3. Çeyrek Güncellemesi | Ekim 2026 - Quant. Sec.

Quantitative Security, 31 Temmuz ile 9 Ekim 2026 tarihleri arasında, yıl ortası incelemesinin üretim araçlarını hazırladığı kamuya açık seri üzerinde çalıştı. Seri, 31 Temmuz'daki bulut menzili keşfinden 9 Ekim'deki ödenmemiş Coinbase kartı tuzağına kadar uzanıyor ve X platformunda TLP:CLEAR etiketli uzun formatlı içerikler olarak yayımlandı. Ağustos ayında yöntem içe döndü: Bir GitHub komşusu bir sağlık planı satış kimliğine çözümlendi, şirketin kendi alan adı dışsal bir hedef olarak ölçüldü ve bir yıllık operatör etiketi kayıt defterine karşı netleştirildi. Eylül ayında aynı indirgeme yöntemi bir konut güvenlik duvarına ve bir snowshoe değirmenine uygulandı; bu vakaların üzerinde durduğu platformlar ise kendi sınıflarında tutuldu. Ekim ayında bir atık günlüğü ölçüm, bilinen düşman ağlar ve şirketin kendi araçları olarak ayrıştırıldı; Yandex Compute hakkında satıcının belgelerine karşı daha geniş bir iddia ortaya kondu ve bir kart kiti, ödenmemiş kalan bir faturaya kadar takip edildi.

Her ürün, ham telemetriyi ve açık kaynakları ilişkilendirilmiş, önceliklendirilmiş ve savunmaya hazır bir sonuca dönüştürür. Bir isim yalnızca parçanın onu ilişkilendirdiği yerde eklenir. Platform, kiracı, tarama projesi ve her birini geçen imza, parçanın onlara verdiği sınıfı korur. Kapanış pozisyonu; kullanılan yöntemleri, eşlenen yöntemleri ve her birinin üzerinde durduğu grubu, kiracıyı veya sınıfı listeler.

Rapor Serisi

Artık Bulut Yüzeyi — 31 Temmuz

Yaklaşık 115 adres üzerinde gerçekleştirilen yapılandırılmış bir dış geçiş; canlı üretim ortamını, artık hizmetleri ve terk edilmiş varlıkları ayıkladı. 104.247.165.210 adresindeki Türk paylaşımlı barındırma hizmeti (silaoglu.com, banner'ı mt-rohan.guzelhosting.com) eksiksiz bir posta ve web yığını sunuyordu: Pure-FTPd, Dovecot, Exim, MySQL ve LiteSpeed; bunların yanında kimlik doğrulamalı SOCKS5 ve HTTP proxy'leri ile kısa ömürlü sertifikalar yer alıyordu. En büyük hacim Tencent ve Aceville alanındaydı ve sıkı biçimde filtrelenmişti. Yanıt veren azınlık ise artık yüzeydi: 81 numaralı portta Nginx Proxy Manager, /arena altında canlı bir Next.js uygulaması, yüksek portlarda kimlik doğrulamalı proxy'ler, dahili tarzda ana bilgisayar adlarına sahip Windows Uzak Masaüstü ve hâlâ eskiyen Jetty tarafından sunulan bir Dragon Raja oyunu dahil olmak üzere Endonezya ve Vietnam oyun markalarına ait bir GENIEX eSIM markasının kalıntı sertifikaları. Tek bir Tencent adresinde bulunan Laos bağlantılı küçük bir küme, zayıf bir kamusal ayak iziyle Çince tıp estetiği ve ikinci el araç siteleri sunuyordu. Ürün, yıl ortası incelemesinin Google'ın uç noktasına uyguladığı ayrımın aynısıdır. Üretim hacmi ve terk edilmiş hizmetler farklı bulgulardır ve yalnızca ikincisi bir engelleme ve güçlendirme sorunudur. https://x.com/i/article/2083245764969635841

Koruyucu İstihbarat Etkileşimi — 1 Ağustos

Etkileşim, İran'a coğrafi konumlandırılan maskeli bir adresin Quantitative Security altyapısını ziyaret etmesiyle başladı. Bu etkileşimin sosyal mühendislikle işlenmesi bir dizi adresi yakaladı ve ziyaretçi altyapısını toplayan amaca özel tasarlanmış bir site aracılığıyla genişletildi. Yayımlanan temel çizgi şunları adlandırıyor: 65.111.5.29 ve 74.119.149.79 adreslerindeki kimlik doğrulamalı proxy'lerde Ontario, Thornhill merkezli GoCodeIT Inc.; technofaq.org için 103.255.134.61 adresinde açığa çıkmış bir CloudPanel 2.5.2; 8888 numaralı portta 152.32.169.33 adresinde Microsoft tarzı bir CodePushServer; marka etrafında dolandırıcılık klonları bulunan Endonezya merkezli gerçek paralı bir kumar platformu olan rejekibet.com; 38.107.237.68 dahil olmak üzere internete açık Windows Uzak Masaüstü sistemleri; alan adının kendisi AWS'ye çözümlenen ve kapanma sürecindeki Nijerya merkezli bir sanal SIM operasyonu olan geniex.com; ve daha önce artık Tencent alanında olup ardından chukouplus.com üzerinden Zenlayer'a taşınan acmmanufacturer.com. 104.207.0.0/16 bloğundaki proxy ana bilgisayarları kimlik doğrulaması gerektiriyor, yaklaşık yedi günlük sertifikalar sunuyor ve yoklanan yönetici yollarında 404 yanıtı veriyordu. Zeus-admin dinleyicileri filtrelenmiş durumda kaldı. Açılış adresindeki bir coğrafi konum etiketi, etkileşimin başlangıç noktasıdır. Makale herhangi bir adlandırılmış devlet grubu atfetmez. Veri seti, yılın ikinci yarısı için bir temel çizgi olarak kapatıldı. https://x.com/i/article/2083388096285179904

GitHub Yük Dengeleyiciden Brezilyalı Sağlık Planı Satış Çiftliğine — 8 Ağustos

7 Ağustos'ta QuantumGuard ile yapılan bir hotspot oturumu ve bir yakalama, Seattle yük dengeleyicisi 140.82.116.3 (lb-140-82-116-3-sea.github.com) üzerinden gelen bir GitHub pull request'i ve ters IP sorgusuyla başladı. Bu adres coindream.site alan adını da barındırıyordu: Web tarafı GitHub'da, mail SPF kaydı UltaHost cp5 159.100.6.5'e yönlendirilmiş, 23 Ocak 2026'da oluşturulmuş, gizlilik korumalı kayıt sahibi ve Namecheap DNS kullanıyordu. Yakalama, sonraki vaka adreslerine giden hiçbir paket içermiyordu. UltaHost, Christian von Langermann adına kayıtlı shelleasternpetroleum.ae dahil yaklaşık 500 alan adını barındırıyordu; ayrıca gamingcomission.co, antifraud.click, aranttru.com ve pinupcasinorussia.click de listedeydi. Web portları daha sonra 2082 ve 2083 üzerindeki cPanel'e filtrelendi. 187.33.241.58 adresindeki pro114.dnspro.com.br, eksiksiz bir posta ve panel yığınını ile herkese açık MariaDB 10.11.18'i sergiliyordu.

