การทำแผนผังฟาร์มแบรนด์ประกันสุขภาพในบราซิลผ่านการสืบสวนบน GitHub

บทสรุปผู้บริหาร

เมื่อวันที่ 2026-08-07 เซสชันการลาดตระเวน (phone hotspot + QuantumGuard + packet capture) เริ่มจากความอยากรู้เกี่ยวกับ pull request บน GitHub นำไปสู่การ reverse-IP ของ load-balancer ของ GitHub ที่ซีแอตเทิล 140.82.116.3 IP ดังกล่าวโฮสต์ร่วมกับ coindream.site (เว็บบน GitHub, mail SPF ชี้ไปที่ UltaHost cp5 159.100.6.5) การ reverse-IP และการเปลี่ยนทิศทางครั้งต่อมาเผยให้เห็นสภาพแวดล้อมแชร์โฮสติ้งที่หนาแน่นสองแห่ง ได้แก่ UltaHost cp5 (ซึ่งมีผู้เช่าหลากหลาย รวมถึงเว็บเลียนแบบ Shell Eastern Petroleum ที่จดทะเบียนในชื่อ Christian von Langermann) และโดยเฉพาะอย่างยิ่ง qloudhost 45.87.42.74

โหนด qloud โฮสต์ฟาร์มขาย "planos de saúde" ของบราซิลที่ดำเนินมาหลายปี (2017–2025) โดยใช้ชื่อแบรนด์ Bradesco, Amil, Unimed และ SulAmérica เสนอส่วนลดเดือนแรก 50–60% WHOIS ระบุว่าพอร์ตโฟลิโอหลักเป็นของ Fabiola Silva Souza (FASSO283) โดยใช้อีเมล fabiola@saudeperfeita.com.br โดเมนของอีเมลดังกล่าวเป็นเว็บไซต์ WordPress แบบนายหน้าขายประกันที่โฮสต์บน HostGator (saudeperfeita.com.br) ซึ่งเป็นของ Roger Oliveira จาก Agência Unit โดยมีผู้ติดต่อทางเทคนิคและผู้เขียน WP คือ Leonildo ("nildo") ผู้จดทะเบียนรายอื่น ๆ อย่าง Tiago Ferreira Pena และ Leonildo ใช้ nameserver ของ qloud ชุดเดียวกัน ข้อมูลสาธารณะยืนยัน CNPJ ที่ตรงกัน (Fabiola Silva Souza Seguros Ltda / Nf Seguros Saude, Mococa-SP, เปิดดำเนินการตั้งแต่ปี 2021)

โหนดแชร์ qloud เดียวกันนี้ยังโฮสต์เนื้อหาละเมิดแบรนด์และ typo-squatting แบบคลาสสิก: ธนาคารออนไลน์ปลอม (bridgecorebank.com, ผู้จดทะเบียน Williams Smith), หน้าลงทะเบียนคาสิโน, ตัวแปลง Paysafe/Neosurf และหน้า stubs แบบ ticketmaster/kaiserpermanente จำนวนมาก QloudHost โฆษณาโฮสติ้งคาสิโนอย่างชัดเจน pro114.dnspro.com.br (shared box ของบราซิลอีกราย) เผยให้เห็นสแตก mail/panel เต็มรูปแบบพร้อม MariaDB 10.11.18 แบบสาธารณะ ภายหลัง UltaHost กรองพอร์ตเว็บ; การสแกนเชิงรุกทำให้ qloud 443 ถูก rate-limit

กรณีนี้คือแผนที่อัตลักษณ์และโครงสร้างพื้นฐานของระบบนิเวศการขาย/แบรนด์แผนสุขภาพของบราซิลที่ดำเนินมาหลายปี ซึ่งเข้าถึงได้จากความอยากรู้เรื่อง reverse-IP ของ GitHub ตั้งอยู่บนแชร์โฮสติ้งที่ไม่สนใจ privacy/DMCA ซึ่งยังเพิ่มความหนาแน่นของธนาคารปลอมและคาสิโนเลียนแบบอีกด้วย การใช้ NS และโดเมนอีเมลร่วมกันเชื่อมโยงผู้ให้บริการแผนสุขภาพเข้าด้วยกัน; การเป็นผู้เช่าร่วมกันเพียงอย่างเดียวไม่ได้พิสูจน์ว่าผู้เช่าด้านการเงิน/การพนันเป็นผู้ให้บริการรายเดียวกัน ไม่มีการโจมตีด้วยข้อมูลรับรองหรือการพัฒนา exploit เกิดขึ้น รายการหลายรายการยังคงค้างอยู่ (พอร์ตโฟลิโอ registro.br เต็มรูปแบบ, ผู้ใช้ WP ของ qloud ในขณะที่ถูก blackhole, การเปลี่ยนทิศทางรองของ von Langermann, URL ของ GitHub PR ต้นฉบับ)

