Quantitative Security ใช้ช่วงวันที่ 31 กรกฎาคม ถึง 9 ตุลาคม 2026 ไปกับซีรีส์สาธารณะที่การทบทวนกลางปีได้สร้างเครื่องมือไว้รองรับ ซีรีส์นี้เริ่มจากการลาดตระเวนบนคลาวด์เรนจ์เมื่อวันที่ 31 กรกฎาคม ไปจนถึงเหยื่อล่อด้วยบัตร Coinbase ที่ไม่มีการจ่ายเงินเมื่อวันที่ 9 ตุลาคม โดยเผยแพร่เป็นบทความยาวระดับ TLP:CLEAR บน X เดือนสิงหาคมหันวิธีการนี้กลับมาใช้กับตัวเอง: เพื่อนบ้านบน GitHub ถูกโยงไปหาตัวตนของฝ่ายขายแผนประกันสุขภาพ โดเมนของบริษัทเองถูกวัดในฐานะเป้าหมายภายนอก และป้ายชื่อผู้ให้บริการเครือข่ายตลอดทั้งปีถูกนำมาเทียบเคียงกับรีจิสทรี เดือนกันยายนนำการลดทอนแบบเดียวกันไปใช้กับไฟร์วอลล์ที่พักอาศัยและโรงผลิตสแปมแบบ snowshoe หนึ่งแห่ง พร้อมทั้งจัดกลุ่มแพลตฟอร์มที่เคสดังกล่าวตั้งอยู่ให้อยู่ในหมวดของตัวเอง เดือนตุลาคมแยกบันทึกที่ถูกทิ้งออกเป็นข้อมูลการวัดผล เครือข่ายที่เป็นภัยคุกคามซึ่งเป็นที่รู้จัก และเครื่องมือของบริษัทเอง ตั้งข้ออ้างที่กว้างขึ้นเกี่ยวกับ Yandex Compute เทียบกับเอกสารของผู้จำหน่าย และติดตามชุดเครื่องมือทำบัตรปลอมไปจนถึงใบแจ้งหนี้ที่ยังไม่ได้ชำระ
แต่ละผลิตภัณฑ์จะเปลี่ยนข้อมูลเทเลเมตรีดิบและแหล่งข้อมูลเปิดให้กลายเป็นผลลัพธ์ที่มีการระบุที่มา จัดลำดับความสำคัญ และพร้อมสำหรับการป้องกัน การใส่ชื่อจะเกิดขึ้นเฉพาะเมื่อชิ้นงานนั้นผูกชื่อไว้ แพลตฟอร์ม ผู้เช่า โปรเจกต์สำรวจ และลายเซ็นที่ผ่านการตรวจสอบ จะยังคงอยู่ในหมวดหมู่ที่ชิ้นงานกำหนดให้ ส่วนตำแหน่งปิดท้ายจะระบุวิธีการที่ใช้ วิธีการที่แมป และกลุ่ม ผู้เช่า หรือหมวดหมู่ที่อยู่บนแต่ละรายการ
ซีรีส์รายงาน
พื้นผิวคลาวด์ที่เหลือตกค้าง — 31 กรกฎาคม
การสแกนภายนอกแบบมีโครงสร้างผ่านที่อยู่ประมาณ 115 รายการ ได้แยกแยะระหว่างระบบการผลิตที่กำลังทำงาน บริการที่เหลือตกค้าง และทรัพย์สินที่ถูกทิ้งร้าง โฮสติ้งแชร์ในตุรกีที่ 104.247.165.210 (silaoglu.com แสดงแบนเนอร์เป็น mt-rohan.guzelhosting.com) เผยให้เห็นสแต็กอีเมลและเว็บที่ครบถ้วน ได้แก่ Pure-FTPd, Dovecot, Exim, MySQL และ LiteSpeed พร้อมพร็อกซี SOCKS5 และ HTTP ที่ต้องยืนยันตัวตน รวมถึงใบรับรองอายุสั้นที่อยู่ข้าง ๆ ปริมาณมากที่สุดอยู่ในพื้นที่ของ Tencent และ Aceville ซึ่งถูกกรองอย่างเข้มงวด ส่วนน้อยที่ตอบกลับคือพื้นผิวที่เหลือตกค้าง: Nginx Proxy Manager บนพอร์ต 81, แอปพลิเคชัน Next.js ที่ทำงานอยู่ภายใต้ /arena, พร็อกซีที่ต้องยืนยันตัวตนบนพอร์ตสูง, Windows Remote Desktop ที่มีชื่อโฮสต์สไตล์ภายใน และใบรับรองที่หลงเหลืออยู่สำหรับแบรนด์ eSIM ชื่อ GENIEX และสำหรับแบรนด์เกมของอินโดนีเซียและเวียดนาม รวมถึงเกม Dragon Raja ที่ยังให้บริการโดย Jetty รุ่นเก่า ชุดข้อมูลที่เชื่อมโยงกับลาวจำนวนเล็กน้อยบนที่อยู่ Tencent หนึ่งรายการ นำเสนอเว็บไซต์ด้านความงามทางการแพทย์และรถมือสองภาษาจีนที่มีร่องรอยสาธารณะบางเบา ผลิตภัณฑ์นี้คือการแบ่งแยกแบบเดียวกับการทบทวนกลางปีที่นำไปใช้กับขอบเครือข่ายของ Google ปริมาณการใช้งานในระบบการผลิตและบริการที่ถูกทิ้งร้างคือสิ่งที่ค้นพบที่แตกต่างกัน และมีเพียงอย่างหลังเท่านั้นที่เป็นปัญหาด้านการบล็อกและการเสริมความแข็งแกร่ง https://x.com/i/article/2083245764969635841
การปฏิบัติการข่าวกรองเชิงป้องกัน — 1 สิงหาคม
การปฏิบัติการเริ่มต้นขึ้นเมื่อที่อยู่ที่ถูกปกปิดซึ่งระบุพิกัดทางภูมิศาสตร์ได้ว่าอยู่ในอิหร่าน เข้ามาเยือนโครงสร้างพื้นฐานของ Quantitative Security การใช้วิศวกรรมสังคมในการโต้ตอบนั้นทำให้ดักจับชุดที่อยู่ได้ และขยายผลผ่านเว็บไซต์ที่สร้างขึ้นเฉพาะกิจเพื่อเก็บเกี่ยวโครงสร้างพื้นฐานของผู้เข้าชม ข้อมูลฐานที่เผยแพร่ระบุชื่อ GoCodeIT Inc. จาก Thornhill, Ontario บนพร็อกซีที่ต้องยืนยันตัวตนที่ 65.111.5.29 และ 74.119.149.79; CloudPanel 2.5.2 ที่เปิดโล่งที่ 103.255.134.61 สำหรับ technofaq.org; CodePushServer สไตล์ไมโครซอฟท์ที่ 152.32.169.33 บนพอร์ต 8888; rejekibet.com ในฐานะแพลตฟอร์มพนันเงินจริงของอินโดนีเซียที่มีเว็บโคลนหลอกลวงรายล้อมแบรนด์; Windows Remote Desktop ที่เปิดออกสู่อินเทอร์เน็ต รวมถึง 38.107.237.68; geniex.com ในฐานะบริการซิมเสมือนของไนจีเรียที่กำลังปิดตัวลง โดยโดเมนชี้ไปยัง AWS; และ acmmanufacturer.com ซึ่งเคยอยู่บนพื้นที่เหลือตกค้างของ Tencent และต่อมาย้ายไปที่ Zenlayer ผ่าน chukouplus.com โฮสต์พร็อกซีใน 104.207.0.0/16 ต้องมีการยืนยันตัวตน แสดงใบรับรองที่มีอายุราวเจ็ดวัน และคืนค่า 404 ในเส้นทางแอดมินที่ถูกทดสอบ ตัวรับสัญญาณ Zeus-admin ยังคงถูกกรอง ป้ายระบุพิกัดทางภูมิศาสตร์บนที่อยู่เริ่มต้นคือจุดเริ่มของการปฏิบัติการ บทความนี้ไม่ได้ระบุชื่อกลุ่มรัฐใด ๆ ชุดข้อมูลนี้ถูกปิดเพื่อใช้เป็นข้อมูลฐานสำหรับครึ่งปีหลัง https://x.com/i/article/2083388096285179904
จากโหลดบาลานเซอร์ GitHub สู่ฟาร์มขายแผนประกันสุขภาพในบราซิล — 8 สิงหาคม
