Оновлення за Q3 | Жовтень 2026 - Quant. Sec.

Quantitative Security витратила період з 31 липня по 9 жовтня 2026 року на публічну серію, інструментарій для якої був підготовлений під час огляду за перше півріччя. Серія охоплює проміжок від розвідки хмарного діапазону 31 липня до приманки з неоплаченою карткою Coinbase 9 жовтня, опублікований у форматі довгих матеріалів TLP:CLEAR на X. У серпні метод було спрямовано всередину: сусідній вузол на GitHub був прив'язаний до особи, що продає медичні страховки, власний домен компанії виміряли як зовнішню ціль, а річний масив міток операторів зв'язку звірили з реєстром. У вересні те саме звуження застосували до домашнього фаєрвола та одного «снігоступного» млина (snowshoe mill), залишивши платформи, на яких базувалися ці кейси, в окремому класі. У жовтні лог відхилень розділили на вимірювання, відомі ворожі мережі та власні інструменти компанії, зіставили ширше твердження щодо Yandex Compute із документацією вендора, а також простежили шлях карткового набору до інвойсу, який так і не оплатили.

Кожен продукт перетворює сиру телеметрію та відкриті джерела на атрибутований, пріоритезований результат, готовий для захисту. Ім'я додається лише там, де його додає сам матеріал. Платформа, тенант, проєкт обстеження та сигнатура, яка їх проходить, зберігають той клас, який їм надав матеріал. У підсумковій позиції перелічені використані методи, зіставлені методи, а також група, тенант або клас, що стоять за кожним із них.

Серія звітів

Залишкова хмарна поверхня — 31 липня

Структурований зовнішній прохід приблизно по 115 адресах відокремив робочі продакшн-системи, залишкові сервіси та покинуті активи. Турецький спільний хостинг на 104.247.165.210 (silaoglu.com, банер mt-rohan.guzelhosting.com) демонстрував повний стек пошти та вебу: Pure-FTPd, Dovecot, Exim, MySQL і LiteSpeed, а поруч — автентифіковані SOCKS5- та HTTP-проксі й короткоживучі сертифікати. Найбільший обсяг припадав на простір Tencent і Aceville та був жорстко відфільтрований. Та меншість, що відповідала, і становила залишкову поверхню: Nginx Proxy Manager на порту 81, живий застосунок Next.js за шляхом /arena, автентифіковані проксі на високих портах, Windows Remote Desktop із внутрішніми іменами хостів, а також залишені сертифікати для бренду eSIM GENIEX та індонезійських і в'єтнамських ігрових брендів, включно з грою Dragon Raja, яку досі обслуговує старий Jetty. Невелика пов'язана з Лаосом вибірка на одній адресі Tencent містила китайськомовні сайти естетичної медицини та продажу вживаних авто з мінімальним публічним слідом. Продукт використовує те саме розмежування, яке в огляді за перше півріччя застосовували до периметра Google. Продакшн-обсяг і покинуті сервіси — це різні знахідки, і лише друге є проблемою блокування та посилення захисту. https://x.com/i/article/2083245764969635841

Взаємодія в межах захисної розвідки — 1 серпня

Взаємодія почалася, коли замаскована адреса з геолокацією в Ірані звернулася до інфраструктури Quantitative Security. Соціальна інженерія цієї взаємодії дозволила захопити набір адрес, розширений через спеціально створений сайт, що збирав дані про інфраструктуру відвідувачів. Опублікована базова лінія називає GoCodeIT Inc. із Торнхілла (Онтаріо) на автентифікованих проксі 65.111.5.29 та 74.119.149.79; відкриту CloudPanel 2.5.2 на 103.255.134.61 для technofaq.org; CodePushServer у стилі Microsoft на 152.32.169.33, порт 8888; rejekibet.com як індонезійську платформу азартних ігор на реальні гроші з шахрайськими клонами навколо бренду; доступний з інтернету Windows Remote Desktop, зокрема 38.107.237.68; geniex.com як нігерійський проєкт віртуальних SIM-карток на стадії згортання, сам домен якого вказує на AWS; та acmmanufacturer.com, що раніше був у залишковому просторі Tencent, а потім переїхав до Zenlayer через chukouplus.com. Проксі-хости в 104.207.0.0/16 вимагали автентифікації, показували сертифікати строком близько семи днів і повертали 404 на досліджуваних адміністративних шляхах. Слухачі Zeus-admin залишалися відфільтрованими. Мітка геолокації на початковій адресі — це старт взаємодії. Стаття не приписує її жодній названій державній групі. Набір даних закрито як базову лінію для другої половини року. https://x.com/i/article/2083388096285179904

Балансувальник навантаження GitHub до ферми продажів бразильських медстраховок — 8 серпня