การลาดตระเวนแบบพาสซีฟเมื่อวันที่ 2026-08-07 เปิดเผยแผนที่คลัสเตอร์ขาย "planos de saúde" ที่ดำเนินมายาวนานภายใต้ Fabiola Silva Souza (FASSO283) ซึ่งเป็นบริษัทประกันที่จดทะเบียนแล้ว ใช้ nameserver ที่ใช้ร่วมกัน และหน้า front แบบนายหน้าบน HostGator—ในขณะที่โหนด qloud เดียวกันเพิ่มความหนาแน่นของธนาคารปลอม คาสิโนเลียนแบบ และตัวแปลงการชำระเงิน จุดเข้าคือความอยากรู้เรื่อง reverse-IP ระหว่างเซสชันลาดตระเวนที่เริ่มต้นจากการสืบสวน GitHub pull request

ต้นทาง – GitHub Edge

ผู้ปฏิบัติการและเครื่องมือเข้าถึง github.com (140.82.116.4) และโฮสต์เนมของ load-balancer ที่ซีแอตเทิล lb-140-82-116-3-sea.github.com (140.82.116.3) การค้นหา reverse-IP บน 140.82.116.3 คืนค่าโฮสต์การตลาดของ GitHub ตามที่คาดไว้ พร้อมกับชุดโดเมนย่อย coindream.site และ bakkta* ที่ไม่คาดคิด (cpanel, webmail, mail, autodiscover, bakkta.support, bakktat.website ฯลฯ)

ARIN ยืนยันว่าบล็อกดังกล่าวเป็นของ GITHU / GitHub, Inc. การใช้ wget/curl กับโฮสต์เนมของ LB ให้ผลลัพธ์เป็นเชน 301 มาตรฐานไปยัง github.com ลายนิ้วมือจาก Nmap ตรงกับพฤติกรรมสาธารณะของ GitHub การแยกวิเคราะห์ pcap ภายหลังยืนยันเส้นทางต้นทาง ได้แก่ Grok, GitHub—โดยไม่มีแพ็กเก็ตใดไปยัง IP ปลายทางของกรณีนี้อย่าง 45.87.42.74, 159.100.6.5 หรือ 187.33.241.58 วัตถุประสงค์ที่ระบุไว้คือการตรวจสอบ pull request บน GitHub; ไม่เคยมีการให้ URL ของ PR และยังคงเป็นรายการเฉพาะผู้ใช้ที่ค้างอยู่

การเปลี่ยนทิศทางที่ 1 – [coindream.site](https://coindream.site/) (สถาปัตยกรรมแบบแยก)**

DNS สดของ [coindream.site](https://coindream.site/) แสดง:

รายการ A (apex และโฮสต์เนมแบบ cPanel ทั้งหมด) → 140.82.116.3 (GitHub)
NS → dns1/dns2.registrar-servers.com (Namecheap BasicDNS)
MX → Namecheap eforward[1–5]
TXT/SPF → v=spf1 +a +mx +ip4:159.100.6.5 include:relay.mailchannels.net ~all
สร้างเมื่อ 2026-01-23, อัปเดตเมื่อ 2026-02-01, ผู้จดทะเบียนแบบไม่เปิดเผย (Withheld for Privacy ehf, ไอซ์แลนด์), clientTransferProhibited, DNSSEC unsigned

สถาปัตยกรรมถูกแยกอย่างจงใจ: การแสดงผลเว็บบน GitHub edge ที่เพียงแค่ redirect ไปยัง github.com ในขณะที่การอนุญาตเมลชี้ไปที่โหนด cPanel ของ UltaHost การใช้ Forced Host: coindream.site ต่อ 159.100.6.5 (ตอนที่เว็บยังเปิดอยู่) คืนค่าหน้า meta-refresh defaultwebpage ของ cPanel ขนาด 163 ไบต์แบบคลาสสิก การตั้งชื่อแบบ bakkta / bakktat / bakktatr คือสัญญาณรบกวนแบบเลียนแบบเมื่อเทียบกับแบรนด์ซื้อขายสาธารณะ Bakkt; ไม่พบหลักฐานการประนีประนอมของหน่วยงานที่ถูกต้องตามกฎหมาย

การเปลี่ยนทิศทางที่ 2 – UltaHost cp5 (159.100.6.5)

การ reverse-IP ของ 159.100.6.5 คืนค่าโฮสต์เนมประมาณ 500 รายการ และการดึงข้อมูลเบื้องต้นของ apex ที่ไม่ซ้ำกันประมาณ 78 รายการ ผู้เช่าเกือบทุกรายมีชุด cPanel ครบชุด (cpanel., webmail., webdisk., cpcalendars., cpcontacts., mail., autodiscover., www.) ในช่วงต้นเซสชันพอร์ต 80/443 เปิดด้วย LiteSpeed; เมื่อถึงช่วงท้ายเซสชัน nmap (18:50) พอร์ตเหล่านี้ถูกกรอง เหลือเพียง 2082/2083 (OpenResty 1.31.1.1 cPanel) ที่เปิดอยู่ ใบรับรอง TLS เป็นของตระกูล cp5.fra1.ultacp.com (Let's Encrypt) เส้นทางที่ไม่ต้องรับรองความถูกต้องบน :2083 ภายหลังคืนค่าหน้าตรวจสอบบอต "One moment, please..." ขนาด ~12 KB พร้อมความท้าทายแบบ headless/bytespider