Birincil düğüm, Bradesco, Amil, Unimed ve SulAmérica marka adlarını kullanan 2017–2025 dönemine ait Brezilyalı bir sağlık planı satış çiftliği olan 45.87.42.74 adresindeki shared.qloudhost.com'dur. Ana portföydeki WHOIS kaydı Fabiola Silva Souza, FASSO283 handle'ı ve saudeperfeita.com.br adresindeki posta kutusuna aittir. Makaledeki kamuya açık kayıtlar, 23 Şubat 2021'de açılan Mococa, São Paulo merkezli Fabiola Silva Souza Seguros Ltda şirketine ait CNPJ 40.950.276/0001-55 ile eşleşmektedir. Köprü site olan saudeperfeita.com.br, 162.241.2.92 adresinde HostGator üzerinde barınmakta, admin ve nildo WordPress kullanıcılarına sahip olup makalede Agência Unit'ten Roger Oliveira da Silva ve Leonildo Quintiliano ile ilişkilendirilmektedir. Tiago Ferreira Pena, aynı isim sunucularında bitişik bir kayıt sahibidir. Aynı düğüm sahte banka sayfalarını, casino kayıtlarını ve Paysafe ile Neosurf dönüştürücülerini de barındırıyordu. QloudHost, casino barındırma pazarlaması yapmaktadır. Paylaşılan isim sunucuları ve saudeperfeita posta kutusu, sağlık planı operatörlerini birbirine bağlar. Düğümdeki ortak kiracılık, bu kimliği finansal veya kumar kiracılarına genişletmez. vendasbradescosaude.com.br, OpenDNS, Cloudflare ve DNS4EU tarafından oltalama (phishing) olarak sınıflandırıldıktan sonra bile qloud adresinde kalmaya devam etti. Yazıda açık bırakılan konular: Tam registro.br portföyü, orijinal pull-request URL'si ve von Langermann üzerindeki ikincil pivot noktaları. https://x.com/i/article/2085939414463631360

Dışsal Hedef Olarak Kendi Alan Adı — 15 Ağustos

9-14 Ağustos tarihleri arasında quantitativesecurity.org, dışarıdan bir avcının kullanacağı aynı açılış hamleleriyle incelendi. Kaynak sunucu temizdi. Barındırma, Squarespace çok kiracılı anycast altyapısına sahipti; NS1'in p07 seti artı Squarespace DNS, müşteri adlarında Let's Encrypt ve *.squarespace.com için bir DigiCert sertifikası taşıyan yalın adreslerden gelen 403 yanıtı bulunuyordu. Server başlığı Squarespace derken nmap bir Go net/http implementasyonu bildirdi. Bu ikili, iki katmanda tanımlanan tek bir uç noktadır. Yaklaşık 1.900 .academy alan adı bu platformu paylaşmaktadır. Gophish sınıfı göstergeler test edildi ve mevcut değildi. QuantC ve QuantumGuard, bu öz keşfi platform gürültüsü olarak kaydetti ki sensörlerin ihtiyaç duyduğu asıl gerçeklik de budur. Maddi artık risk kimliktir: MX yok, SPF yok, DMARC yok ve Eylül 2026'da süresi dolacak bir kayıt. Posta kanalı imzasız olan temiz bir kaynak sunucu, yine de bir saldırı yüzeyidir. https://x.com/i/article/2088437251508436992

Yetenek Seviyeleri — 15 Ağustos

Tamamlayıcı bir makale, suç çetelerini devlet destekli aktörlerden taktiklerine ve kümülatif dolar miktarlarına göre ayırır ve hiçbir şey almayan ifşa çalışmaları için üçüncü bir kategoriyi saklı tutar. Alt uçta makalenin eşlediği örnek, Man hands olarak bilinen ve Tiffany M. olarak da anılan bir arayıcıdır: Donanım cüzdanı ve borsa desteği taklidi, en az 5 milyon dolar, Trezor ve Coinbase, sahte BitcoinIRA postaları, iş ortakları tarafından sağlanan paneller, zayıf operasyonel güvenlik. Bu rakam, makalenin o arayıcı için hesapladığı toplam hırsızlık miktarıdır. Aynı yazıdaki orta seviye örnekler ise yaklaşık 19 milyon dolarla Dritan Kapllani Jr. ve ABD Mareşaller Servisi'nin el koyduğu cüzdanlardan 46 milyon doların üzerinde kazanç sağlayan, makalede şüphelenilen daha geniş faaliyetleri 90 milyon doları aşan ve daha sonra tutuklanan John Daghita (Lick lakaplı) olarak sıralanır. Daha üst düzey suç örneği, tek bir Genesis alacaklısından yaklaşık 243 milyon dolar elde eden Greavys, Wiz ve Box çetesidir. Devlet destekli örneklere gelince: Lazarus ve yaklaşık 1,5 milyar dolarlık Şubat 2025 Bybit hırsızlığı; makalede Sandworm / APT44 ile ilişkilendirilen, Ukraynalı BT profesyonellerine karşı sahte iş görüşmeleri ve dağıtım aracı olarak bir VPN yapılandırması kullanan UAC-0145; ve hükümet, savunma ve kritik altyapılara karşı ele geçirilmiş kimlik bilgilerinin Rusya bağlantılı kullanımı olarak tanımlanan Laundry Bear. https://x.com/i/article/2088672299868377088