เซสชันฮอตสปอตเมื่อวันที่ 7 สิงหาคมร่วมกับ QuantumGuard และการดักจับ เริ่มต้นจาก pull request ของ GitHub และการทำ reverse-IP กับโหลดบาลานเซอร์ในซีแอตเทิล 140.82.116.3 (lb-140-82-116-3-sea.github.com) ที่อยู่ดังกล่าวโฮสต์ร่วม coindream.site: เว็บอยู่บน GitHub, SPF ของอีเมลชี้ไปที่ UltaHost cp5 159.100.6.5, สร้างเมื่อวันที่ 23 มกราคม 2026, ผู้จดทะเบียนซ่อนตัวตน, DNS ของ Namecheap การดักจับไม่มีแพ็กเก็ตใดส่งไปยังที่อยู่ในเคสต่อมา UltaHost ถือครองชื่อโดเมนราว 500 ชื่อ รวมถึง shelleasternpetroleum.ae ที่จดทะเบียนในชื่อ Christian von Langermann บวกกับ gamingcomission.co, antifraud.click, aranttru.com และ pinupcasinorussia.click พอร์ตเว็บต่อมาถูกกรองเหลือเพียง cPanel บน 2082 และ 2083 pro114.dnspro.com.br ที่ 187.33.241.58 เปิดสแต็กอีเมลและแผงควบคุมทั้งหมด รวมถึง MariaDB 10.11.18 แบบสาธารณะ
โหนดหลักคือ shared.qloudhost.com ที่ 45.87.42.74 ซึ่งเป็นฟาร์มขายแผนประกันสุขภาพในบราซิลช่วงปี 2017–2025 โดยใช้ชื่อแบรนด์ Bradesco, Amil, Unimed และ SulAmérica WHOIS ของพอร์ตโฟลิโอหลักคือ Fabiola Silva Souza, handle FASSO283, กล่องจดหมายที่ saudeperfeita.com.br บันทึกสาธารณะในบทความตรงกับ CNPJ 40.950.276/0001-55, Fabiola Silva Souza Seguros Ltda, Mococa, São Paulo เปิดดำเนินการเมื่อวันที่ 23 กุมภาพันธ์ 2021 เว็บไซต์สะพาน saudeperfeita.com.br อยู่บน HostGator ที่ 162.241.2.92 มีผู้ใช้ WordPress คือ admin และ nildo ซึ่งในบทความโยงไปถึง Roger Oliveira da Silva แห่ง Agência Unit และ Leonildo Quintiliano Tiago Ferreira Pena เป็นผู้จดทะเบียนที่อยู่ใกล้เคียงบนเนมเซิร์ฟเวอร์เดียวกัน โหนดดังกล่าวยังมีหน้าเว็บธนาคารปลอม การลงทะเบียนคาสิโน และตัวแปลง Paysafe กับ Neosurf QloudHost ทำการตลาดเรื่องโฮสติ้งคาสิโน เนมเซิร์ฟเวอร์ที่ใช้ร่วมกันและกล่องจดหมาย saudeperfeita เชื่อมโยงผู้ดำเนินการแผนประกันสุขภาพเหล่านี้เข้าด้วยกัน การเป็นผู้เช่าร่วมบนโหนดไม่ได้ขยายตัวตนนั้นไปยังผู้เช่าด้านการเงินหรือการพนัน vendasbradescosaude.com.br ยังคงอยู่บนที่อยู่ qloud แม้หลังจาก OpenDNS, Cloudflare และ DNS4EU จัดประเภทว่าเป็นฟิชชิ่งแล้ว สิ่งที่ปล่อยไว้ในบทความ: พอร์ตโฟลิโอ registro.br ทั้งหมด, URL ของ pull request ต้นฉบับ และการสืบค้นรองจาก von Langermann https://x.com/i/article/2085939414463631360
โดเมนของตนเองในฐานะเป้าหมายภายนอก — 15 สิงหาคม
ระหว่างวันที่ 9 ถึง 14 สิงหาคม quantitativesecurity.org ถูกตรวจสอบด้วยการเคลื่อนไหวขั้นต้นแบบเดียวกับที่นักล่าจากภายนอกจะใช้ ต้นทางสะอาด โฮสติ้งเป็น Squarespace แบบ multi-tenant anycast พร้อมชุด p07 ของ NS1 บวกกับ DNS ของ Squarespace, Let’s Encrypt บนชื่อของลูกค้า และ 403 จากที่อยู่เปล่าที่พกใบรับรอง DigiCert สำหรับ *.squarespace.com nmap รายงานว่าเป็น Go net/http ในขณะที่เฮดเดอร์ Server บอกว่า Squarespace คู่นี้คือขอบเครือข่ายเดียวที่ถูกอธิบายในสองชั้น ชื่อ .academy ประมาณ 1,900 ชื่อใช้แพลตฟอร์มร่วมกัน มีการทดสอบตัวชี้วัดระดับ Gophish และไม่พบ QuantC และ QuantumGuard บันทึกการลาดตระเวนตนเองนี้เป็นสัญญาณรบกวนของแพลตฟอร์ม ซึ่งเป็นความจริงพื้นฐานที่เซนเซอร์เหล่านั้นต้องการ ความเสี่ยงที่เหลืออยู่อย่างเป็นรูปธรรมคือตัวตน: ไม่มี MX, ไม่มี SPF, ไม่มี DMARC และการจดทะเบียนกำลังจะหมดอายุในเดือนกันยายน 2026 ต้นทางที่สะอาดแต่ช่องทางอีเมลไม่ได้ลงนาม ก็ยังคงเป็นพื้นผิวโจมตี https://x.com/i/article/2088437251508436992
ระดับขีดความสามารถ — 15 สิงหาคม
บทความประกอบแยกแก๊งอาชญากรออกจากตัวแสดงที่ได้รับการหนุนหลังจากรัฐ ด้วยยุทธวิธีและยอดเงินสะสม และสงวนหมวดหมู่ที่สามไว้สำหรับงานเปิดเผยที่ไม่ได้อะไรเลย ในระดับล่าง ตัวอย่างที่แมปไว้ในบทความคือผู้โทรที่รู้จักกันในชื่อ Man hands หรือ Tiffany M.: การแอบอ้างเป็นกระเป๋าเงินฮาร์ดแวร์และฝ่ายสนับสนุนของกระดานเทรด อย่างน้อย 5 ล้านดอลลาร์, Trezor และ Coinbase, อีเมล BitcoinIRA ปลอม, แผงควบคุมที่ได้รับจากผู้ร่วมงาน, การรักษาความปลอดภัยในการปฏิบัติงานที่อ่อนแอ ตัวเลขนั้นคือยอดรวมการโจรกรรมในบทความสำหรับผู้โทรรายนั้น ตัวอย่างระดับกลางในบทความเดียวกันคือ Dritan Kapllani Jr. ที่ราว 19 ล้านดอลลาร์ และ John Daghita ที่เรียกว่า Lick มากกว่า 46 ล้านดอลลาร์จากกระเป๋าเงินที่ยึดโดย U.S. Marshals Service โดยกิจกรรมต้องสงสัยในภาพรวมของบทความสูงกว่า 90 ล้านดอลลาร์ และต่อมาถูกจับกุม ตัวอย่างอาชญากรระดับสูงกว่าคือกลุ่ม Greavys, Wiz และ Box ราว 243 ล้านดอลลาร์จากเจ้าหนี้ Genesis รายเดียว ตัวอย่างที่ได้รับการหนุนหลังจากรัฐคือ Lazarus และการโจรกรรม Bybit ในเดือนกุมภาพันธ์ 2025 มูลค่าราว 1.5 พันล้านดอลลาร์; UAC-0145 ซึ่งในบทความเชื่อมโยงกับ Sandworm / APT44 โดยใช้การสัมภาษณ์งานปลอมเจาะกลุ่มผู้เชี่ยวชาญไอทีชาวยูเครน และการตั้งค่า VPN เป็นช่องทางส่งมอบ; และ Laundry Bear ซึ่งถูกระบุว่าเป็นการใช้ข้อมูลประจำตัวที่ถูกเจาะโดยมีความเชื่อมโยงกับรัสเซีย เพื่อโจมตีหน่วยงานรัฐ กลาโหม และโครงสร้างพื้นฐานสำคัญ https://x.com/i/article/2088672299868377088
ย่าน .academy — 17 สิงหาคม