เนื้อหาที่น่าสนใจสูงซึ่งเก็บได้ขณะที่ HTTPS ยังตอบสนอง ได้แก่:

shelleasternpetroleum.ae – เทมเพลต Shell Eastern Petroleum, ใบรับรอง Let's Encrypt, ผู้จดทะเบียน/ผู้ติดต่อทางเทคนิค Christian von Langermann (DURRAQ-R138206K / DURRAQ-T138206K), NS ns1/2/3.ultahost.com, A → 159.100.6.5
gamingcomission.co และ certificates.* – ธีม "KGC – Certificates" คณะกรรมการสะกดผิด
antifraud.click – แอปพลิเคชัน PHP แบบ AR "ตรวจสอบก่อนโอน" พร้อม PHPSESSID และ CSP
aranttru.com – "Gar T – Online Banking Platform"
pinupcasinorussia.click – คาสิโนคลอน Pin-Up (เนื้อหาประมาณ 169 kB)
ตลาด/การซื้อขายต่าง ๆ และบัญชี suspendedpage.cgi
7secondsoflove.com – เนื้อหาขนาดใหญ่ที่ไม่ซ้ำใคร (~173 kB) ใน vhost ffuf
รายการไดเรกทอรี Index of / บนผู้เช่าหลายราย

การรัน ffuf vhost (Host: FUZZ @ https://159.100.6.5/, -fs 163) ให้ผลลัพธ์ 202 hits: 147×200, 50×403 (ปฏิเสธร่วม), 4×302, 1×301 ลายเซ็นขนาดแยก UI การเข้าสู่ระบบ cPanel (~40 kB), หน้าเว็บบริการ (~12 kB) และไซต์ขนาดใหญ่ที่ไม่ซ้ำใครได้อย่างชัดเจน

Nmap เชิงภัยคุกคาม – สาม IP เปรียบเทียบเคียงข้าง

159.100.6.5 (cp5) – มีเพียง 2082/2083 ที่เปิด (เข้าถึงได้เฉพาะ panel จากเส้นทางนี้)
187.33.241.58 (pro114.dnspro.com.br) – พื้นผิวเต็มรูปแบบ: Pure-FTPd 21, PowerDNS Auth 4.9.16 บนพอร์ต 53, LiteSpeed 80/443, Dovecot เต็มรูปแบบ, Exim 4.99.5, cPanel/OpenResty, WHM (pt_br, whostmgrsession), Roundcube webmail, MariaDB 10.11.18 เปิดฟังบนพอร์ต 3306 สาธารณะ (banner 5.5.5-10.11.18-MariaDB-cll-lve) แบนเนอร์โฮสต์เนมยืนยัน pro114.dnspro.com.br การ reverse-IP แสดงผู้เช่า SME ชาวบราซิลประมาณ 500 ราย (advocacia, ร้านค้า, academias) โดยมีความหนาแน่นของการละเมิดแบรนด์ต่ำกว่า qloud แผงควบคุมภายหลังคืนค่ากำแพงบอต OpenResty เดียวกัน
45.87.42.74 (shared.qloudhost.com) – Pure-FTPd, OpenSSH 8.0 (RHEL 8), BIND 9.11.36, LiteSpeed, DirectAdmin + สแตกเมล Exim, MariaDB 10.6.27 (เคยเปิดในอดีต), ไม่มีพอร์ต cPanel ภายนอก นี่กลายเป็นโฮสต์หลักของการละเมิดแบรนด์

พื้นผิวเปรียบเทียบในขณะที่ทำ nmap แสดง qloud และ pro114 เป็นกล่องสแตกเต็มรูปแบบที่มีฐานข้อมูลสาธารณะ; cp5 ถอยกลับไปเป็น panel-only แล้ว

ฟาร์มละเมิดแบรนด์ Qloud (45.87.42.74)

การ reverse-IP ให้ผลลัพธ์โฮสต์เนมประมาณ 499 รายการ / apex ประมาณ 207 รายการ การดึงข้อมูลการละเมิดแบรนด์อย่างเข้มงวดระบุโดเมนได้ 23 รายการ การเก็บเกี่ยว header/title ที่สำเร็จในขณะที่ 443 ยังตอบสนองเผยให้เห็นชุดเว็บไซต์ขายแผนสุขภาพ WordPress "X% Desconto" ที่สอดคล้องกัน:

saudebradescobr.com.br – "Plano de Saúde Bradesco Empresarial 60%"
planosaudebr.com.br – "Bradesco Saúde 60%" (WP ~1.9 MB)
saudeplano.com.br – ธีม Bradesco เดียวกัน
segurobradescodental.com.br – Bradesco Dental เริ่มต้น R$ 29,90
vendasbradescosaude.com.br – Bradesco Saúde 50%
planoamilbrasilia.com.br – Amil Brasília 50%
planodesaudesulamerica.com.br – SulAmérica 50%
planodesaudeempresariais.com.br – Empresarial 60%
vendasplanounimed.com.br – Unimed 50%
vendassulamericasaude.com.br – Sulamérica 50%
contratarplanosdesaude.com.br – เปรียบเทียบแผน