Сесія hotspot 7 серпня з QuantumGuard та захоплення трафіку почалися з pull request на GitHub та reverse-IP сіетлського балансувальника 140.82.116.3 (lb-140-82-116-3-sea.github.com). Ця адреса співхостила coindream.site: веб на GitHub, поштовий SPF вказує на UltaHost cp5 159.100.6.5, створено 23 січня 2026 року, прихований реєстрант, DNS Namecheap. Захоплений трафік не містив пакетів до адрес із пізнішого кейсу. UltaHost тримав близько 500 імен, включно з shelleasternpetroleum.ae, зареєстрованим на Christian von Langermann, а також gamingcomission.co, antifraud.click, aranttru.com та pinupcasinorussia.click. Веб-порти пізніше фільтрувалися до cPanel на 2082 і 2083. pro114.dnspro.com.br на 187.33.241.58 відкривав повний стек пошти та панелі, а також публічну MariaDB 10.11.18.

Основний вузол — shared.qloudhost.com на 45.87.42.74, бразильська ферма продажів медичних страховок 2017–2025 років, що використовувала бренди Bradesco, Amil, Unimed та SulAmérica. WHOIS основного портфеля вказує на Fabiola Silva Souza, хендл FASSO283, поштова скринька на saudeperfeita.com.br. Публічні записи у статті відповідають CNPJ 40.950.276/0001-55, Fabiola Silva Souza Seguros Ltda, Мосока, Сан-Паулу, відкрито 23 лютого 2021 року. Проміжний сайт saudeperfeita.com.br розміщений на HostGator за адресою 162.241.2.92, користувачі WordPress admin та nildo, у статті пов'язані з Roger Oliveira da Silva з Agência Unit та Leonildo Quintiliano. Tiago Ferreira Pena — суміжний реєстрант на тих самих серверах імен. Той самий вузол також містив фейкові банківські сторінки, реєстрацію в казино та конвертери Paysafe і Neosurf. QloudHost рекламує хостинг для казино. Спільні сервери імен та поштова скринька saudeperfeita пов'язують операторів медстраховок. Спільне розміщення на вузлі не поширює цю ідентичність на фінансових чи гемблінгових тенантів. vendasbradescosaude.com.br залишався на адресі qloud навіть після того, як OpenDNS, Cloudflare та DNS4EU класифікували його як фішинг. У матеріалі відкритими залишилися: повний портфель registro.br, оригінальна URL-адреса pull request та вторинні півоти на von Langermann. https://x.com/i/article/2085939414463631360

Власний домен як зовнішня ціль — 15 серпня

З 9 по 14 серпня quantitativesecurity.org досліджували тими самими початковими кроками, які використав би зовнішній хантер. Origin виявився чистим. Хостинг — мульти-тенантний anycast Squarespace з набором p07 від NS1 плюс DNS Squarespace, Let's Encrypt на клієнтських іменах та 403 від голих адрес із сертифікатом DigiCert для *.squarespace.com. nmap повідомив про реалізацію Go net/http, тоді як заголовок Server вказував на Squarespace. Ця пара — один периметр, описаний на двох рівнях. Близько 1900 імен .academy ділять цю платформу. Індикатори класу Gophish перевірено — вони відсутні. QuantC та QuantumGuard зафіксували саморозвідку як платформний шум, що і є тією істиною, яка потрібна цим сенсорам. Матеріальний залишковий ризик — це ідентичність: немає MX, немає SPF, немає DMARC, а реєстрація наближається до завершення у вересні 2026 року. Чистий origin, чий поштовий канал не підписаний, все одно залишається поверхнею атаки. https://x.com/i/article/2088437251508436992

Рівні спроможностей — 15 серпня

Додаткове есе відокремлює кримінальні угруповання від акторів із державною підтримкою за тактиками та сукупними сумами, а третю категорію залишає для роботи з викриття, яка нічого не забирає. На нижньому кінці наведеним в есе прикладом є абонент, відомий як Man hands, вона ж Tiffany M.: видавання себе за службу підтримки апаратних гаманців та бірж, щонайменше 5 млн доларів, Trezor і Coinbase, підроблені листи BitcoinIRA, панелі від спільників, слабка операційна безпека. Ця цифра — загальна сума крадіжок цього абонента за версією есе. Приклади середнього рівня в тому самому матеріалі: Dritan Kapllani Jr. з приблизно 19 млн доларів та John Daghita, відомий як Lick, з понад 46 млн доларів із гаманців, конфіскованих Службою маршалів США, тоді як ширша підозрювана діяльність за оцінкою есе перевищує 90 млн доларів; пізніше його заарештували. Вищий кримінальний приклад — угруповання Greavys, Wiz і Box, близько 243 млн доларів від одного кредитора Genesis. Приклади з державною підтримкою: Lazarus та крадіжка в Bybit у лютому 2025 року на суму близько 1,5 млрд доларів; UAC-0145, пов'язаний в есе з Sandworm / APT44, що використовує фейкові співбесіди проти українських IT-фахівців та конфігурацію VPN як вектор доставки; і Laundry Bear, описаний як пов'язане з Росією використання скомпрометованих облікових даних проти урядових, оборонних та критичних інфраструктур. https://x.com/i/article/2088672299868377088