.academy Mahallesi — 17 Ağustos

Squarespace connect dörtlüsünün ters IP sorgusu 2.020 komşu alan adını derledi. 1.898'i .academy ile bitiyordu ve bunların 1.767'si hâlâ yalnızca AS53831'e ait 198.49.23.144, 198.49.23.145, 198.185.159.144 ve 198.185.159.145 adreslerine çözümleniyordu. Tüm sette elli dört benzersiz adres göründü. Örneklenen kırk Squarespace alan adının tamamı Squarespace başlığını ve bir crumb çerezini döndürdü. Cobalt Strike ve Mozi yolları dahil olmak üzere 198.49.23.145 üzerindeki kötüye kullanım raporları ve geçmişe dönük çevrimdışı zararlı yazılım URL'leri, makalede paylaşılan uç noktadaki diğer kiracılara atfedilir. Sınır çizgisi marka adı ve dört resmi connect adresidir. Okul adları engelleme listesinin dışında kalır. Ana bilgisayar adı yerine adresi temel alan itibar bir platform maliyetidir ve bu şekilde belgelenmiştir. https://x.com/i/article/2089015652753502208

Kimlik Katmanı — 17 Ağustos

Aynı alan adının kayıt operatörü ailesi, çift isim sunucusu ve dört anycast adresi meşru temel çizgidir ve bir taklitçinin kopyaladığı yüzey de budur. Squarespace, Cloudflare, Vercel, GitHub Pages ve AWS Global Accelerator zaten itibarı, başlıkları ve sertifika yetkililerini taşır. Yabancı bir Ana Bilgisayar kapalı kalma durumunda başarısız olur, bu nedenle basit bir adres engellemesi gürültülüdür. Makalenin adlandırdığı kaldıraçlar kayıt operatöründe bulunur: Bir transfer, isim sunucu değişikliği, iletişim hijyeni ve eski bir kayıt; ardından güvenilir uç noktada park edilmiş ya benzeyen bir ad ya da rastgele bir ad. Tamamlayıcı sayımdaki yirmi yedi aykırı .academy apex alan adından on ikisi Squarespace Domains'te kayıtlıydı ve başka bir yerde barındırılıyordu. Manipüle edilen katmanla eşleşen kontroller şunlardır: Kayıt operatörü kilidi, platform çok faktörlü kimlik doğrulaması, benzeyen adlarda Certificate Transparency ve alan adının posta göndermediği durumlarda hard-fail SPF kaydı. https://x.com/i/article/2089012676634738688

T-Mobile Olarak Kaydedilen Bir Verizon Tahsisi — 23 Ağustos

5 Ağustos'ta kendi raporumuz, 2600:1010:b204:: istemci önekini T-Mobile tarzı olarak etiketledi. Cihaz her zaman yalnızca Verizon olmuştur, orijinal sahibindedir. ARIN; NetName WIRELESSDATANETWORK, organizasyon Verizon Business (MCICS), 6 Nisan 2010'da kayıtlı, 2600:1000:: ile 2600:1017:ffff:: arasını kapsayan bilgileri gösterir. Zayıf asname ve coğrafi konum beslemeleri, Ekim 2025'ten o raporun yayımlandığı güne kadar T-Mobile etiketini taşıdı. 21 Ağustos'ta yapılan canlı bir çekim Team Cymru AS6167 CELLCO-PART ve RIPE AS22394 CELLCO sonuçlarını döndürdü. Tahsis yer değiştirmemişti. Yazıyla birlikte yayımlanan çalışma düzeni, bu serinin geri kalanı için geçerli olan düzendir: Önce aracı, sonra kiracıyı, ardından kayıt defterini ilişkilendir. https://x.com/i/article/2091560316878671872

Sıralanmış Bir 2023 Envanteri — 23 Ağustos

2023'ün başlarında New York'taki bir Charter konut yolundan alınan iki yüz doksan dört ekran görüntüsü, sıralanmış bir set olarak ileriye taşındı: Açık bir T1-T5 ölçeğinde yaklaşık 1.450 IPv4 adresi, bunların yaklaşık 1.266'sı kamuya açık. 2026 geçişi, herhangi bir şeyi açık bırakmadan önce hizmetleri kapattı. 103.235.46.191, Baidu'nun Hong Kong analitik uç noktası olan hm.baidu.com, AS55967'dir. 23.82.31.230, Leaseweb üzerindeki TradingView'dir. Boeing aralığında bir adres yalnızca belge amaçlı bir listeye yerleştirildi. Boeing'in parça iş koluna yönelik bir LockBit sızıntısının daha sonra kamuya yansıyan raporları, o belge satırıyla kurumsal bir adı paylaşır ancak hiçbir oturumu paylaşmaz. Charter'ın Şubat 2023 ses kesintisi, Temmuz 2023 Storm-0558 açıklamaları, daha sonraki Salt Typhoon raporları ve Leaseweb'in 22 Ağustos 2023 tarihli kendi bildirimi bağlam pencereleridir. https://x.com/i/article/2091569041584619520

Fastly Üzerinde GitHub — 27 Ağustos

QS-NetHarden bir telefon tethering bağlantısında çalıştırıldı. Yakalama başlangıcı 26 Ağustos 09:08 PDT idi. NetCloak yeni bir Windows kimliği sundu. Artillery sahte hedefleri yasak kapalıyken aktifti. Phantom-QS Firefox 128'i döngüye aldı. O sabah honeypot günlüğündeki hiçbir şey uzak bir isabet değildir. Operatör DNS'tir: Sohbet proxy'si, GitHub'ın yük dengeleyicisi, Actions, Copilot ve ardından release-assets.githubusercontent.com. Kapsayıcı önek 185.199.108.0/22, RIPE US-GITHUB-20170413, organizasyon GitHub, BGP kaynağı AS54113 Fastly'dir. Fastly'nin kendi yayımlanan adres listesi bunu içermez. .133 seti içerik toplama alanıdır. .154 seti sürümler ve paketlerdir. Actions ön kapısı Microsoft 13.107.42.0/24 ve 13.107.43.0/24'tür ve pipelines.actions o geçişte 13.107.43.16'ya çözümlenmiştir. URLhaus, release-assets adı üzerinde zararlı yazılım URL'leri taşır ve Harden-Runner bunu işaretlemiştir. Ana bilgisayar adı kamyonun kendisidir. Aktör ise kargo ve GitHub olmayan bir sonraki atlama noktasıdır. Takip eden sanal sunucuyu engelleyin. Yaprak düğümü, Fastly toplama alanını, Azure Front Door'u, bölgesel anlık görüntüleri ve sensörü olduğu gibi bırakın. https://x.com/i/article/2093021792923508736