ผู้เช่าที่ไม่เกี่ยวกับสุขภาพที่อยู่ติดกันบนโหนดแชร์เดียวกัน ได้แก่ bridgecorebank.com (ธนาคารออนไลน์ปลอม), betify4.com (ลงทะเบียนคาสิโน), mypaysafe.eu และ www-myneosurf.com (ตัวแปลงการชำระเงิน) รวมถึง stubs และ titles เป็นช่วง ๆ จำนวนมาก (casinoradar365, kaiserpermanenteinc, trustdigitalbank, produbancoecu, ticketmastercolombiaonline, neosurf-remboursement ฯลฯ)

การค้นหาเส้นทางด้วย ffuf หลังจากการปรับเทียบอัตโนมัติล้มเหลว ทำให้เกิด soft-404 ปริมาณมาก (200/words≈1498/size≈119xx หรือ 500/2431/words=168) บทเรียนเชิงปฏิบัติการชัดเจน: หลังจากการปรับเทียบล้มเหลว ให้กรองอย่างเข้มงวด (-fw 1498 -fs 2431) และอย่าถือว่าเส้นทาง admin/phpMyAdmin/log เป็นของจริง การสแกนเชิงรุกทำให้ 45.87.42.74:443 ถูก rate-limit / blackhole เป็นระยะเวลานาน (QLOUD_DOWN) ในขณะที่ DNS ยังคงชี้โดเมนแบรนด์ไปที่ IP การลาดตระเวนสดของไซต์ขายของ Fabiola จึงถูกบล็อกจนกว่าจะพักคูลดาวน์

QloudHost เองก็ทำการตลาด "Casino Web Hosting" เป็นสายผลิตภัณฑ์—ไม่สนใจ DMCA, เป็นมิตรกับคริปโต, เน้นความเป็นส่วนตัว, รองรับแพลตฟอร์มการพนันและการเดิมพันที่มีทราฟฟิกสูง—ซึ่งให้เหตุผลเชิงพาณิชย์ที่ชัดเจนสำหรับความหนาแน่นของคาสิโนและตัวแปลงการชำระเงินเลียนแบบที่พบในบ็อกซ์เดียวกัน

การสืบสวนอัตลักษณ์

หลัก: FABIOLA SILVA SOUZA / FASSO283

บุคคล: FABIOLA SILVA SOUZA
nic-hdl-br: FASSO283
อีเมล: fabiola@saudeperfeita.com.br
หน้ากาก CPF: \*.809.878-
สร้าง handle: 2017-07-21
NS สำหรับพอร์ตโฟลิโอขาย: shared1/2.qloudhost.com

โดเมนของเจ้าของที่ยืนยันแล้ว (ช่วงวันที่สร้างปี 2017–2025):

saudebradescobr.com.br (2017-03-17) – เก่าแก่ที่สุดที่ใช้ชื่อ Bradesco ดำเนินมายาวนาน
vendasbradescosaude.com.br (2017-07-11)
vendassulamericasaude.com.br (2017-10-02)
planosaudebr.com.br (2021-01-26)
vendasplanounimed.com.br (2022-11-11)
segurobradescodental.com.br (2023-05-31)
planodesaudeempresariais.com.br (2025-02-13)
planoamilbrasilia.com.br (2025-04-15)
saudeplano.com.br (2025-04-29)
contratarplanosdesaude.com.br (2025-05-05)

การ whoisi FASSO283 ผ่าน CLI ล้มเหลว ("No whois server is known for this kind of object") การขยายพอร์ตโฟลิโอเต็มรูปแบบต้องใช้ UI เว็บของ registro.br (ยังเป็นรายการค้างอยู่)

ข้อมูลบริษัทสาธารณะยืนยันนิติบุคคลที่ตรงกัน: Fabiola Silva Souza Seguros Ltda (nome fantasia Nf Seguros Saude), CNPJ 40.950.276/0001-55, เปิดเมื่อ 23 กุมภาพันธ์ 2021, ยังดำเนินการอยู่, ที่อยู่ Rua Julio de Oliveira 199, Mococa-SP, ทุนจดทะเบียน R$50.000, CNAE สำหรับผู้ช่วยประกัน/แผนสุขภาพ, ผู้บริหารแต่เพียงผู้เดียว Fabiola Silva Souza CNPJ มีวันที่หลังโดเมนที่เก่าแก่ที่สุดแต่ให้โครงสร้างแบบ corretora อย่างเป็นทางการสำหรับพอร์ตโฟลิโอช่วงหลัง