การทำ Reverse-IP ของสี่ที่อยู่ connect ของ Squarespace รวบรวมชื่อเพื่อนบ้านได้ 2,020 ชื่อ 1,898 ชื่อลงท้ายด้วย .academy และ 1,767 ชื่อในนั้นยังคงชี้ไปที่ 198.49.23.144, 198.49.23.145, 198.185.159.144 และ 198.185.159.145, AS53831 เท่านั้น มีที่อยู่ไม่ซ้ำกัน 54 รายการปรากฏในชุดทั้งหมด ตัวอย่างชื่อ Squarespace 40 จาก 40 ชื่อคืนค่าเฮดเดอร์ Squarespace และคุกกี้ crumb รายงานการละเมิดและ URL มัลแวร์ออฟไลน์ในอดีตบน 198.49.23.145 รวมถึงเส้นทาง Cobalt Strike และ Mozi ถูกผูกในบทความกับผู้เช่ารายอื่นบนขอบเครือข่ายที่ใช้ร่วมกัน เส้นแบ่งความเป็นเจ้าของคือชื่อแบรนด์และที่อยู่ connect ทางการทั้งสี่ ชื่อโรงเรียนไม่ได้อยู่ในบัญชีดำ ชื่อเสียงที่ผูกกับที่อยู่แทนที่จะเป็นชื่อโฮสต์ถือเป็นต้นทุนของแพลตฟอร์ม และถูกบันทึกไว้เช่นนั้น https://x.com/i/article/2089015652753502208
ชั้นตัวตน — 17 สิงหาคม
ตระกูลนายทะเบียน เนมเซิร์ฟเวอร์คู่ และที่อยู่ anycast ทั้งสี่ของโดเมนเดียวกันคือข้อมูลฐานที่ถูกต้องตามกฎหมาย และเป็นพื้นผิวที่ผู้ลอกเลียนแบบจะคัดลอก Squarespace, Cloudflare, Vercel, GitHub Pages และ AWS Global Accelerator มีชื่อเสียง เฮดเดอร์ และผู้ออกใบรับรองอยู่แล้ว โฮสต์ต่างชาติยังคงล้มเหลวแบบปิด ดังนั้นการบล็อกที่อยู่ง่าย ๆ จึงสร้างสัญญาณรบกวน คานงัดที่บทความระบุไว้อยู่ที่นายทะเบียน: การโอนย้าย การเปลี่ยนเนมเซิร์ฟเวอร์ การจัดการข้อมูลติดต่อ และการจดทะเบียนที่มีอายุ จากนั้นจึงใช้ชื่อที่คล้ายคลึงกันหรือชื่อใดก็ได้ที่จอดอยู่บนขอบเครือข่ายที่น่าเชื่อถือ โดเมนราก .academy ที่เป็นค่าผิดปกติ 12 จาก 27 รายการในการนับประกอบ จดทะเบียนที่ Squarespace Domains แต่โฮสต์ที่อื่น การควบคุมที่สอดคล้องกับชั้นที่ถูกจัดการคือ ล็อคนายทะเบียน, การยืนยันตัวตนหลายปัจจัยของแพลตฟอร์ม, Certificate Transparency บนชื่อที่คล้ายคลึงกัน และบันทึก SPF แบบ hard-fail ในกรณีที่โดเมนไม่ได้ส่งอีเมล https://x.com/i/article/2089012676634738688
การจัดสรรของ Verizon ที่ถูกบันทึกเป็น T-Mobile — 23 สิงหาคม
เมื่อวันที่ 5 สิงหาคม รายงานของตนเองติดป้ายคำนำหน้าไคลเอนต์ 2600:1010:b204:: ว่าเป็นสไตล์ T-Mobile มือถือเครื่องนั้นเป็น Verizon มาตลอด เจ้าของเดิม ARIN แสดง NetName WIRELESSDATANETWORK, องค์กร Verizon Business (MCICS), จดทะเบียน 6 เมษายน 2010, ครอบคลุม 2600:1000:: ถึง 2600:1017:ffff:: ฟีด asname แบบ soft และพิกัดทางภูมิศาสตร์พกป้าย T-Mobile ตั้งแต่ตุลาคม 2025 จนถึงวันที่ออกรายงานนั้น การดึงข้อมูลสดเมื่อวันที่ 21 สิงหาคม คืนค่า Team Cymru AS6167 CELLCO-PART และ RIPE AS22394 CELLCO การจัดสรรไม่ได้ขยับไปไหน ขั้นตอนการทำงานที่เผยแพร่พร้อมกับบทความคือขั้นตอนสำหรับส่วนที่เหลือของซีรีส์นี้: ระบุที่มาของเครื่องมือ จากนั้นผู้เช่า แล้วจึงรีจิสทรี https://x.com/i/article/2091560316878671872
คลังข้อมูลปี 2023 ที่จัดอันดับแล้ว — 23 สิงหาคม
ภาพหน้าจอ 294 ภาพจากเส้นทางที่พักอาศัยของ Charter ในนิวยอร์กช่วงต้นปี 2023 ถูกนำมาใช้เป็นชุดที่จัดอันดับแล้ว: ที่อยู่ IPv4 ประมาณ 1,450 รายการ ราว 1,266 รายการเป็นแบบสาธารณะ บนมาตรวัด T1 ถึง T5 ที่ชัดเจน การสแกนในปี 2026 ปิดบริการก่อนที่จะปล่อยสิ่งใดเปิดไว้ 103.235.46.191 คือขอบวิเคราะห์ของ Baidu ในฮ่องกง hm.baidu.com, AS55967 23.82.31.230 คือ TradingView บน Leaseweb ที่อยู่ช่วง Boeing ถูกใส่ไว้ในรายการเอกสารเท่านั้น การรายงานสาธารณะในเวลาต่อมาเกี่ยวกับการบุกรุกระบบธุรกิจชิ้นส่วนของ Boeing โดย LockBit มีชื่อองค์กรร่วมกับแถวเอกสารนั้น และไม่มีเซสชันร่วมกัน เหตุขัดข้องด้านเสียงของ Charter ในเดือนกุมภาพันธ์ 2023, แถลงการณ์ Storm-0558 ในเดือนกรกฎาคม 2023, การรายงาน Salt Typhoon ในเวลาต่อมา และประกาศของ Leaseweb เองเมื่อวันที่ 22 สิงหาคม 2023 คือหน้าต่างบริบท https://x.com/i/article/2091569041584619520
GitHub บน Fastly — 27 สิงหาคม
QS-NetHarden ทำงานผ่านการแชร์อินเทอร์เน็ตจากมือถือ เริ่มดักจับเวลา 09:08 PDT วันที่ 26 สิงหาคม NetCloak แสดงตัวตน Windows ใหม่ เหยื่อล่อ Artillery ทำงานอยู่โดยปิดการแบน Phantom-QS สลับ Firefox 128 ไม่มีอะไรในบันทึก honeypot เช้าวันนั้นที่เป็นระยะไกล DNS คือผู้ดำเนินการ: พร็อกซีแชท, โหลดบาลานเซอร์ของ GitHub, Actions, Copilot, แล้วจึง release-assets.githubusercontent.com คำนำหน้าที่ครอบครอง 185.199.108.0/22 คือ RIPE US-GITHUB-20170413, องค์กร GitHub, BGP origin AS54113 Fastly รายการที่อยู่ที่เผยแพร่โดย Fastly เองไม่ได้รวมสิ่งนี้ไว้ ชุด .133 คือตัวรวบรวมเนื้อหาทั้งหมด ชุด .154 คือรีลีสและแพ็กเกจ ประตูหน้าของ Actions คือ Microsoft 13.107.42.0/24 และ 13.107.43.0/24 และ pipelines.actions ชี้ไปที่ 13.107.43.16 ในการสแกนครั้งนั้น URLhaus มี URL มัลแวร์บนชื่อ release-assets และ Harden-Runner เคยตั้งธงไว้ ชื่อโฮสต์คือรถบรรทุก ตัวแสดงคือสินค้าและผู้กระโดดถัดไปที่ไม่ใช่ GitHub บล็อกเซิร์ฟเวอร์เสมือนที่ตามมา ปล่อย leaf, ตัวรวบรวมของ Fastly, Azure Front Door, สแนปช็อตภูมิภาค และเซนเซอร์ ไว้ตามเดิม https://x.com/i/article/2093021792923508736
โรงผลิตสแปม Snowshoe หนึ่งแห่ง — 29 สิงหาคม ต่อเนื่องถึง 7 กันยายน