Tek Bir Snowshoe Lead Değirmeni — 29 Ağustos, 7 Eylül'de devam etti

27 Ağustos'ta tek bir gelen kutusu 72 istenmeyen otomatik sigorta ve kredi kartı mesajı, 156 benzersiz bağlantı ve 71 From alan adı aldı. Konu kümeleme üç çift kopya üretti. Değişmeyen unsur, her gövdede ve her bağlantıda bulunan e6jbv4z belirtecidir. Tıklamalar, eski bir apex üzerinde iki harfli bir etiket ve /r artı onaltılık rakamlar şeklinde bir PHP yolu kullanır. Policy Plug, 72 mesajın 51'ini oluşturur. Easy Insurance Match, Endurance ve Indigo ile Destiny Mastercard birer kostümdür. Büyük bir alt küme, LendingTree'nin NMLS numarası 1136'yı ve bir Charlotte sokak adresini kopyalar. LendingTree, alt bilgi hırsızlığının kurbanıdır. Posta ve tıklamalar NForce, AS43350 üzerinde, 185.47.200.0/24 ve 185.47.203.0/24 bloklarında yer alır: nginx, PHP 7.4.33, 443 kapalı, 25 filtrelenmiş. Alan adları eski Name.com envanteridir. Bir HEAD isteği genel bir nginx 403 yanıtı alır. Tarayıcı benzeri bir GET isteği, taobmaets.com üzerinde a=44 ve c=2701 teklifli bir CAKE açılış sayfasına veya keycanvascanvas.com üzerindeki bir abonelik iptali sayfasına 302 yönlendirmesi alır. Office dosyası olarak adlandırılan ekler düz metindir. ClamAV temiz çıktı. Bir Host başlığı olan mediaignorance.com, /24 bloğundaki yedi adresten aynı 52.667 baytlık gövdeyi döndürdü. Dört apex alan adındaki sansürsüz WHOIS kayıtları Robert Carpino adını verir ve makalelerde bir pivot noktası olarak ele alınır. CAKE teklifinin arkasındaki alıcı tespit edilememiştir. 7 Eylül'de aynı belirtecin ve aynı yol yapısının, otomatik sigorta ve Indigo kostümlerinin daha fazla hasadı, halihazırda AT&T'nin veritabanında mevcut olduğu şeklinde yayımlandı. Gönderi paylaşılan bir isim sunucu setini iddia eder ancak bunu yazdırmaz. Savunmacı eylemi; belirteç, yol ve iki NForce öneki olup abuse@nforce.com adresine ve kayıt operatörüne bildirilmiştir; çalınan NMLS satırı ise bir alt bilgi hırsızlığı olarak tanımlanmıştır. https://x.com/i/article/2093528643779825664 https://x.com/i/article/2093532720119083008 https://x.com/i/article/2097103637160022017

Konut Güvenlik Duvarı, İlk Geçiş — 5 Eylül

Bir AT&T konut ağ geçidi günlüğü, 26 dakikaya yayılmış 296 olay, 188 benzersiz adres ve bunların 169'u kamuya açık olacak şekilde veri içeriyordu. Bu dilim, kamusal bir IPv4'ün arka plan radyasyonudur. 31 Ağustos'tan gelen kartlar halihazırda QNAX, Recyber, Infrawatch, Xpanse, Censys, Pfcloud ve CHINANET'i adlandırmıştı. Üç bulgu yeniydi. QNAX 45.140.193.187, 21 dakika içinde WAN'a on kez vurdu. Makale, tamamı düşmanca olan 170 kaynaktan 408 AbuseIPDB raporuna ve RFB 003.008 kullanarak tcp/5900 üzerinde yapılan bir VNC kaba kuvvet saldırısına atıfta bulunur. qnax.sh bu VPS, RDP ve konsol-VNC ürününü satar. Spamhaus DROP ağı içinde adlandırılan ilk gelen trafik, saat 11:58'de 176.65.148.0/22 bloğundaki Pfcloud 176.65.149.233'tü. n8n.pfcloud.io 176.65.148.168 üzerinde yer alır. sso.pfcloud.io kendini authentik olarak tanıtır. 79.124.58.0/24, 79.124.49.0/24 ve 78.128.114.0/24 bloklarına yayılan Tamatiya ve 4vendeta trafiği, ters adı ip-58-90.superbit.host ve takma adı urlforward.topdns.com olan 79.124.58.90'ı içerir; bu da 143.198.68.197 adresindeki ns-usa.topdns.com ile aynı DigitalOcean adresidir. topdns.com üzerinde yapılan pasif bir genişletme, çoğu marka çakışması olan ve neredeyse tamamı adrese sahip olmayan 517 etiket döndürdü. İsim sunucusu engellenmemiş durumda kalır. Öncelikli ana bilgisayarlar 45.140.193.187, 79.124.58.18, 79.124.58.90, 79.124.49.90, 78.128.114.46 ve 78.128.114.162'dir. İsteğe bağlı ağlar, Tamatiya müşteri ve operasyon dilimleri ile Pfcloud 176.65.148.0/22 artı 204.76.203.0/24'tür. Onlarla birlikte yalnız bırakılanlar: TopDNS, CriminalIP toplayıcıları, Cloudflare uç noktaları, sayım tarayıcıları ve Telepoint 78.128.42.0/24. Yazıyla birlikte yayımlanan kötüye kullanım iletişim adresleri abuse@qnax.com.br ve noc@4vendeta.com'dur. Sensör bir hotspot üzerindeydi. LAN taranmadı. Yazı, ilk yarı serisindeki 24 Temmuz Tamatiya notuna dayanmaktadır. 4 Eylül tarihli bir web sitesi işaretçisi seri başlığını taşır ve şirket sitesine yönlendirir; ölçümün X kaydı bu makale ve bir sonrakidir. https://x.com/i/article/2096029788624523264

Konut Güvenlik Duvarı, Kalan Kısım — 6 Eylül

29 Ağustos ve 5 Eylül pencereleri birlikte 530 benzersiz olay ve 270 gelen kamusal adres üretti. Bu ikinci yazı, sayım tarayıcıları ve adlandırılmış ticari gözlemciler bir kenara bırakıldıktan sonra kalan 105 adrestir. Kontrol edilen 108 adresin yetmiş dördü o gün kamusal bir beslemede göründü. Hiçbiri Feodo, SSLBL, ThreatFox veya Emerging Threats'te yer almadı. Yirmi biri, Pfcloud /22 dahil olmak üzere 4 Eylül tarihli Spamhaus DROP öneklerinde bulunuyordu. Makale, o önekteki 176.65.148.183 adresinden başlatılan bir UniFi OS istismarına dair 25 Haziran tarihli bir hesaba ve CISA'nın 23 Haziran'da CVE-2026-34908, CVE-2026-34909 ve CVE-2026-34910 eklemesine atıfta bulunur. Ghosty 43.228.157.0/24 ve Stormcloud 94.154.43.0/24, aynı yazıda URLhaus üzerindeki Mirai mahalleleridir. Kalan en gürültülü gelen adresi hâlâ QNAX 45.140.193.187 idi; makalenin sayımı 412 rapor olup son görülme tarihi 1 Eylül'de 5000 numaralı porttaydı. 46.146.238.1, telnet'i açık olan yüksek portlu bir dropper için tam bir URLhaus ana bilgisayar eşleşmesidir. 195.252.206.160 üzerindeki UniFi OS'nin adres beslemesinde isabeti yoktu ve 26 Ağustos tarihli SAB-067, CVE-2026-77550 ile hizmet sınıfı eşleşmesidir. EMBNEX 16.5.0.0/24 sekiz döküm kaynağıdır; embnex.com web sitesi CloudFront üzerindedir. İlgisiz ağlardaki birebir aynı kısa HTML bloğu bir batırma (sink) sayfasıdır. Tavsiye, bu ağların engellenmesidir. https://x.com/i/article/2096732079388299264