ผู้จดทะเบียนที่อยู่ติดกันบนฟาร์มเดียวกัน

LEONILDO QUINTILIANO / LEQUI21 / leonildo_1@hotmail.com เป็นเจ้าของ planodesaudesulamerica.com.br (2019, qloud NS) และปรากฏเป็น tech-c บน saudeperfeita.com.br มีชื่อตรงกับผู้ใช้ WordPress "nildo" (id=2) อย่างมาก
ROGER OLIVEIRA DA SILVA / ROOSI28 เป็นเจ้าของ saudeperfeita.com.br (ตั้งแต่ปี 2010, HostGator ns918/919) และเกี่ยวข้องกับ Agência Unit (roger@agenciaunit.com
TIAGO FERREIRA PENA / TIFPE13 / tiago.ferreira.pena@gmail.com เป็นเจ้าของ planosaudebradescobr.com.br (2025); handle มีแฟล็ก saci:yes ในระบบร้องเรียนของ registro.br; ใช้ NS qloud ชุดเดียวกัน

saudeperfeita.com.br – สะพานเชื่อมอัตลักษณ์

โฮสต์ที่ 162.241.2.92 (HostGator), Apache, WordPress + Yoast 27.2, ธีม Flatsome, FormCraft 3.8.7 (form.min.js แก้ไขล่าสุด 2020) การเข้าสู่ระบบ /wp-login.php คืนค่า 200 พร้อม wordpress_test_cookie; API ผู้ใช้เปิดอยู่และคืนค่า:

id=1, slug admin – "admin, Autor em Plano de Saúde"
id=2, slug nildo – "nildo, Autor em Plano de Saúde"

เนื้อหาเป็นเว็บนายหน้าแบบนายหน้าเต็มรูปแบบ (โลโก้ São Cristóvão Saúde, Prevent Senior, Trasmontano, Amil, แผนรายบุคคล/ครอบครัว/ผู้สูงอายุ/หญิงตั้งครรภ์/เด็ก/บริษัท, /valores-planos-de-saude/, /cotacao/) หน้า cotacao เขียนโดย nildo; ฟอร์มลีด FormCraft เก็บข้อมูล Nome, Tel fixo, Celular, Email พร้อม honeypot ไม่พบ REST namespaces ของฟอร์มสาธารณะ ผู้ติดต่อที่กู้คืนจากระบบนิเวศ ได้แก่ contato@agenciaunit.com และหมายเลข WhatsApp +55 11 96663-5659 (ตรงกับเว็บไซต์สดของ Agência Unit ทุกประการ) Agência Unit นำเสนอเป็นเอเจนซี่เว็บ/SEO มืออาชีพพร้อมพอร์ตโฟลิโอและนโยบายความเป็นส่วนตัวสาธารณะ (การอ้างอิง CNPJ 35.472.056/0001-10 / 15.702.183/0001-64 ปรากฏในหลายหน้า)

Williams Smith / [bridgecorebank.com](https://bridgecorebank.com/)

สร้างเมื่อ 2026-02-24, นายทะเบียน Name.com, ที่อยู่ 1020 SE Everett Mall Way, Everett WA 98208, ประเทศ VI (รูปแบบ privacy/proxy) NS เหมือนกับชุด qloud ของ Fabiola เพื่อนบ้านบนโฮสต์เดียวกัน ได้แก่ trustdigitalbank, produbancoecu, ticketmastercolombiaonline และโดเมนละเมิดแบรนด์การชำระเงินอื่น ๆ สแกนเนอร์สาธารณะให้คะแนนความน่าเชื่อถือต่ำแก่โดเมนนี้และจัดประเภทเป็นที่น่าสงสัย; title อ้างว่า "Bridge Core Bank – Online Banking & Financial Services" นี่เป็นเพียงการเป็นผู้เช่าร่วมกัน ไม่ได้พิสูจน์ความเท่าเทียมทางอัตลักษณ์กับ Fabiola

Christian von Langermann / [shelleasternpetroleum.ae](https://shelleasternpetroleum.ae/)

ผู้จดทะเบียนและผู้ติดต่อทางเทคนิคของเว็บเลียนแบบ Shell บน NS ของ Ultahost (ช่วงต้นของกรณี) ยืนยัน A → 159.100.6.5 ไม่พบโดเมนรอง อีเมล โทรศัพท์ โซเชียล หรือการยื่นจดทะเบียนบริษัทในการเก็บข้อมูลรอบที่มีอยู่ คลัสเตอร์นี้ยังไม่สมบูรณ์และไม่เชื่อมโยงทางอัตลักษณ์กับผู้ให้บริการแผนสุขภาพชาวบราซิล

แบบจำลองการระบุแหล่งที่มา – สิ่งที่ได้รับการสนับสนุนอย่างแข็งแกร่งเทียบกับสิ่งที่ยังไม่ได้รับการพิสูจน์

ได้รับการสนับสนุนอย่างแข็งแกร่ง:

พอร์ตโฟลิโอโดเมนบราซิลหลายปีภายใต้ Fabiola Silva Souza โดยใช้กล่องจดหมาย saudeperfeita โฮสต์บน qloud ทำการตลาดส่วนลด Bradesco/Amil/Unimed/SulAmérica
saudeperfeita.com.br เป็นเว็บไซต์แบบนายหน้าที่ดำเนินการจริงด้วย admin/nildo เชื่อมโยงกับ Agência Unit ของ Roger และ Leonildo
อุตสาหกรรมเดียวกัน + โดเมนอีเมลเดียวกัน + ฮอสติ้ง NS เดียวกันในผู้จดทะเบียนหลายราย ก่อตัวเป็นคลัสเตอร์ขายที่มีการจัดระบบ
CNPJ สาธารณะของ Fabiola Silva Souza Seguros Ltda ให้โครงสร้างบริษัท
โหนดแชร์ qloud เดียวกันเพิ่มความหนาแน่นของการละเมิดแบรนด์แบบคลาสสิก (ธนาคารปลอม, การลงทะเบียนคาสิโน, ตัวแปลงการชำระเงิน); QloudHost ทำการตลาดโฮสติ้งคาสิโนเป็นผลิตภัณฑ์
GitHub LB / coindream เป็นสิ่งประดิษฐ์จุดเข้า (เป็นไปได้ว่า mail SPF + ตัวล่อเว็บ); UltaHost/cp5 และ qloud คือที่ที่เนื้อหาละเมิด/ขายอาศัยอยู่
pro114 เผยพื้นผิว mail/panel/MariaDB เต็มรูปแบบ; qloud เคยทำเช่นเดียวกันในอดีต
โดเมนขายหลักอย่างน้อยหนึ่งโดเมน (vendasbradescosaude.com.br) ถูกจัดประเภทเป็นฟิชชิง/อันตรายโดยตัวกรอง DNS รายใหญ่ (OpenDNS, Cloudflare, DNS4EU) ในขณะที่ยังคง resolve ไปยัง IP ของ qloud

ยังไม่ได้รับการพิสูจน์:

เจตนาทางอาญาเทียบกับการตลาดพันธมิตรเชิงรุก (ที่อาจไม่เป็นไปตามข้อกำหนด) การจัดลักษณะทางกฎหมายเป็นหน้าที่ของผู้สืบสวน ANS นายทะเบียน และที่ปรึกษากฎหมาย
ว่า Fabiola = nildo = Roger = Tiago (พวกเขาเชื่อมโยงกันด้วยโครงสร้างพื้นฐานและผู้ติดต่อ ยังไม่พิสูจน์ว่าเป็นบุคคลเดียวกัน)
ว่า Williams Smith หรือผู้เช่าคาสิโน/การชำระเงินเป็นผู้ให้บริการรายเดียวกับ Fabiola (มีเพียงโฮสเตอร์และ NS เดียวกัน)
ปริมาณการดำเนินงาน (ทราฟฟิก, ลีดที่ปิดการขาย, สัญญาจริง)

ไทม์ไลน์ทางเทคนิคตามลำดับเวลา (โดยย่อ)

บูต / hotspot
github.com + reverse-IP ของ 140.82.116.3
การค้นพบ coindream → SPF pivot ไปที่ 159.100.6.5
UltaHost reverse-IP (~500 โฮสต์), header, WHOIS ของ Shell
การทำแผนที่กำแพงบอต cPanel
Threat nmap → สแตกเต็มของ pro114 + qloud + การเปิดเผย MariaDB
Reverse-IP 187 + 45 → ฟาร์ม Bradesco บน qloud
Title สดบนแบรนด์ qloud
บทเรียน soft-404 จาก ffuf
Qloud rate-limit / blackhole
WHOIS อัตลักษณ์ → Fabiola / Leonildo / Tiago / Roger
ผู้ใช้ WP ของ saudeperfeita + FormCraft / cotacao / แผนที่ผู้เขียน
การยืนยันโทรศัพท์/อีเมล Agência Unit
แพ็กเกจส่งออก + rundown + สถานะรายการค้าง
การอ้างอิงไขว้ CNPJ สาธารณะและแฟล็กจากผู้ขาย

พื้นผิวทางเทคนิคและข้อสังเกตเชิงปฏิบัติการ

MariaDB สาธารณะบน pro114 (สด) และในอดีตบน qloud – ระบุไว้เพื่อการเสริมความแข็งแกร่ง/รายงานการละเมิดเท่านั้น; ไม่มีการพยายามรับรองความถูกต้อง
กำแพงบอตแบบ OpenResty/Imunify และการ blackhole ทั้งโฮสต์หลังการลาดตระเวน
สัญญาณรบกวน soft-404 หลังการปรับเทียบ ffuf ล้มเหลว; จำเป็นต้องใช้ตัวกรองขนาด/จำนวนคำ
ความน่าเชื่อถือของ CT มีปัญหาเป็นระยะ (502s); การ dump saudebradescobr ที่สำเร็จหนึ่งครั้ง (242 รายการ) กู้คืน SAN หลายป้ายและชื่อที่ใกล้เคียงแบรนด์
เหตุการณ์เครื่องมือระหว่างเซสชัน (NUL corruption ใน on_ip_now.txt, ตัวแปรที่ไม่ได้กำหนดภายใต้ set -u, ffuf หยุดชั่วคราวแบบอินเทอร์แอกทีฟ) ถูกบันทึกและแก้ไขในสคริปต์ทำงาน

นโยบายยังคงเข้มงวด: ไม่มีการโจมตีด้วยข้อมูลรับรอง, ไม่มีการเข้าสู่ระบบ MySQL, ไม่มีการพัฒนา exploit