เมื่อวันที่ 27 สิงหาคม กล่องจดหมายเดียวรับข้อความประกันภัยรถยนต์และบัตรเครดิตที่ไม่พึงประสงค์ 72 ข้อความ, ลิงก์ไม่ซ้ำ 156 รายการ, โดเมน From 71 โดเมน การจัดกลุ่มหัวข้อทำให้เกิดคู่ที่ซ้ำกันสามคู่ ค่าคงที่คือโทเคน e6jbv4z ในทุกเนื้อหาและทุกลิงก์ การคลิกใช้ป้ายสองตัวอักษรบนโดเมนรากที่มีอายุ และเส้นทาง PHP รูปแบบ /r ตามด้วยเลขฐานสิบหก Policy Plug คิดเป็น 51 จาก 72 รายการ Easy Insurance Match, Endurance และ Indigo กับ Destiny Mastercard เป็นเพียงฉากบังหน้า กลุ่มย่อยขนาดใหญ่คัดลอกหมายเลข NMLS 1136 ของ LendingTree และที่อยู่ถนนใน Charlotte LendingTree คือเหยื่อที่ถูกขโมยส่วนท้ายอีเมล อีเมลและการคลิกอยู่บน NForce, AS43350, ใน 185.47.200.0/24 และ 185.47.203.0/24: nginx, PHP 7.4.33, 443 ปิด, 25 ถูกกรอง โดเมนเหล่านี้เป็นคลังสินค้าเก่าของ Name.com คำขอ HEAD ได้รับ 403 ของ nginx แบบทั่วไป GET ที่เหมือนเบราว์เซอร์ได้รับ 302 ไปยังหน้า lander ของ CAKE, offer a=44 และ c=2701, บน taobmaets.com หรือหน้ายกเลิกการสมัครบน keycanvascanvas.com ไฟล์แนบที่ตั้งชื่อเป็นไฟล์ Office เป็นข้อความธรรมดา ClamAV สะอาด เฮดเดอร์ Host หนึ่งรายการ mediaignorance.com คืนเนื้อหาขนาด 52,667 ไบต์เดียวกันจากเจ็ดที่อยู่ใน /24 WHOIS ที่ไม่ปิดบังบนโดเมนรากสี่รายการระบุชื่อ Robert Carpino ซึ่งในบทความถือเป็นจุดสืบค้น ผู้ซื้อเบื้องหลังข้อเสนอ CAKE ไม่ได้รับการระบุ เมื่อวันที่ 7 กันยายน การเก็บเกี่ยวเพิ่มเติมของโทเคนเดียวกันและรูปแบบเส้นทางเดียวกัน ฉากบังหน้าประกันภัยรถยนต์และ Indigo ถูกเผยแพร่ว่ามีอยู่แล้วในฐานข้อมูลของ AT&T โพสต์อ้างว่ามีชุดเนมเซิร์ฟเวอร์ที่ใช้ร่วมกันหนึ่งชุดแต่ไม่ได้พิมพ์ออกมา การดำเนินการของ Defender คือโทเคน เส้นทาง และคำนำหน้า NForce สองรายการ โดยรายงานไปที่ abuse@nforce.com และนายทะเบียน พร้อมระบุว่าบรรทัด NMLS ที่ถูกขโมยคือการขโมยส่วนท้ายอีเมล https://x.com/i/article/2093528643779825664 https://x.com/i/article/2093532720119083008 https://x.com/i/article/2097103637160022017
ไฟร์วอลล์ที่พักอาศัย รอบแรก — 5 กันยายน
บันทึกเกตเวย์ที่พักอาศัยของ AT&T มีเหตุการณ์ 296 รายการในช่วง 26 นาที, ที่อยู่ไม่ซ้ำ 188 รายการ, 169 รายการเป็นแบบสาธารณะ ส่วนตัดนี้คือรังสีพื้นหลังของ IPv4 สาธารณะ การ์ดจากวันที่ 31 สิงหาคมได้ระบุชื่อ QNAX, Recyber, Infrawatch, Xpanse, Censys, Pfcloud และ CHINANET ไว้แล้ว มีสิ่งที่ค้นพบใหม่สามรายการ QNAX 45.140.193.187 เข้าชน WAN สิบครั้งใน 21 นาที บทความอ้างอิงรายงาน AbuseIPDB 408 รายการจาก 170 แหล่ง ทั้งหมดเป็นภัยคุกคาม และการ brute force VNC บน tcp/5900 โดยใช้ RFB 003.008 qnax.sh ขายผลิตภัณฑ์ VPS, RDP และ console-VNC นั้น ขาเข้าแรกที่ถูกระบุชื่อภายในเน็ต Spamhaus DROP คือ Pfcloud 176.65.149.233, ใน 176.65.148.0/22, เวลา 11:58 n8n.pfcloud.io อยู่ที่ 176.65.148.168 sso.pfcloud.io ระบุตัวเองว่าเป็น authentik การสเปรย์ของ Tamatiya และ 4vendeta ทั่ว 79.124.58.0/24, 79.124.49.0/24 และ 78.128.114.0/24 รวมถึง 79.124.58.90 ซึ่งมีชื่อ reverse คือ ip-58-90.superbit.host และมีนามแฝงคือ urlforward.topdns.com ซึ่งเป็นที่อยู่ DigitalOcean เดียวกับ ns-usa.topdns.com ที่ 143.198.68.197 การขยายผลแบบ passive ของ topdns.com คืนค่าป้าย 517 รายการ หลายรายการชนกับแบรนด์ แทบทั้งหมดไม่มีที่อยู่ เนมเซิร์ฟเวอร์ยังไม่ถูกบล็อก โฮสต์ที่มีความสำคัญคือ 45.140.193.187, 79.124.58.18, 79.124.58.90, 79.124.49.90, 78.128.114.46 และ 78.128.114.162 เน็ตทางเลือกคือส่วนตัดลูกค้าและการดำเนินงานของ Tamatiya และ Pfcloud 176.65.148.0/22 บวก 204.76.203.0/24 สิ่งที่ถูกปล่อยไว้กับพวกมัน: TopDNS, ตัวรวบรวม CriminalIP, ขอบเครือข่าย Cloudflare, เครื่องสแกนสำมะโน และ Telepoint 78.128.42.0/24 ช่องทางติดต่อการละเมิดที่เผยแพร่พร้อมบทความคือ abuse@qnax.com.br และ noc@4vendeta.com เซนเซอร์อยู่บนฮอตสปอต ไม่ได้สแกน LAN บทความนี้อิงอยู่กับบันทึก Tamatiya วันที่ 24 กรกฎาคมจากซีรีส์ครึ่งปีแรก ตัวชี้เว็บไซต์วันที่ 4 กันยายนพกชื่อซีรีส์และชี้ไปที่เว็บไซต์บริษัท; บันทึก X ของการวัดผลคือบทความนี้และบทความถัดไป https://x.com/i/article/2096029788624523264
ไฟร์วอลล์ที่พักอาศัย ส่วนที่เหลือ — 6 กันยายน
หน้าต่างวันที่ 29 สิงหาคมและ 5 กันยายนรวมกันสร้างเหตุการณ์ไม่ซ้ำ 530 รายการ และที่อยู่ขาเข้าสาธารณะ 270 รายการ ชิ้นที่สองนี้คือ 105 รายการที่เหลือ หลังจากแยกเครื่องสแกนสำมะโนและผู้ดูเชิงพาณิชย์ที่ระบุชื่อออกไปแล้ว ที่อยู่ 74 จาก 108 รายการที่ตรวจสอบปรากฏในฟีดสาธารณะในวันนั้น ไม่มีรายการใดปรากฏใน Feodo, SSLBL, ThreatFox หรือ Emerging Threats ยี่สิบเอ็ดรายการอยู่ในคำนำหน้า Spamhaus DROP ลงวันที่ 4 กันยายน รวมถึง Pfcloud /22 บทความอ้างอิงเรื่องราววันที่ 25 มิถุนายนเกี่ยวกับการใช้ประโยชน์ UniFi OS ที่ปล่อยจาก 176.65.148.183 ในคำนำหน้านั้น และการเพิ่ม CVE-2026-34908, CVE-2026-34909 และ CVE-2026-34910 ของ CISA เมื่อวันที่ 23 มิถุนายน Ghosty 43.228.157.0/24 และ Stormcloud 94.154.43.0/24 คือย่าน Mirai บน URLhaus ในบทความเดียวกัน ที่อยู่ขาเข้าที่เหลือที่ดังที่สุดยังคงเป็น QNAX 45.140.193.187 โดยบทความนับได้ 412 รายงาน พบครั้งสุดท้าย 1 กันยายนบนพอร์ต 5000 46.146.238.1 เป็นโฮสต์ URLhaus ที่ตรงกันสำหรับ dropper พอร์ตสูง โดยเปิด telnet ไว้ UniFi OS บน 195.252.206.160 ไม่มีการชนกับฟีดที่อยู่ และเป็นการจับคู่ระดับบริการกับ SAB-067, CVE-2026-77550, ลงวันที่ 26 สิงหาคม EMBNEX 16.5.0.0/24 คือต้นทาง dump แปดรายการ; เว็บไซต์ embnex.com อยู่บน CloudFront ก้อน HTML สั้น ๆ ที่เหมือนกันบนเน็ตที่ไม่เกี่ยวข้องกันคือหน้า sink คำแนะนำคือให้บล็อกเน็ตเหล่านั้น https://x.com/i/article/2096732079388299264