Bir Yönetim Düğümüne Hotspot Çıkışı — 14 Eylül

Bir iPhone hotspot'undaki kişisel cihazdan gelen trafik, static.vnpt.vn ve rdp.cdmt.vn olarak adlandırılan 113.176.118.150 adresine ulaştı. Adres; MikroTik RouterOS 6.49.13, 80 numaralı portta Nginx Proxy Manager, 443'te ada dayalı HTTPS, 5009'da kamuya açık MeshCentral girişi, 8443'te kamuya açık UniFi girişi, 8080 ve 8090'da iki SSH arka plan programı ve d3azdm1q0gvo54.cloudfront.net CloudFront adını içeren 8088'de tanımlanamamış CONNECT tarzı bir hizmeti sunar. Yayımlanan hipotez, bunun internete açık bir ağ geçidi ve yönetim düğümü olduğudur. Kişisel bir hotspot'tan buna doğru yapılan çıkış, bilinen bir uygulama, kullanıcı veya cihazla eşleşene kadar yetkisiz kabul edilir. https://x.com/i/article/2099540826854715392

Zayıf Bir Bekleme Listesi — 22 Eylül

uythjmnglk.xyz, 14 Eylül 2026'da Dynadot'ta, gizlilik proxy'siyle, phoenix ve wilson Cloudflare isim sunucu çifti üzerinde ve DNSSEC olmadan kaydedildi. Yalnızca apex ve www yanıt veriyor. Yerel ağın dışında uygulama, "Listedesiniz" başlıklı bir bekleme listesiydi ve bir e-postayı v:897qvxac7fny03ac belirteci altındaki bir abonelik yoluna gönderiyordu. AT&T ağ geçidinde aynı ad, nedeni zararlı yazılım olan kısa bir ara sayfa döndürdü. O sayfa kaynak değil, taşıyıcıdır. Adın önündeki iki Cloudflare adresi, Haziran 2023 Mystic Stealer ekinde yer almaktadır. Bunlar paylaşımlı anycast'tir ve o ek ile bu kayıt arasında üç yıl vardır. Aynı kayıt operatöründeki aynı güne ait casino ve 4D alan adları farklı bir isim sunucu çifti kullanır. Daha eski bir çift, bir FanPartners bağlı kuruluş yoluna bağlı "A little chicken" açılış sayfasını barındırır. Bu kümeler bu tohumdan ayrı tutulur. Cloudflare adresleri herhangi bir kampanya engelleme listesinden uzak tutulur. https://x.com/i/article/2101850617815908352

CAC ve DEERS Bildirimleri — 28 Eylül

Kişisel bir Gmail hesabına CACExpiration-DoNotReply@mail.mil adresinden, 9 Mart 2026 ve 7 Mayıs 2026 tarihlerinde iki bildirim ulaştı. Mayıs mesajı SPF, DKIM ve DMARC kontrollerini geçti. DKIM d=mail.mil, seçici EEMSG2021v1a, politika reject idi. Mesaj tanımlayıcısı 214.24.21.199 adresindeki UHIL19PA53.eemsg.mail.mil adını belirtir. S/MIME imzalayıcısı benefits.notifications@mail.mil olup DOD SW CA-83 tarafından verilmiştir ve 15 Ekim 2025'ten 15 Ekim 2028'e kadar geçerlidir. Gmail'in uyarı bandı, From alanı ile imzalayıcının farklı olduğudur. İki posta kutusu farklıdır ve bu fark uyarı bandını üretmek için yeterlidir. Gövdeler, iki kimlik belgesinin eksik olduğunu söyler ve alıcıya bunları yüklemek için RAPIDS'i ziyaret etmesini belirtir; Mart'ta 120 günlük, Mayıs'ta ise 6 Temmuz'a kadar sürecek 60 günlük bir geri sayım vardır. Hiçbir belge gönderilmedi. Kart çalışmaya devam etti.

Makalenin atıfta bulunduğu resmi program, Ocak 2026'da DMDC bildirimleriyle başladı. Ağustos ayına kadar yaklaşık 215.000 aktif ve yedek personel uyumsuz durumdaydı. Ordu yaklaşık 111.000 kartı incelemişti ve 2 Eylül itibarıyla hiçbiri iptal edilmemişti. Yaklaşık 21.500 Deniz Piyadesi Temmuz ayında hâlâ eksikti. 8 Eylül'de yayımlanan 3 Eylül tarihli resmi bir açıklama, eksik belgeler için herhangi bir dolandırıcılık veya ihlal iddiası olmaksızın idari bir kayıt güncellemesini tanımlar. MARADMIN 393/26, şahsen ibraz edilecek iki orijinal belge gerektirir. Mart ayındaki gövde ise yükleme yapılmasını söylüyordu.

Makalenin sözlük sütununda tuttuğu sınıf, imzalayıcıda veya ondan önce tanıtılan bir gövdedir, bu nedenle kontroller hâlâ geçerlidir. Gmail'in doğrulamasından sonra yeniden yazım söz konusu değildir, çünkü DKIM geçmiştir. Ne orijinal mesaj dosyası ne de imza bölümü eldeydi. Posta sunucusu AS345, 214.24.21.0/24'tür; 1998'den kalma bir Defense Network Information Center bloğudur. www.cac.mil, Akamai üzerinde bir isimdir; 23.62.46.164 ve 23.62.46.182 adresleriyle yanıt verir, 403 döndürür ve o kenar düğümündeki sertifika www.cac.mil ile birlikte pentagon, defense ve department ad kümesini taşır. DMDC uygulamaları idco, myaccess ve pki, 214.16.194.24'teki pki.dmdc.osd.mil dahil olmak üzere farklı 214 adreslerinde AS27064 içinde çözümlenir. Posta öneki ile bu uygulama önekleri arasında hiçbir şey paylaşılmaz. Bir coğrafi konumlandırma ürünü 214 sorgularını Columbus, Ohio'ya yerleştirir. Bir diğeri ise Rose Hill, Virginia'ya yerleştirir. Bu tek bir tahsistir.