ผู้ติดต่อสำคัญและ IOCs

โทรศัพท์: +55 11 96663-5659 (Agência Unit)
อีเมล: contato@agenciaunit.com
อีเมล: fabiola@saudeperfeita.com.br
อีเมล: leonildo_1@hotmail.com (+ WP nildo)
อีเมล: roger@agenciaunit.com
อีเมล: tiago.ferreira.pena@gmail.com
IP: 45.87.42.74 shared.qloudhost.com (ฟาร์มแบรนด์ + เพื่อนบ้าน)
IP: 187.33.241.58 pro114.dnspro.com.br (cPanel เต็มรูปแบบ + MySQL)
IP: 159.100.6.5 cp5.fra1.ultacp.com (UltaHost; SPF/coindream)
IP: 162.241.2.92 HostGator (saudeperfeita)
IP: 140.82.116.3 GitHub SEA LB (จุดเข้า)
เว็บไซต์: https://saudeperfeita.com.br/
เว็บไซต์: https://agenciaunit.com/
WP: admin, nildo @ saudeperfeita
CNPJ: 40.950.276/0001-55 (Fabiola Silva Souza Seguros Ltda / Nf Seguros Saude)

บทสรุปปิดท้าย

การลาดตระเวนครั้งนี้ให้แผนที่อัตลักษณ์และโครงสร้างพื้นฐานความละเอียดสูงของระบบนิเวศการขายแผนสุขภาพของบราซิลที่ดำเนินมาหลายปี ซึ่งใช้ชื่อแบรนด์ของผู้ให้บริการรายใหญ่ บริษัทประกันที่จดทะเบียนแล้ว หน้า front แบบนายหน้าบน HostGator และแชร์โฮสติ้งที่ไม่สนใจ DMCA ซึ่งในเวลาเดียวกันก็เพิ่มความหนาแน่นของธนาคารปลอม คาสิโนเลียนแบบ และตัวแปลงการชำระเงิน เส้นทางเข้า—จาก reverse-IP ของ GitHub load-balancer ผ่านฉากบังหน้าแบบสถาปัตยกรรมแยกเข้าสู่โหนดแชร์หนาแน่นสองแห่ง—ได้รับการบันทึกอย่างสมบูรณ์ใน packet capture และผลลัพธ์ของเครื่องมือ nameserver ที่ใช้ร่วมกันและโดเมนอีเมล saudeperfeita เชื่อมโยงผู้ให้บริการแผนสุขภาพอย่างแน่นหนา; การเป็นผู้เช่าร่วมกันเพียงอย่างเดียวไม่ได้ขยายการอ้างสิทธิ์ทางอัตลักษณ์นั้นไปยังผู้เช่าด้านการเงินหรือการพนัน การสังเกตทั้งหมดยังคงอยู่ในขอบเขตของการลาดตระเวนแบบพาสซีฟและแบบแอคทีฟเบา รายการค้างมูลค่าสูงหลายรายการ (พอร์ตโฟลิโอ registro.br เต็มรูปแบบ, การกู้คืนเนื้อหา qloud, การเปลี่ยนทิศทางของ von Langermann) ยังคงพร้อมสำหรับงานพาสซีฟในอนาคต

แผนที่เอนทิตีและโครงสร้างพื้นฐานฉบับสมบูรณ์

จุดเข้า / ต้นทาง

pcap, github.com (140.82.116.4), lb-140-82-116-3-sea.github.com (140.82.116.3)
Reverse-IP 140.82.116.3 → coindream.site + โดเมนย่อย bakkta* + ชุด cPanel

coindream.site (ฉากบังหน้าเชื่อม)

A: 140.82.116.3 (GitHub SEA LB)
NS: dns1/2.registrar-servers.com (Namecheap)
MX: Namecheap eforward
SPF: ip4:159.100.6.5 + MailChannels
สร้างเมื่อ 2026-01-23, ผู้จดทะเบียนแบบไม่เปิดเผย (Withheld for Privacy ehf)
Forced Host บน 159.100.6.5 ก่อนหน้านี้คืนค่า cPanel defaultwebpage

UltaHost cp5 (159.100.6.5 / [cp5.fra1.ultacp.com](https://cp5.fra1.ultacp.com/))

~500 โฮสต์เนม / ~78–395 apex สด
ช่วงต้น: 80/443 LiteSpeed เปิด → ภายหลังถูกกรอง; 2082/2083 OpenResty cPanel เปิด; กำแพงบอต "One moment, please..."
น่าสนใจสูง: shelleasternpetroleum.ae (Christian von Langermann, ID DURRAQ, Ultahost NS), gamingcomission, antifraud.click, aranttru.com, pinupcasinorussia.click, ตลาด/การซื้อขาย, 7secondsoflove.com, รายการไดเรกทอรี

pro114.dnspro.com.br (187.33.241.58)

