серверы имён Telegraph, серверы имён GoDaddy для graph.org и адреса DNSPod — это общий DNS. 144.31.93.214 выпадает из этой цепочки. И эссе от 15 августа, и эта приманка используют слово Coinbase. Пример из эссе — группа телефонных самозванцев. Этот материал — страница, трекер, комплект карт и инвойс, который так и остался неоплаченным. https://x.com/i/article/2108597864108871681

Итоговая позиция

Серию закрывают два списка. Первый — методы, которые использовала Quantitative Security. Второй — методы, которые материалы картировали, каждый с группой, арендатором или классом, которые материал ему присвоил. Примеры из эссе остаются под эссе от 15 августа. Теги семейства остаются на родственном адресе. Проекты сканирования остаются в корзине измерений. Там, где материал не называет группу, строка заканчивается на арендаторе, сети или классе.

Использованные методы

• Структурированные внешние проходы по баннерам, сертификатам и слушающим сервисам, где заброшенные активы отделены от продуктивного объёма.
• Взаимодействие с посетителем, начатое социальной инженерией, затем расширенное обогащением из открытых источников. Только разведка.
• Reverse-IP, выборки WHOIS и реестров, записи почтовой аутентификации и захват пакетов, сверенный с адресами, которые эти записи назвали.
• Собственный домен компании, прогнанный через тот же вход, которым воспользовался бы внешний охотник, при этом самопроверка сохранена как шум датчиков.
• Мягкие ленты геолокации и asname, сверенные с ARIN, RIPE и Team Cymru. Порядок: инструмент, затем арендатор, затем реестр.
• Ранжированный исторический инвентарь, закрытый до идентификации сервиса прежде, чем к нему был привязан какой-либо публичный инцидент.
• Логи on-path DNS и ханипотов, прочитанные так, чтобы собственные сессии компании оставались отдельно от удалённых попаданий.
• Почта, сведённая по неизменяемому токену, HEAD-запрос, сопоставленный с браузерным GET, и одно тело общего виртуального хоста, хэшированное по всему префиксу.
• Домашний discard-трафик, сведённый по AbuseIPDB, Spamhaus DROP, URLhaus, Feodo, SSLBL, ThreatFox и Emerging Threats, при этом пассивное расширение имён оставляет сервер имён вне списка блокировок.
• Исходящий трафик хотспота, удержанный как ассоциация, и последующее измерение, разнесённое по времени с первой сессией.
• Регистратор, пара серверов имён и интерстициальная страница оператора, отделённые от контента источника.
• SPF, DKIM, DMARC и S/MIME, прочитанные вместе и удержанные на уровне класса, когда подписанного оригинала под рукой не было.
• Экспорт discard-трафика, разбитый на проекты сканирования, повторяющиеся враждебные сети, собственные пакеты компании и сессию, которая сама себя не объяснила.
• Документы вендора о вычислениях, прочитанные против более широкого утверждения, при этом неподтверждённые пункты исключены из вывода.
• Цепочка приманки, пройденная через трекер, комплект, один код комиссии и синтетический неоплаченный инвойс. Платёж не отправлялся.

Картированные методы и имя на каждом

• Остаточные облачные сервисы и короткоживущие аутентифицированные прокси. Остаточные бренды — GENIEX, игровые тайтлы вроде Dragon Raja и тонкий набор сайтов медицинской эстетики и продажи б/у автомобилей, связанных с Лаосом.
• Сбор инфраструктуры посетителей. Начальный адрес был геолоцирован в Иран, и статья оставляет метку там. Базовая линия называет GoCodeIT Inc. из Торнхилла, Онтарио; rejekibet.com и мошеннические клоны вокруг этого бренда; и geniex.com в стадии сворачивания.
• Продажа медстраховок под известным брендом и сайт, уже классифицированный как фишинговый, на общем хостинге. Связанные имена — это регистранты. Fabiola Silva Souza и Fabiola Silva Souza Seguros Ltda держат основной портфель. Roger Oliveira da Silva и Leonildo Quintiliano сидят на мостовом сайте. Tiago Ferreira Pena — смежный регистрант. Christian von Langermann — регистрант shelleasternpetroleum.ae, соарендатора. OpenDNS, Cloudflare и DNS4EU классифицировали vendasbradescosaude.com.br как фишинг. Страницы фейкового банка, казино и конвертера кошельков на том же узле остаются соседями.
• Имитация доверенного края: похожий домен или произвольное имя, припаркованное на Squarespace, Cloudflare, Vercel, GitHub Pages или AWS Global Accelerator. Исторические URL Cobalt Strike и Mozi на 198.49.23.145 — другие арендаторы того же anycast.
• Уровни возможностей, в эссе от 15 августа. Эти имена — примеры из эссе. Man hands, она же Tiffany M.: самозванчество под аппаратные кошельки и поддержку бирж, поддельные письма BitcoinIRA. Dritan Kapllani Jr. John Daghita, по кличке Lick, против кошельков, арестованных Службой маршалов США. Команда Greavys, Wiz и Box — против одного кредитора Genesis. Lazarus — кража Bybit в феврале 2025 года. UAC-0145, связанная в эссе с Sandworm / APT44: фейковые собеседования, где доставкой служит конфигурация VPN. Laundry Bear: связанные с Россией учётные данные против госструктур, обороны и критической инфраструктуры.
• URL вредоносов на hostname релизов GitHub, чьё BGP-происхождение — Fastly. Картированный метод — груз на доверенном hostname. Блокируется следующий за ним виртуальный сервер.
• Генерация лидов методом snowshoe. Костюмы — Policy Plug, Easy Insurance Match, Endurance, а также Indigo и Destiny Mastercard. LendingTree — жертва украденного футера NMLS. Почта и клики лежат на NForce, AS43350. Неотредактированный WHOIS называет Robert Carpino как точку опоры. Покупатель за оффером CAKE 2701 не идентифицирован.