Üç bitişik kayıt kendi kulvarlarında kalır. 20 Temmuz tarihli email.usfhp.net üzerindeki bir pazarlama sayfası, sıradan HubSpot sınıfı ölçümleme içeren gerçek bir US Family Health Plan mülküdür. 18 Eylül tarihli bir dosya paylaşım mektubu, 16 Temmuz'da keşfedilen ve Ekim 2025'ten 16 Temmuz 2026'ya kadar süren şifrelenmemiş erişimi tanımlar; makale bunu bu From satırıyla ilişkilendirmez. 4 Eylül tarihli bir IDScan bildirimi müşteri bulut hesaplarıyla ilgilidir. Yaklaşık dört milyonluk ve 60 milyonluk kayıt sayıları, makalede mağdur toplamları olarak reddedilir. https://x.com/i/article/2104388574397554688

On Yedi Dakikalık Discard Kayıtları — 3 Ekim

3 Ekim'de 05:55 ile 06:12 arasında basılan bir konut tipi discard dışa aktarımı 234 satır, 110 yabancı adres ve 166 isabet artışı içeriyordu. Her satır bir düşüştür ve dışa aktarımda hedef bağlantı noktası yoktur. Pencereyi yaklaşık beş saat kaydıran daha sonraki bir okuma, farklı bir saatteki aynı olaydır. 57 tarayıcı isabetinden 51'i internet genelinde bilinen tarama projeleridir: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid, Nokia Deepfield ve komşuları. Ağustos ayından 4vendeta 79.124.49.90, SS-Net 80.94.95.226, Ghosty 43.228.157.10 ve Amarutu 89.42.231.200 dahil olmak üzere on tam adres tekrarlanmaktadır. QNAX ve Recyber bu pencerede yoktur. Bilinen ağların yeni üyeleri arasında Pfcloud 204.76.203.4 ve Stormcloud 94.154.43.203 yer alır. Stormcloud /24 üzerindeki kötü amaçlı yazılım adları kardeş adreslerde bulunur. Günlüğe dokunan adres discard'tır ve aile adı aslında dosyalandığı kardeş adreste kalır.

Sekiz UDP politika düşüşü, izlenen ağın gönderdiği paketler olan 20 Eylül proxy listesi kontrolünün kuyruğudur. İki Amazon geçersiz paket satırında tehdit listesi isabeti yoktur. Aynı sabah yapılan ayrı bir tether zenginleştirmesi sıradan taşıyıcı ve içerik yoludur: Verizon, Comcast, Lumen, Cogent, Google ve Cloudflare. Kendini açıklamayan oturum, cloud.yandex.ru olarak adlandırılan 87.250.250.108'dir. Yeni liste eşleşmesindeki tek Spamhaus DROP isabeti, 140.222.0.0/16 içindeki 140.222.19.75 ve 140.222.19.77'dir; SBL693942, eski NSFNET alanı üzerinde bir ele geçirme modeli olarak okunmuş ve bir ana bilgisayar engelleme listesinin dışında bırakılmıştır. Ölçüm projelerini, kurşun geçirmez tarayıcıları ve operatörün kendi araçlarını tek bir gösterge listesinde birleştirmek sahte bir olay üretir. https://x.com/i/article/2106513298426597376

Yandex Compute, Kamu Kayıtlarına Karşı — 4 Ekim

Dolaşımdaki açılış iddiası, Rus devletinin Yandex Cloud misafirlerini anahtar muhafazası, hipervizör erişimi, sessiz disk klonları, sabitlenmiş çekirdek haritası, özel bir depolama arka plan programı ve zamanlayıcıdaki yasal dinleme beslemesini birleştirerek okuduğunu söylüyordu. Makale bu iddiayı Yandex'in kendi işlem belgelerine ve bu ana bilgisayarda zaten bulunanlara karşı konumlandırır. Varsayılan disk şifrelemesi bir platform anahtarı kullanır. Müşteri anahtarı hâlâ Yandex'in anahtar hizmetinde yaşar ve onu devre dışı bırakmak bir öldürme anahtarıdır. Misafir belleği, QEMU işleminin sıradan belleğidir, dolayısıyla ana bilgisayarın operatörü güven sınırı açısından çalışan misafirle aynı taraftadır. Libvirt yoktur. Canlı taşıma, özel ana bilgisayarlar ve QEMU derlemelerinin aynı ana bilgisayarda değiştirilmesi yayımlanmış ürün davranışlarıdır. Bir host-id sabitlemesi canlı taşımayı devre dışı bırakır ve zaten örneği güncelleyebilen bir yetkili tarafından işlem API'si üzerinden yazılır. Misafir arayüzü bu yazma işlemini taşımaz. Alıntılanan sayfaların göstermediği şey, hipervizör kontrol soketine, zamanlayıcı seçimlerine veya ana bilgisayar yakınlık kurallarına yönelik bir yasal dinleme aboneliğidir; ayrıca daha geniş makaledeki sessiz klonu, sabit çekirdek haritasını, özel arka plan programını veya tünellenmiş yolu da göstermezler. Yandex içeren yerel ters adlar envanterlendi. 45.87.42.74, Ağustos ayındaki qloudhost satış çiftliği olmaya devam ediyor, farklı bir adla. Discard parçasındaki açıklanamayan oturum olan 87.250.250.108, o önceki tabloda yoktu. Kayıt, bulut nesnelerindeki Yandex.Cloud LLC'yi kurumsal ağdaki YANDEX LLC'den ayırır. Tamamlanmış API sertifikaları Yandex, Moskova, GlobalSign'dır. Bir reklam adı hâlâ 77.88.21.179'da sarkan bir ters işaretçiye sahiptir. https://x.com/i/article/2106548730942152704