ทางออกฮอตสปอตไปยังโหนดจัดการ — 14 กันยายน
การจราจรจากอุปกรณ์ส่วนตัวบนฮอตสปอต iPhone ไปถึง 113.176.118.150 ชื่อ static.vnpt.vn และ rdp.cdmt.vn ที่อยู่นั้นแสดง MikroTik RouterOS 6.49.13, Nginx Proxy Manager บนพอร์ต 80, HTTPS ที่กั้นด้วยชื่อบน 443, หน้าเข้าสู่ระบบ MeshCentral สาธารณะบน 5009, หน้าเข้าสู่ระบบ UniFi สาธารณะบน 8443, ดีมอน SSH สองตัวบน 8080 และ 8090 และบริการสไตล์ CONNECT ที่ไม่ทราบชนิดบน 8088 ซึ่งเกี่ยวข้องกับชื่อ CloudFront d3azdm1q0gvo54.cloudfront.net สมมติฐานที่เผยแพร่คือเกตเวย์และโหนดจัดการที่เปิดออกสู่อินเทอร์เน็ต ทางออกไปยังสิ่งนั้นจากฮอตสปอตส่วนตัวถือว่าไม่ได้รับอนุญาต จนกว่าจะแมปกับแอปพลิเคชัน ผู้ใช้ หรืออุปกรณ์ที่รู้จัก https://x.com/i/article/2099540826854715392
รายชื่อรอที่บางเบา — 22 กันยายน
uythjmnglk.xyz จดทะเบียนที่ Dynadot เมื่อวันที่ 14 กันยายน 2026, ซ่อนตัวตนผ่านพร็อกซี, บนเนมเซิร์ฟเวอร์คู่ phoenix และ wilson ของ Cloudflare, ไม่มี DNSSEC เฉพาะโดเมนรากและ www เท่านั้นที่ตอบกลับ นอกเครือข่ายท้องถิ่น แอปพลิเคชันคือรายชื่อรอที่ชื่อว่า “You’re on the list” ซึ่งโพสต์อีเมลไปยังเส้นทางสมัครสมาชิกภายใต้โทเคน v:897qvxac7fny03ac บนเกตเวย์ AT&T ชื่อเดียวกันคืนค่าหน้าคั่นสั้น ๆ ที่ให้เหตุผลว่าเป็นมัลแวร์ หน้านั้นคือผู้ให้บริการ ไม่ใช่ต้นทาง ที่อยู่ Cloudflare สองรายการที่อยู่หน้าชื่อนี้ปรากฏในภาคผนวก Mystic Stealer เดือนมิถุนายน 2023 พวกมันเป็น anycast ที่ใช้ร่วมกัน และมีเวลาห่างกันสามปีระหว่างภาคผนวกนั้นกับการจดทะเบียนนี้ ชื่อคาสิโนและ 4D ในวันเดียวกันที่นายทะเบียนเดียวกันใช้เนมเซิร์ฟเวอร์คู่ที่ต่างกัน คู่ที่เก่ากว่าโฮสต์หน้า lander “A little chicken” ที่ผูกกับเส้นทางพันธมิตร FanPartners คลัสเตอร์เหล่านั้นไม่ถูกนำมาใช้กับเมล็ดพันธุ์นี้ ที่อยู่ Cloudflare ไม่ถูกนำเข้าบัญชีดำแคมเปญใด ๆ https://x.com/i/article/2101850617815908352
ประกาศ CAC และ DEERS — 28 กันยายน
ประกาศสองฉบับมาถึง Gmail ส่วนตัวจาก CACExpiration-DoNotReply@mail.mil ในวันที่ 9 มีนาคม 2026 และ 7 พฤษภาคม 2026 ข้อความเดือนพฤษภาคมผ่าน SPF, DKIM และ DMARC DKIM คือ d=mail.mil, selector EEMSG2021v1a, นโยบาย reject ตัวระบุข้อความชื่อ UHIL19PA53.eemsg.mail.mil ที่ 214.24.21.199 ผู้ลงนาม S/MIME คือ benefits.notifications@mail.mil ออกโดย DOD SW CA-83 ใช้ได้ตั้งแต่ 15 ตุลาคม 2025 ถึง 15 ตุลาคม 2028 แบนเนอร์ของ Gmail แจ้งว่า From และผู้ลงนามแตกต่างกัน กล่องจดหมายทั้งสองต่างกัน และความแตกต่างนั้นก็เพียงพอที่จะสร้างแบนเนอร์ เนื้อหาระบุว่าขาดเอกสารยืนยันตัวตนสองฉบับ และบอกให้ผู้รับไปที่ RAPIDS เพื่ออัปโหลด โดยให้นับเวลา 120 วันในเดือนมีนาคม และ 60 วัน ภายในวันที่ 6 กรกฎาคม ในเดือนพฤษภาคม ไม่มีการส่งเอกสารใด ๆ บัตรยังคงใช้งานได้
โปรแกรมทางการที่บทความอ้างอิงเริ่มต้นด้วยประกาศ DMDC ในเดือนมกราคม 2026 ภายในเดือนสิงหาคม สมาชิกประจำการและกำลังสำรองราว 215,000 นายไม่เป็นไปตามข้อกำหนด กองทัพบกได้ตรวจสอบบัตรราว 111,000 ใบ โดยไม่มีใบใดถูกเพิกถอน ณ วันที่ 2 กันยายน นาวิกโยธินราว 21,500 นายยังขาดเอกสารในเดือนกรกฎาคม แนวทางทางการวันที่ 3 กันยายน ซึ่งเผยแพร่ 8 กันยายน อธิบายว่าเป็นการอัปเดตบันทึกธุรการ โดยไม่มีการฉ้อโกงและไม่มีการอ้างถึงการรั่วไหลของข้อมูลที่ขาดหายไป MARADMIN 393/26 กำหนดให้ใช้เอกสารต้นฉบับสองฉบับด้วยตนเอง เนื้อหาในเดือนมีนาคมบอกว่าให้อัปโหลด
คลาสที่บทความเก็บไว้ในคอลัมน์คำศัพท์คือหน่วยงานที่ถูกแนะนำเข้ามา ณ จุดลงนามหรือก่อนหน้านั้น ดังนั้นการตรวจสอบจึงยังคงผ่าน การเขียนใหม่หลังการยืนยันของ Gmail ถูกตัดออกไป เพราะ DKIM ผ่านแล้ว ไม่มีไฟล์ข้อความต้นฉบับและไม่มีส่วนลายเซ็นอยู่ในมือ โฮสต์เมลคือ AS345, 214.24.21.0/24 ซึ่งเป็นบล็อกของ Defense Network Information Center ตั้งแต่ปี 1998 www.cac.mil เป็นชื่อที่อยู่บน Akamai มีแอดเดรส 23.62.46.164 และ 23.62.46.182 ตอบกลับด้วยรหัส 403 และใบรับรองบนเอดจ์นั้นระบุชื่อ www.cac.mil พร้อมกับกลุ่มชื่อ pentagon, defense และ department แอปพลิเคชัน DMDC อย่าง idco, myaccess และ pki รีโซลฟ์อยู่ใน AS27064 บนแอดเดรส 214 ที่แตกต่างกัน รวมถึง pki.dmdc.osd.mil ที่ 214.16.194.24 ไม่มีส่วนใดที่ใช้ร่วมกันระหว่างพรีฟิกซ์เมลกับพรีฟิกซ์แอปพลิเคชันเหล่านั้น ผลิตภัณฑ์ระบุตำแหน่งทางภูมิศาสตร์ตัวหนึ่งวางคิวรี 214 ไว้ในโคลัมบัส รัฐโอไฮโอ อีกตัววางไว้ที่โรสฮิลล์ รัฐเวอร์จิเนีย ทั้งหมดนี้เป็นการจัดสรรชุดเดียวกัน