Сканирование из жилых сетей и враждебный хостинг.

• QNAX. Продаёт VPS, RDP и консольный VNC. Картированный метод на 45.140.193.187 — брутфорс RFB на tcp/5900.
• Pfcloud. Внутри префикса Spamhaus DROP, с n8n и authentik, названными в этой сети. Аккаунт от 25 июня помещает эксплуатацию UniFi OS на 176.65.148.183 в том же /22. Записи CISA от 23 июня называют CVE-2026-34908, CVE-2026-34909 и CVE-2026-34910, описанные в материале как лоадер класса Mirai.
• Tamatiya и 4vendeta. Распыление по клиентскому и операционному срезам. TopDNS остаётся форвардером. Recyber есть на августовских картах и отсутствует в окне 3 октября.
• Ghosty 43.228.157.0/24 и Stormcloud 94.154.43.0/24. Районы Mirai, названные на URLhaus. На /24 Stormcloud дополнительные теги, включая ApexBot и LummaStealer, сидят на соседних адресах. 94.154.43.203 — адрес, попавший в октябрьский лог.
• Stealc, MooBot, Vidar и XWorm. Названы на других хостах 193.233, в автономных системах, отличных от сканера на 193.233.198.28.
• 46.146.238.1. Точный хост URLhaus для дроппера на высоком порту, с открытым telnet.
• UniFi OS на 195.252.206.160. Совпадение по классу сервиса с SAB-067, CVE-2026-77550.
• EMBNEX. Восемь источников дампов. embnex.com — это CloudFront.
• Проекты сканирования в тех же логах: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid и Nokia Deepfield. Повторяющиеся имена сетей в этом измерительном наборе включают SS-Net и Amarutu.
• Обращённые в интернет сервисы управления на одном адресе: MikroTik RouterOS, Nginx Proxy Manager, MeshCentral и UniFi.
• Однодневный лист ожидания на имени Dynadot с privacy-прокси. Материал не называет группу. Mystic Stealer появляется как приложение от июня 2023 года, перечислившее те же anycast-адреса Cloudflare. FanPartners и лендинг «A little chicken» используют другую пару серверов имён.
• Почта, проходящая SPF, DKIM и DMARC на хосте Defense Network Information Center, где строка From и подписант S/MIME различаются. Программа в статье — это пробел в проверке личности DMDC. Картированный класс — субъект, представленный на уровне подписанта или до него. Сентябрьское письмо о файловом обмене остаётся на своих датах.
• Более широкое утверждение о чтении гостевых систем Yandex Cloud. Документы подтверждают платформенный ключ шифрования, клиентский ключ, остающийся аварийным рубильником внутри собственного сервиса ключей Yandex, и память гостя как обычную память процесса QEMU. 87.250.250.108, с именем cloud.yandex.ru, остаётся сессией, которую материал про discard не смог объяснить.
• Многошаговая приманка с картой: две страницы Telegraph, один трекер, комплект из 22 шагов, платёжная форма с кодом комиссии и инвойс BTCPay, оставшийся неоплаченным. Пример с Coinbase от 15 августа остаётся группой телефонных самозванцев из эссе, Man hands. Этот материал — страница, трекер, комплект и неоплаченный инвойс.