Ödenmemiş Bir Coinbase Card Tuzağı — 9 Ekim

İki Telegraph sayfası, telegra.ph/NCO-09-27 ve graph.org/UIN-10-05, tek bir devam et bağlantısını paylaşır. İkisi de 149.154.164.13 üzerinde durur. 27 Eylül ve 5 Ekim'de yayımlandılar. Bağlantı 107.189.20.230 üzerindeki rss2.sayler.at/go/337413/z274x264'tür ve 31.59.121.53 üzerindeki 97ee1.ralind.at'de bulunan bir Coinbase Card kitine yönlendirir. Kitin kendi betiği, dizinden hızlı ödeme sayfasına kadar 22 adımı adlandırır. 6 Ekim tarihli orijinal bir gönderi bu sayıyı belirtir ve aynı 22 dosya adını basar. Sayfalar 39.437,16 $ bakiye gösterir. Betikler en son 26 Ağustos 2026'da değiştirildi. On bir ücret kodu adlandırıldı. Yalnızca 58 $'lık bankalararası satır olan y2a4u234 takip edildi ve 31.57.29.11'deki bitpays.at'e, 4374w2 akışına yönlendirildi. 9 Ekim'de 03:45 GMT'de yapılan sentetik bir gönderim, 172.81.177.1'deki btcpay369329.lndyn.com üzerinde bir BTCPay faturasına (6QTpVwNe9CynFTXZFJE8Yk) yönlendirme döndürdü. Durum: Yeni. Elli sekiz dolar, 0,00070469 BTC, kur 82.306,45 $, adres bc1qexqsudur4860kva5789qcvkmpdk4j9wrfrsmzy. Ödeme kontrolü sıfır döndürdü. Hiçbir ödeme gönderilmedi.

ip-api kiti Paris'e, ödeme formunu ise Riga'ya yerleştirir. QuantumGuard ve kaynak kayıt defteri 31.57.29.0/24'ü Birleşik Arap Emirlikleri'ne, AS56971'e yerleştirir. sayler.at, ralind.at ve bitpays.at DNSPod kullanır. SOA seri numarası 1789107920 olan nesne üzerindeki 6 Ekim notu, o nesneyi AS14956 altında Zaandam'a, RouterHosting ve FranTech'e yerleştirir. 9 Ekim makalesi bu yerleşimi tekrarlamaz. Telegraph'ın ad sunucuları, graph.org için GoDaddy'nin ad sunucuları ve DNSPod adresleri paylaşımlı DNS'tir. 144.31.93.214 bu zincirin dışındadır. Hem 15 Ağustos makalesi hem de bu tuzak Coinbase kelimesini kullanır. Makaledeki örnek bir telefon kimliğine bürünme ekibidir. Bu parça ise bir sayfa, bir izleyici, bir kart kiti ve ödenmemiş kalan bir faturadır. https://x.com/i/article/2108597864108871681

Kapanış Konumu

Seriyi iki liste kapatıyor. İlki Quantitative Security'nin kullandığı yöntemlerdir. İkincisi, parçaların haritaladığı ve her birinin üzerine koyduğu grup, kiracı veya sınıfla birlikte yöntemlerdir. Makale örnekleri 15 Ağustos makalesinin altında kalır. Kardeş etiketler kardeş adreste kalır. Tarama projeleri ölçüm kovasında kalır. Bir parçanın hiçbir grubu adlandırmadığı yerde, satır kiracıda, ağda veya sınıfta biter.

Kullanılan yöntemler

• Banner'lar, sertifikalar ve dinleyen hizmetler üzerinde yapılandırılmış dış geçişler; terk edilmiş varlıkların üretim hacminden ayrılmasıyla.
• Sosyal mühendislikle açılan, ardından açık kaynak zenginleştirmesiyle genişletilen bir ziyaretçi etkileşimi. Yalnızca keşif.
• Ters IP, WHOIS ve kayıt defteri çekimleri, posta kimlik doğrulama kayıtları ve bu kayıtların adlandırdığı adreslere karşı kontrol edilen bir paket yakalama.
• Şirketin kendi alan adının, dışarıdan bir avcının kullanacağı aynı açıklıktan geçirilmesi; öz keşfin sensör gürültüsü olarak tutulması.
• ARIN, RIPE ve Team Cymru'ya karşı kontrol edilen yumuşak coğrafi konumlandırma ve asname beslemeleri. Sıra şöyledir: araç, sonra kiracı, sonra kayıt defteri.
• Herhangi bir kamu olayıyla ilişkilendirilmeden önce hizmet kimliğine kapatılmış, sıralanmış bir geçmiş envanteri.
• Şirketin kendi oturumlarının uzak isabetlerden ayrı tutulması için okunan yol üzeri DNS ve bal küpü günlükleri.
• Değişmez bir belirteç üzerinde azaltılmış posta, tarayıcı GET isteğine karşı ayarlanmış bir HEAD isteği ve önek boyunca hash'lenmiş tek bir paylaşımlı sanal ana bilgisayar gövdesi.
• AbuseIPDB, Spamhaus DROP, URLhaus, Feodo, SSLBL, ThreatFox ve Emerging Threats'e karşı azaltılmış konut tipi discard'lar; pasif ad genişletmesi ad sunucusunu engelleme listesinin dışında bırakır.
• Bir ilişkilendirme olarak tutulan hotspot çıkışı ve ilk oturumdan ayrı zamanlanmış takip ölçümü.
• Kayıt şirketi, ad sunucusu çifti ve taşıyıcı ara sayfasının kaynak içeriğinden ayrılması.
• SPF, DKIM, DMARC ve S/MIME'nin birlikte okunması ve imzalanmış orijinal elde olmadığında bir sınıfta tutulması.
• Tarama projelerine, tekrarlayan düşman ağlara, şirketin kendi paketlerine ve kendini açıklamayan oturuma bölümlenmiş bir discard dışa aktarımı.
• Daha geniş bir iddiaya karşı okunan satıcı işlem belgeleri; desteklenmeyen maddelerin bulgunun dışında bırakılması.
• İzleyici, kit, bir ücret kodu ve sentetik ödenmemiş bir fatura üzerinden takip edilen bir tuzak zinciri. Hiçbir ödeme gönderilmedi.