สแตกเต็มรูปแบบ: Pure-FTPd, PowerDNS, LiteSpeed, Dovecot, Exim, cPanel/WHM, Roundcube, MariaDB 10.11.18 พอร์ต 3306 สาธารณะ
โฮสต์ของ onlinebradescosaude.com.br (ย้ายมาจาก cp5); ความหนาแน่นการละเมิดแบรนด์ต่ำกว่า (~500 ผู้เช่า SME ชาวบราซิล)

qloud / [shared.qloudhost.com](https://shared.qloudhost.com/) (45.87.42.74) – โฮสต์ละเมิดแบรนด์หลัก

Reverse-IP ~499 โฮสต์เนม / ~207 apex
รายการละเมิดแบรนด์อย่างเข้มงวด: 23 โดเมน
Title สด (เมื่อเข้าถึงได้): saudebradescobr.com.br, planosaudebr.com.br, saudeplano.com.br, segurobradescodental.com.br, vendasbradescosaude.com.br, planoamilbrasilia.com.br, planodesaudesulamerica.com.br, planodesaudeempresariais.com.br, vendasplanounimed.com.br, vendassulamericasaude.com.br, contratarplanosdesaude.com.br
การละเมิดที่อยู่ติดกัน: bridgecorebank.com, betify4.com, mypaysafe.eu, www-myneosurf.com, casinoradar365, stubs ของ kaiserpermanenteinc, trustdigitalbank, produbancoecu, ticketmastercolombiaonline ฯลฯ
ในอดีต: OpenSSH 8.0, BIND, LiteSpeed, DirectAdmin mail, MariaDB 10.6.27
ภายหลัง: ถูก rate-limit / blackhole จากเส้นทางลาดตระเวน

คลัสเตอร์อัตลักษณ์ (FASSO283 เป็นหลัก)

FABIOLA SILVA SOUZA / nic-hdl FASSO283 / อีเมล fabiola@saudeperfeita.com.br / CPF ที่ปกปิด \*.809.878- / สร้าง handle เมื่อ 2017-07-21
โดเมน (ยืนยันผ่าน WHOIS แล้ว, ใช้ NS ของ qloud ทั้งหมด): saudebradescobr.com.br (2017-03-17), vendasbradescosaude.com.br (2017-07-11), vendassulamericasaude.com.br (2017-10-02), planosaudebr.com.br (2021-01-26), vendasplanounimed.com.br (2022-11-11), segurobradescodental.com.br (2023-05-31), planodesaudeempresariais.com.br (2025-02-13), planoamilbrasilia.com.br (2025-04-15), saudeplano.com.br (2025-04-29), contratarplanosdesaude.com.br (2025-05-05)
CNPJ สาธารณะ: Fabiola Silva Souza Seguros Ltda (Nf Seguros Saude), 40.950.276/0001-55, Mococa-SP, เปิดดำเนินการเมื่อ 2021-02-23, สถานะ active, ทุน R$50k

ผู้จดทะเบียนที่เกี่ยวข้อง (ฟาร์มเดียวกัน / NS เดียวกัน)

LEONILDO QUINTILIANO / LEQUI21 / leonildo_1@hotmail.com → planodesaudesulamerica.com.br; เป็นผู้ติดต่อด้านเทคนิค (tech-c) ของ saudeperfeita; ผู้เขียน WP “nildo”
ROGER OLIVEIRA DA SILVA / ROOSI28 / roger@agenciaunit.com → saudeperfeita.com.br (ใช้ HostGator ตั้งแต่ 2010); Agência Unit
TIAGO FERREIRA PENA / TIFPE13 / tiago.ferreira.pena@gmail.com → planosaudebradescobr.com.br; แฟล็ก saci:yes

saudeperfeita.com.br (เว็บไซต์ตัวกลาง)

A record: 162.241.2.92 (HostGator)
WP + Flatsome + FormCraft 3.8.7; users API เปิดเผย → admin (id=1), nildo (id=2)
หน้า Cotacao เขียนโดย nildo; ฟอร์มลีด (Nome/Tel/Celular/Email + honeypot)
ผู้ติดต่อ: contato@agenciaunit.com, +55 11 96663-5659

อื่นๆ

Williams Smith → bridgecorebank.com (ใช้ NS qloud เดียวกัน, รูปแบบ privacy/VI, ที่อยู่ Everett WA)
Christian von Langermann → shelleasternpetroleum.ae (Ultahost NS → cp5)

สัญญาณเสริมจากแหล่งข้อมูลสาธารณะ

vendasbradescosaude.com.br ถูกแฟล็กเป็นฟิชชิ่ง/มัลแวร์โดย OpenDNS, Cloudflare, DNS4EU (มี.ค. 2026)
QloudHost ทำการตลาด Casino Web Hosting เป็นสายผลิตภัณฑ์ (เพิกเฉยต่อ DMCA, ใช้คริปโต, เน้นความเป็นส่วนตัว)
bridgecorebank.com มีคะแนนความน่าเชื่อถือต่ำ ถูกจัดประเภทเป็นที่น่าสงสัย
ไม่มีหลักฐานสาธารณะที่บ่งชี้ว่าผู้ดำเนินการ coindream หรือ Williams Smith คือ Fabiola