เรกคอร์ดสามรายการที่อยู่ติดกันต่างอยู่ในเลนของตัวเอง หน้าการตลาดบน email.usfhp.net วันที่ 20 กรกฎาคม เป็นทรัพย์สินจริงของ US Family Health Plan พร้อมระบบวัดผลระดับ HubSpot ทั่วไป จดหมายแชร์ไฟล์ลงวันที่ 18 กันยายน อธิบายถึงการเข้าถึงแบบไม่เข้ารหัสตั้งแต่ตุลาคม 2025 ถึง 16 กรกฎาคม 2026 ซึ่งถูกค้นพบเมื่อวันที่ 16 กรกฎาคม และบทความก็ปล่อยมันไว้โดยไม่เชื่อมโยงกับบรรทัด From นี้ ประกาศของ IDScan วันที่ 4 กันยายน เกี่ยวข้องกับบัญชีคลาวด์ของลูกค้า ตัวเลขประมาณสี่ล้านและ 60 ล้านเรกคอร์ดถูกปฏิเสธในบทความว่าเป็นจำนวนเหยื่อทั้งหมด https://x.com/i/article/2104388574397554688
สิบเจ็ดนาทีของการทิ้งแพ็กเก็ต — 3 ตุลาคม
การส่งออกข้อมูล discard จากเครือข่ายที่พักอาศัยที่พิมพ์ออกมาตั้งแต่ 05:55 ถึง 06:12 น. ของวันที่ 3 ตุลาคม มี 234 แถว 110 แอดเดรสต่างประเทศ และ 166 hit-increments ทุกแถวคือการดรอป และการส่งออกนี้ไม่มีพอร์ตปลายทาง การอ่านข้อมูลครั้งต่อมาที่เลื่อนหน้าต่างเวลาไปประมาณห้าชั่วโมงคือเหตุการณ์เดียวกันแต่ใช้นาฬิกาคนละเรือน 51 จาก 57 ครั้งที่สแกนเนอร์ตรวจพบเป็นโครงการสำรวจอินเทอร์เน็ตที่มีชื่อรู้จักกันดี: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid, Nokia Deepfield และเพื่อนบ้านของพวกเขา มี 10 แอดเดรสที่ซ้ำจากเดือนสิงหาคมพอดี รวมถึง 4vendeta 79.124.49.90, SS-Net 80.94.95.226, Ghosty 43.228.157.10 และ Amarutu 89.42.231.200 QNAX และ Recyber ไม่ปรากฏในช่วงเวลานี้ สมาชิกใหม่ของเน็ตที่รู้จักกันรวมถึง Pfcloud 204.76.203.4 และ Stormcloud 94.154.43.203 ชื่อมัลแวร์บน /24 ของ Stormcloud อยู่ที่แอดเดรสพี่น้อง แอดเดรสที่แตะล็อกคือ discard และชื่อตระกูลยังคงอยู่ที่แอดเดรสพี่น้องซึ่งเป็นที่ที่มันถูกบันทึกไว้จริง ๆ
การดรอปตามนโยบาย UDP แปดครั้งเป็นส่วนท้ายของการตรวจสอบรายการพร็อกซีเมื่อวันที่ 20 กันยายน ซึ่งเป็นแพ็กเก็ตที่เครือข่ายที่ถูกเฝ้าระวังส่งออกไป สองแถวของแพ็กเก็ตไม่ถูกต้องจาก Amazon ไม่มีการตรวจพบในรายการภัยคุกคาม การเสริมข้อมูล tether แยกต่างหากในเช้าวันเดียวกันเป็นเส้นทางผู้ให้บริการและเนื้อหาปกติ: Verizon, Comcast, Lumen, Cogent, Google และ Cloudflare เซสชันที่ไม่สามารถอธิบายตัวเองได้คือ 87.250.250.108 ซึ่งมีชื่อว่า cloud.yandex.ru การตรวจพบ Spamhaus DROP เพียงรายการเดียวในการจับคู่รายการใหม่คือ 140.222.19.75 และ 140.222.19.77 ภายใน 140.222.0.0/16, SBL693942 ซึ่งถูกอ่านว่าเป็นรูปแบบการจี้พื้นที่ NSFNET เก่า และถูกปล่อยไว้นอก รายการบล็อกโฮสต์ การยุบรวมโครงการวัดผล สแกนเนอร์ bulletproof และเครื่องมือของผู้ดำเนินการเองเข้าไปในรายการตัวชี้วัดเดียวนั้น เป็นการสร้างเหตุการณ์ขึ้นมา https://x.com/i/article/2106513298426597376
Yandex Compute ขัดแย้งกับบันทึกสาธารณะ — 4 ตุลาคม
ข้อกล่าวอ้างแรกเริ่มที่ถูกเผยแพร่ระบุว่ารัฐรัสเซียอ่านข้อมูลผู้ใช้ Yandex Cloud ด้วยการรวมการควบคุมกุญแจ การเข้าถึง hypervisor การโคลนดิสก์แบบเงียบ ๆ แผนที่คอร์ที่ถูกตรึง ดีมอนจัดเก็บข้อมูลที่ปรับแต่งเอง และฟีดการสกัดกั้นตามกฎหมายบนตัวจัดตารางเวลา บทความนำข้อกล่าวอ้างนั้นมาเทียบกับเอกสาร compute ของ Yandex เองและเทียบกับสิ่งที่มีอยู่แล้วบนโฮสต์นี้ การเข้ารหัสดิสก์เริ่มต้นใช้กุญแจแพลตฟอร์ม กุญแจของลูกค้ายังคงอยู่ในบริการกุญแจของ Yandex และการปิดการใช้งานมันคือ kill switch หน่วยความจำ guest เป็นหน่วยความจำปกติของกระบวนการ QEMU ดังนั้นผู้ดำเนินการโฮสต์จึงอยู่ฝั่งเดียวกับ guest ที่กำลังทำงานภายในขอบเขตความเชื่อถือ ไม่มี libvirt การย้ายข้อมูลแบบ live migration, โฮสต์เฉพาะ และสวิตช์เปลี่ยนบิลด์ QEMU บนโฮสต์เดียวกัน ล้วนเป็นพฤติกรรมผลิตภัณฑ์ที่เผยแพร่แล้ว การตรึง host-id ปิดใช้งาน live migration และถูกเขียนผ่าน compute API โดย principal ที่สามารถอัปเดตอินสแตนซ์ได้อยู่แล้ว อินเทอร์เฟซ guest ไม่ได้รองรับการเขียนนั้น สิ่งที่หน้าที่ถูกอ้างอิงไม่ได้แสดงไว้คือการสมัครรับการสกัดกั้นตามกฎหมายไปยังซ็อกเก็ตควบคุม hypervisor ไปยังตัวเลือกของตัวจัดตารางเวลา หรือไปยังกฎ host-affinity และหน้าเหล่านั้นไม่ได้แสดงการโคลนแบบเงียบ แผนที่คอร์ที่ตายตัว ดีมอนที่กำหนดเอง หรือเส้นทางอุโมงค์ตามที่กล่าวในบทความกว้าง ๆ นั้น มีการจัดทำรายการชื่อ reverse ในเครื่องที่มีคำว่า yandex 45.87.42.74 ยังคงเป็นฟาร์มขาย qloudhost ของเดือนสิงหาคม ซึ่งเป็นอีกชื่อหนึ่ง 87.250.250.108 เซสชันที่อธิบายไม่ได้จากบทความ discard ไม่ปรากฏในตารางก่อนหน้านี้ การลงทะเบียนแยก Yandex.Cloud LLC สำหรับออบเจกต์คลาวด์ออกจาก YANDEX LLC บนเครือข่ายองค์กร ใบรับรอง API ที่เสร็จสมบูรณ์คือ Yandex, Moscow, GlobalSign ชื่อโฆษณาหนึ่งชื่อยังคงมี reverse pointer ที่ห้อยค้างอยู่ที่ 77.88.21.179 https://x.com/i/article/2106548730942152704
เหยื่อล่อ Coinbase-Card ที่ไม่มีการชำระเงิน — 9 ตุลาคม