Haritalanan yöntemler ve her birinin adı

• Artık bulut hizmetleri ve kısa ömürlü kimlik doğrulamalı proxy'ler. Artık markalar GENIEX, Dragon Raja dahil oyun başlıkları ve Laos bağlantılı ince bir medikal estetik ile ikinci el araç siteleri kümesidir.
• Ziyaretçi altyapısı hasadı. Açılış adresi İran'a coğrafi olarak konumlandırıldı ve makale etiketi orada bırakıyor. Temel çizgi Thornhill, Ontario'dan GoCodeIT Inc.'i adlandırır; rejekibet.com ve o marka etrafındaki dolandırıcılık klonları; ve kapanış aşamasındaki geniex.com.
• Marka adlı sağlık planı satışları ve paylaşımlı barındırmada zaten kimlik avı olarak sınıflandırılmış bir site. İlişkili adlar kayıt sahipleridir. Fabiola Silva Souza ve Fabiola Silva Souza Seguros Ltda temel portföyü elinde tutar. Roger Oliveira da Silva ve Leonildo Quintiliano köprü sitesinde yer alır. Tiago Ferreira Pena komşu bir kayıt sahibidir. Christian von Langermann, ortak kiracı olan shelleasternpetroleum.ae'nin kayıt sahibidir. OpenDNS, Cloudflare ve DNS4EU, vendasbradescosaude.com.br'yi kimlik avı olarak sınıflandırdı. Aynı düğümdeki sahte banka, kumarhane ve cüzdan dönüştürücü sayfaları komşu olarak kalıyor.
• Güvenilir kenar taklidi: Squarespace, Cloudflare, Vercel, GitHub Pages veya AWS Global Accelerator üzerine park edilmiş benzeyen veya rastgele bir ad. 198.49.23.145 üzerindeki geçmiş Cobalt Strike ve Mozi URL'leri o anycast'in diğer kiracılarıdır.
• 15 Ağustos makalesindeki yetenek katmanları. Bu adlar makalenin örnekleridir. Tiffany M. olarak da bilinen Man hands: donanım cüzdanı ve borsa desteği kimliğine bürünme, sahte BitcoinIRA postası. Dritan Kapllani Jr. ABD Marshals Service tarafından el konulan cüzdanlara karşı Lick olarak bilinen John Daghita. Bir Genesis alacaklısına karşı Greavys, Wiz ve Box ekibi. Şubat 2025 Bybit hırsızlığı Lazarus. Makalede Sandworm / APT44 ile ilişkilendirilen UAC-0145: teslimat yöntemi olarak VPN yapılandırmasıyla sahte iş görüşmeleri. Laundry Bear: Hükümet, savunma ve kritik altyapıya karşı Rusya bağlantılı kimlik bilgileri.
• BGP kaynağı Fastly olan bir GitHub sürüm ana bilgisayar adında taşınan kötü amaçlı yazılım URL'leri. Haritalanan yöntem, güvenilir bir ana bilgisayar adındaki yüktür. Engel, takip eden sanal sunucudur.
• Snowshoe potansiyel müşteri oluşturma. Kostümler Policy Plug, Easy Insurance Match, Endurance ve Indigo ile Destiny Mastercard'tır. LendingTree, çalıntı bir NMLS altbilgisinin kurbanıdır. Posta ve tıklamalar NForce, AS43350 üzerinde durur. Sansürlenmemiş WHOIS, Robert Carpino'yu bir pivot olarak adlandırır. CAKE teklifi 2701'in arkasındaki alıcı tespit edilememiştir.

Konut tipi tarama ve düşman barındırma.

• QNAX. VPS, RDP ve konsol VNC satar. 45.140.193.187 üzerinde haritalanan yöntem tcp/5900'de RFB kaba kuvvet saldırısıdır.
• Pfcloud. Bir Spamhaus DROP önekinin içinde, o ağda n8n ve authentik adlandırılmış. 25 Haziran hesabı, UniFi OS istismarını aynı /22 içindeki 176.65.148.183'e yerleştirir. CISA'nın 23 Haziran girişleri, makalede Mirai sınıfı bir yükleyici olarak tanımlanan CVE-2026-34908, CVE-2026-34909 ve CVE-2026-34910'u adlandırır.
• Tamatiya ve 4vendeta. Müşteri ve operasyon dilimleri arasındaki serpme. TopDNS yönlendirici olarak kalır. Recyber Ağustos kartlarında yer alır ve 3 Ekim penceresinde yoktur.
• Ghosty 43.228.157.0/24 ve Stormcloud 94.154.43.0/24. URLhaus'ta adlandırılan Mirai mahalleleri. Stormcloud /24'te ApexBot ve LummaStealer dahil daha fazla etiket kardeş adreslerde bulunur. 94.154.43.203, Ekim günlüğüne dokunan adrestir.
• Stealc, MooBot, Vidar ve XWorm. 193.233.198.28'deki tarayıcıdan farklı otonom sistemlerde, diğer 193.233 ana bilgisayarlarında adlandırılmış.
• 46.146.238.1. Yüksek bağlantı noktalı bir dropper için tam bir URLhaus ana bilgisayarı, telnet açık.
• 195.252.206.160 üzerinde UniFi OS. SAB-067, CVE-2026-77550 ile bir hizmet sınıfı eşleşmesi.
• EMBNEX. Sekiz döküm kaynağı. embnex.com CloudFront'tur.
• Aynı günlüklerdeki tarama projeleri: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid ve Nokia Deepfield. O ölçüm setindeki tekrarlanan ağ adları arasında SS-Net ve Amarutu yer alır.
• Tek bir adreste internete açık yönetim hizmetleri: MikroTik RouterOS, Nginx Proxy Manager, MeshCentral ve UniFi.
• Gizlilik proxy'li bir Dynadot adında bir günlük bekleme listesi. Parça hiçbir grubu adlandırmaz. Mystic Stealer, aynı Cloudflare anycast adreslerini listeleyen Haziran 2023 eki olarak görünür. FanPartners ve "A little chicken" açılış sayfası farklı bir ad sunucusu çifti kullanır.
• Bir Defense Network Information Center ana bilgisayarında SPF, DKIM ve DMARC'yi geçen, From satırı ile S/MIME imzalayıcısının farklı olduğu posta. Makaledeki program DMDC kimlik kanıtlama boşluğudur. Haritalanan sınıf, imzalayıcıda veya ondan önce tanıtılan bir gövdedir. Eylül dosya paylaşım mektubu kendi tarihlerinde kalır.
• Yandex Cloud misafirlerini okumaya dair daha geniş bir iddia. Belgeler bir platform şifreleme anahtarını, Yandex'in kendi anahtar hizmeti içinde öldürme anahtarı olarak kalan bir müşteri anahtarını ve misafir belleğinin QEMU işleminin sıradan belleği olduğunu destekler. cloud.yandex.ru olarak adlandırılan 87.250.250.108, discard parçasının açıklayamadığı oturum olarak kalır.
• Çok adımlı bir kart tuzağı: iki Telegraph sayfası, bir izleyici, 22 adımlık bir kit, ücret kodlu bir ödeme formu ve ödenmemiş bırakılan bir BTCPay faturası. 15 Ağustos Coinbase örneği, makalenin telefon kimliğine bürünme ekibi olan Man hands olarak kalır. Bu parça ise sayfa, izleyici, kit ve ödenmemiş faturadır.