หน้า Telegraph สองหน้า คือ telegra.ph/NCO-09-27 และ graph.org/UIN-10-05 ใช้ลิงก์ continue ร่วมกัน ทั้งสองอยู่บน 149.154.164.13 เผยแพร่เมื่อวันที่ 27 กันยายน และ 5 ตุลาคม ลิงก์คือ rss2.sayler.at/go/337413/z274x264 บน 107.189.20.230 และมันรีไดเรกต์ไปยังชุดเครื่องมือ Coinbase Card ที่ 97ee1.ralind.at บน 31.59.121.53 สคริปต์ของชุดเครื่องมือเองระบุชื่อ 22 ขั้นตอน ตั้งแต่ index ไปจนถึงหน้า fast-pay โพสต์ต้นฉบับวันที่ 6 ตุลาคม ระบุจำนวนนั้นและพิมพ์ชื่อไฟล์ 22 ชื่อเดียวกัน หน้าเว็บแสดงยอดเงิน $39,437.16 สคริปต์ถูกแก้ไขล่าสุดเมื่อวันที่ 26 สิงหาคม 2026 มีการระบุชื่อรหัสค่าธรรมเนียม 11 รหัส มีเพียง y2a4u234 บรรทัดระหว่างธนาคารมูลค่า $58 เท่านั้นที่ถูกติดตามต่อ ไปยัง bitpays.at ที่ 31.57.29.11 สตรีม 4374w2 การส่งข้อมูลสังเคราะห์เมื่อเวลา 03:45 GMT ของวันที่ 9 ตุลาคม ส่งคืนการรีไดเรกต์ไปยังใบแจ้งหนี้ BTCPay, 6QTpVwNe9CynFTXZFJE8Yk, บน btcpay369329.lndyn.com ที่ 172.81.177.1 สถานะ New ห้าสิบแปดดอลลาร์, 0.00070469 BTC, อัตรา $82,306.45, แอดเดรส bc1qexqsudur4860kva5789qcvkmpdk4j9wrfrsmzy การตรวจสอบการชำระเงินส่งคืนค่าศูนย์ ไม่มีการส่งการชำระเงินใด ๆ
ip-api วางชุดเครื่องมือนี้ไว้ในปารีส และแบบฟอร์มชำระเงินในริก้า QuantumGuard และรีจิสทรีต้นทางวาง 31.57.29.0/24 ไว้ในสหรัฐอาหรับเอมิเรตส์, AS56971 sayler.at, ralind.at และ bitpays.at ใช้ DNSPod บันทึกวันที่ 6 ตุลาคม บนออบเจกต์ที่ถือ SOA serial 1789107920 วางออบเจกต์นั้นไว้ในซานดัมภายใต้ AS14956, RouterHosting และ FranTech บทความวันที่ 9 ตุลาคม ไม่ได้ทำซ้ำการจัดวางนั้น เนมเซิร์ฟเวอร์ของ Telegraph, เนมเซิร์ฟเวอร์ของ GoDaddy สำหรับ graph.org และแอดเดรส DNSPod เป็น DNS แบบใช้ร่วมกัน 144.31.93.214 อยู่นอกสายโซ่นี้ บทความวันที่ 15 สิงหาคม และเหยื่อล่อนี้ต่างใช้คำว่า Coinbase ตัวอย่างในบทความคือแก๊งปลอมตัวทางโทรศัพท์ ส่วนชิ้นนี้เป็นหน้าเว็บ ตัวติดตาม ชุดเครื่องมือการ์ด และใบแจ้งหนี้ที่ยังไม่ได้ชำระเงิน https://x.com/i/article/2108597864108871681
จุดยืนปิดท้าย
สองรายการปิดท้ายซีรีส์นี้ รายการแรกคือวิธีการที่ Quantitative Security ใช้ รายการที่สองคือวิธีการที่บทความต่าง ๆ ทำแผนที่ไว้ แต่ละรายการพร้อมกลุ่ม เทแนนท์ หรือคลาสที่บทความกำหนดให้ ตัวอย่างในบทความยังคงอยู่ภายใต้อาร์ติเคิลวันที่ 15 สิงหาคม แท็กพี่น้องยังคงอยู่ที่แอดเดรสพี่น้อง โครงการสำรวจยังคงอยู่ในหมวดการวัดผล ในกรณีที่บทความไม่ได้ระบุชื่อกลุ่ม บรรทัดจะสิ้นสุดที่เทแนนท์ เน็ต หรือคลาส
วิธีการที่ใช้
- การสแกนภายนอกแบบมีโครงสร้างผ่านแบนเนอร์ ใบรับรอง และบริการที่เปิดรับ โดยแยกสินทรัพย์ที่ถูกทิ้งร้างออกจากปริมาณการใช้งานจริง
- การมีส่วนร่วมของผู้เยี่ยมชมที่เริ่มต้นด้วยการวิศวกรรมสังคม แล้วขยายด้วยการเสริมข้อมูลจากแหล่งเปิด (open-source) เป็นการลาดตระเวนเท่านั้น
- การดึงข้อมูล Reverse-IP, WHOIS และรีจิสทรี, เรกคอร์ดการยืนยันตัวตนอีเมล และการจับแพ็กเก็ตเพื่อตรวจสอบเทียบกับแอดเดรสที่เรกคอร์ดเหล่านั้นระบุ
- โดเมนของบริษัทเอง ถูกทดสอบผ่านช่องทางเดียวกับที่นักล่าภายนอกจะใช้ โดยเก็บการลาดตระเวนตัวเองไว้เป็นสัญญาณรบกวนของเซนเซอร์
- ฟีดระบุตำแหน่งทางภูมิศาสตร์แบบคร่าว ๆ และ asname ถูกตรวจสอบเทียบกับ ARIN, RIPE และ Team Cymru ลำดับคือเครื่องมือ จากนั้นเป็นเทแนนท์ แล้วจึงเป็นรีจิสทรี
- รายการสินค้าคงคลังย้อนหลังที่มีการจัดอันดับ ปิดผนึกสู่การระบุตัวตนบริการก่อนที่จะนำเหตุการณ์สาธารณะใด ๆ มาเชื่อมโยง
- ล็อก DNS แบบ on-path และ honeypot ถูกอ่านเพื่อให้เซสชันของบริษัทเองแยกออกจากการตรวจพบจากระยะไกล
- อีเมลถูกลดทอนด้วยโทเค็นที่ไม่เปลี่ยนแปลง คำขอ HEAD ถูกนำมาเทียบกับ GET ของเบราว์เซอร์ และบอดี virtual-host เดียวกันที่ถูกแฮชข้ามพรีฟิกซ์
- ข้อมูล discard จากเครือข่ายที่พักอาศัยถูกลดทอนเทียบกับ AbuseIPDB, Spamhaus DROP, URLhaus, Feodo, SSLBL, ThreatFox และ Emerging Threats โดยการขยายชื่อแบบ passive ทำให้เนมเซิร์ฟเวอร์อยู่นอกรายการบล็อก
- ทางออก hotspot ถูกเก็บไว้เป็นความสัมพันธ์ และการวัดผลติดตามถูกกำหนดเวลาให้ห่างจากเซสชันแรก
- รีจิสทรา คู่เนมเซิร์ฟเวอร์ และตัวขั้นกลางของผู้ให้บริการ ถูกแยกออกจากเนื้อหาต้นทาง
- SPF, DKIM, DMARC และ S/MIME ถูกอ่านร่วมกัน และถูกจัดไว้ในระดับคลาสเมื่อไม่มีข้อความต้นฉบับที่ลงนามอยู่ในมือ
- การส่งออก discard ถูกจัดหมวดหมู่เป็นโครงการสำรวจ เน็ตที่เป็นศัตรูซ้ำ ๆ แพ็กเก็ตของบริษัทเอง และเซสชันที่อธิบายตัวเองไม่ได้
- เอกสาร compute ของผู้จำหน่ายถูกนำมาอ่านเทียบกับข้อกล่าวอ้างที่กว้างกว่า โดยตัดข้อความที่ไม่ได้รับการสนับสนุนออกจากการค้นพบ
- สายโซ่เหยื่อล่อถูกติดตามผ่านตัวติดตาม ชุดเครื่องมือ รหัสค่าธรรมเนียมหนึ่งรหัส และใบแจ้งหนี้สังเคราะห์ที่ไม่ได้ชำระเงิน ไม่มีการส่งการชำระเงินใด ๆ
วิธีการที่ทำแผนที่ และชื่อของแต่ละวิธี
- บริการคลาวด์ที่เหลือตกค้างและพร็อกซีที่ได้รับการยืนยันตัวตนอายุสั้น แบรนด์ที่เหลือตกค้างคือ GENIEX, ชื่อเกมรวมถึง Dragon Raja และกลุ่มเว็บไซต์ความงามทางการแพทย์และรถมือสองที่เชื่อมโยงกับลาวบางตา
- การเก็บเกี่ยวโครงสร้างพื้นฐานผู้เยี่ยมชม แอดเดรสเริ่มต้นถูกระบุตำแหน่งทางภูมิศาสตร์ไปที่อิหร่าน และบทความปล่อยป้ายกำกับไว้ที่นั่น เส้นฐานระบุชื่อ GoCodeIT Inc. แห่งธอร์นฮิลล์ ออนแทรีโอ; rejekibet.com และโคลนมิจฉาชีพรอบแบรนด์นั้น; และ geniex.com ที่อยู่ระหว่างการปิดตัว
- การขายแผนสุขภาพด้วยชื่อแบรนด์ และไซต์ที่ถูกจัดประเภทเป็นฟิชชิงแล้ว บนโฮสติ้งที่ใช้ร่วมกัน ชื่อที่เกี่ยวข้องคือผู้จดทะเบียน Fabiola Silva Souza และ Fabiola Silva Souza Seguros Ltda ถือพอร์ตโฟลิโอหลัก Roger Oliveira da Silva และ Leonildo Quintiliano อยู่บนไซต์สะพาน Tiago Ferreira Pena เป็นผู้จดทะเบียนที่อยู่ใกล้เคียง Christian von Langermann เป็นผู้จดทะเบียนของ shelleasternpetroleum.ae ซึ่งเป็นผู้เช่าร่วม OpenDNS, Cloudflare และ DNS4EU จัดประเภท vendasbradescosaude.com.br ว่าเป็นฟิชชิง หน้าเว็บธนาคารปลอม คาสิโน และตัวแปลงกระเป๋าเงินบนโหนดเดียวกันยังคงเป็นเพื่อนบ้านกัน
- การเลียนแบบ trusted-edge: ชื่อที่ดูคล้ายกันหรือชื่อสุ่มที่จอดไว้บน Squarespace, Cloudflare, Vercel, GitHub Pages หรือ AWS Global Accelerator URL ของ Cobalt Strike และ Mozi ในอดีตบน 198.49.23.145 เป็นผู้เช่ารายอื่นของ anycast นั้น
- ระดับความสามารถ ในบทความวันที่ 15 สิงหาคม ชื่อเหล่านี้คือตัวอย่างในบทความ Man hands หรือที่เรียกว่า Tiffany M.: การปลอมตัวเป็นกระเป๋าเงินฮาร์ดแวร์และฝ่ายสนับสนุนของกระดานเทรด, อีเมล BitcoinIRA ปลอม Dritan Kapllani Jr. John Daghita หรือที่เรียกว่า Lick โจมตีกระเป๋าเงินที่ยึดโดย U.S. Marshals Service แก๊ง Greavys, Wiz และ Box โจมตีเจ้าหนี้ Genesis รายหนึ่ง Lazarus การขโมย Bybit ในเดือนกุมภาพันธ์ 2025 UAC-0145 ซึ่งเชื่อมโยงในบทความกับ Sandworm / APT44: การสัมภาษณ์งานปลอม โดยใช้การตั้งค่า VPN เป็นช่องทางส่งมอบ Laundry Bear: ข้อมูลประจำตัวที่เชื่อมโยงกับรัสเซียโจมตีรัฐบาล กลาโหม และโครงสร้างพื้นฐานสำคัญ
- URL มัลแวร์ที่บรรทุกบนชื่อโฮสต์ release ของ GitHub ที่มี BGP origin เป็น Fastly วิธีการที่ทำแผนที่คือสินค้าบนชื่อโฮสต์ที่น่าเชื่อถือ การบล็อกคือเซิร์ฟเวอร์เสมือนที่ตามมา
- การสร้างลูกค้าเป้าหมายแบบ Snowshoe เครื่องแต่งกายคือ Policy Plug, Easy Insurance Match, Endurance และ Indigo and Destiny Mastercard LendingTree เป็นเหยื่อของส่วนท้าย NMLS ที่ถูกขโมย อีเมลและการคลิกอยู่บน NForce, AS43350 WHOIS ที่ไม่ถูกปกปิดระบุชื่อ Robert Carpino เป็นจุดหมุน ผู้ซื้อเบื้องหลังข้อเสนอ CAKE 2701 ยังไม่ทราบตัวตน
การสแกนเครือข่ายที่พักอาศัยและโฮสติ้งที่เป็นศัตรู
- QNAX ขาย VPS, RDP และคอนโซล VNC วิธีการที่ทำแผนที่บน 45.140.193.187 คือการ brute force RFB บน tcp/5900
- Pfcloud อยู่ภายในพรีฟิกซ์ Spamhaus DROP โดยมี n8n และ authentik ถูกระบุชื่อบนเน็ตนั้น บัญชีวันที่ 25 มิถุนายน วางการใช้ประโยชน์จาก UniFi OS ไว้ที่ 176.65.148.183 ใน /22 เดียวกัน รายการวันที่ 23 มิถุนายนของ CISA ระบุ CVE-2026-34908, CVE-2026-34909 และ CVE-2026-34910 ซึ่งอธิบายในบทความว่าเป็นโหลดเดอร์ระดับ Mirai
- Tamatiya และ 4vendeta การกระจายทั่วทั้งส่วนลูกค้าและส่วนปฏิบัติการ TopDNS ยังคงเป็นตัวส่งต่อ Recyber อยู่บนการ์ดเดือนสิงหาคมและไม่ปรากฏในช่วงเวลาวันที่ 3 ตุลาคม
- Ghosty 43.228.157.0/24 และ Stormcloud 94.154.43.0/24 ย่าน Mirai ถูกระบุชื่อบน URLhaus บน Stormcloud /24 แท็กเพิ่มเติม รวมถึง ApexBot และ LummaStealer อยู่ที่แอดเดรสพี่น้อง 94.154.43.203 คือแอดเดรสที่แตะล็อกเดือนตุลาคม
- Stealc, MooBot, Vidar และ XWorm ถูกระบุชื่อบนโฮสต์ 193.233 อื่น ๆ บนระบบอัตโนมัติที่แตกต่างจากสแกนเนอร์ที่ 193.233.198.28
- 46.146.238.1 โฮสต์ URLhaus ที่ตรงกันสำหรับ dropper พอร์ตสูง โดยเปิด telnet ไว้
- UniFi OS บน 195.252.206.160 การจับคู่ระดับบริการกับ SAB-067, CVE-2026-77550
- EMBNEX ต้นทาง dump แปดแห่ง embnex.com คือ CloudFront
- โครงการสำรวจในล็อกเดียวกัน: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid และ Nokia Deepfield ชื่อเน็ตที่ซ้ำในชุดการวัดผลนั้นรวมถึง SS-Net และ Amarutu
- บริการจัดการที่หันหน้าสู่อินเทอร์เน็ตบนแอดเดรสเดียว: MikroTik RouterOS, Nginx Proxy Manager, MeshCentral และ UniFi
- รายการรอหนึ่งวันบนชื่อ Dynadot ที่ใช้พร็อกซีความเป็นส่วนตัว บทความไม่ได้ระบุชื่อกลุ่ม Mystic Stealer ปรากฏเป็นภาคผนวกเดือนมิถุนายน 2023 ที่ระบุแอดเดรส anycast ของ Cloudflare เดียวกัน FanPartners และแลนเดอร์ "A little chicken" ใช้คู่เนมเซิร์ฟเวอร์ที่แตกต่างกัน
- อีเมลที่ผ่าน SPF, DKIM และ DMARC บนโฮสต์ Defense Network Information Center โดยบรรทัด From และผู้ลงนาม S/MIME แตกต่างกัน โปรแกรมในบทความคือช่องโหว่การพิสูจน์ตัวตน DMDC คลาสที่ทำแผนที่คือหน่วยงานที่ถูกแนะนำเข้ามา ณ จุดลงนามหรือก่อนหน้านั้น จดหมายแชร์ไฟล์เดือนกันยายนยังคงอยู่กับวันที่ของมันเอง
- ข้อกล่าวอ้างที่กว้างขึ้นเกี่ยวกับการอ่านข้อมูลผู้ใช้ Yandex Cloud เอกสารสนับสนุนกุญแจการเข้ารหัสแพลตฟอร์ม กุญแจลูกค้าที่ยังคงเป็น kill switch ภายในบริการกุญแจของ Yandex เอง และหน่วยความจำ guest ในฐานะหน่วยความจำปกติของกระบวนการ QEMU 87.250.250.108 ซึ่งมีชื่อว่า cloud.yandex.ru ยังคงเป็นเซสชันที่บทความ discard ไม่สามารถอธิบายได้
- เหยื่อล่อการ์ดหลายขั้นตอน: หน้า Telegraph สองหน้า, ตัวติดตามหนึ่งตัว, ชุดเครื่องมือ 22 ขั้นตอน, แบบฟอร์มชำระเงินรหัสค่าธรรมเนียม และใบแจ้งหนี้ BTCPay ที่ไม่มีการชำระเงิน ตัวอย่าง Coinbase วันที่ 15 สิงหาคม ยังคงเป็นแก๊งปลอมตัวทางโทรศัพท์ของบทความ นั่นคือ Man hands ชิ้นนี้คือหน้าเว็บ ตัวติดตาม ชุดเครื่องมือ และใบแจ้งหนี้ที่ยังไม่ได้ชำระ