Сусідство .academy — 17 серпня

Reverse-IP квартету connect-адрес Squarespace зібрав 2020 сусідніх імен. 1898 закінчувалися на .academy, і 1767 із них досі вказували лише на 198.49.23.144, 198.49.23.145, 198.185.159.144 та 198.185.159.145, AS53831. В усьому наборі з'явилося 54 унікальні адреси. Сорок із сорока вибраних імен Squarespace повернули заголовок Squarespace та cookie crumb. Звіти про зловживання та історичні URL-адреси офлайн-шкідливого ПЗ на 198.49.23.145, включно зі шляхами Cobalt Strike та Mozi, у статті прив'язані до інших тенантів на спільному периметрі. Межею власності є назва бренду та чотири офіційні connect-адреси. Назви шкіл не потрапляють до списку блокування. Репутація, що прив'язується до адреси, а не до імені хоста, є витратою платформи, і саме так це задокументовано. https://x.com/i/article/2089015652753502208

Шар ідентичності — 17 серпня

Сімейство реєстраторів того самого домену, подвійні сервери імен та чотири anycast-адреси є легітимною базою, і саме цю поверхню копіює імітатор. Squarespace, Cloudflare, Vercel, GitHub Pages та AWS Global Accelerator уже несуть репутацію, заголовки та центри сертифікації. Чужий хост все одно блокується за замовчуванням, тому просте блокування адреси створює багато шуму. Важелі, названі у статті, знаходяться на рівні реєстратора: трансфер, зміна сервера імен, гігієна контактів та давня реєстрація, а потім або схоже ім'я, або довільне ім'я, припарковане на довіреному периметрі. Дванадцять із двадцяти семи нетипових apex-доменів .academy у супутньому підрахунку були зареєстровані в Squarespace Domains, але хостилися деінде. Елементами керування, що відповідають маніпульованому шару, є блокування на рівні реєстратора, багатофакторна автентифікація платформи, Certificate Transparency для схожих імен та запис SPF із жорстким відхиленням (hard-fail), якщо домен не надсилає пошти. https://x.com/i/article/2089012676634738688

Алокація Verizon, зафіксована як T-Mobile — 23 серпня

5 серпня власний звіт позначив клієнтський префікс 2600:1010:b204:: як типовий для T-Mobile. Телефон завжди працював лише з Verizon, перший власник. ARIN показує NetName WIRELESSDATANETWORK, організація Verizon Business (MCICS), зареєстровано 6 квітня 2010 року, охоплює від 2600:1000:: до 2600:1017:ffff::. Нестрогі канали asname та геолокації несли мітку T-Mobile з жовтня 2025 року до дня публікації того звіту. Живий запит 21 серпня повернув Team Cymru AS6167 CELLCO-PART та RIPE AS22394 CELLCO. Алокація не змінилася. Робочий порядок, опублікований разом із матеріалом, є порядком для решти цієї серії: атрибутуй інструмент, потім тенанта, потім реєстр. https://x.com/i/article/2091560316878671872

Інвентаризація 2023 року, ранжована — 23 серпня

Двісті дев'яносто чотири скріншоти з домашнього маршруту Charter у Нью-Йорку на початку 2023 року перенесли як ранжований набір: близько 1450 IPv4-адрес, із них приблизно 1266 публічних, за явною шкалою від T1 до T5. Прохід 2026 року закрив сервіси, перш ніж залишити щось відкритим. 103.235.46.191 — аналітичний периметр Baidu в Гонконгу, hm.baidu.com, AS55967. 23.82.31.230 — TradingView на Leaseweb. Адресу з діапазону Boeing помістили до списку лише для документування. Пізніші публічні звіти про вторгнення LockBit у бізнес запчастин Boeing мають спільну назву організації з тим документальним рядком, але не мають спільних сесій. Відключення голосового зв'язку Charter у лютому 2023 року, заяви Storm-0558 у липні 2023 року, пізніші звіти Salt Typhoon та власне повідомлення Leaseweb від 22 серпня 2023 року є контекстними вікнами. https://x.com/i/article/2091569041584619520

GitHub на Fastly — 27 серпня

QS-NetHarden працював через телефонний тетерінг. Захоплення почалося о 09:08 PDT 26 серпня. NetCloak представив нову ідентичність Windows. Приманки Artillery були підняті з вимкненим баном. Phantom-QS циклічно запускав Firefox 128. Ніщо в лозі honeypot того ранку не є віддаленим влучанням. Оператором є DNS: чат-проксі, балансувальник GitHub, Actions, Copilot, потім release-assets.githubusercontent.com. Покривний префікс 185.199.108.0/22 — це RIPE US-GITHUB-20170413, організація GitHub, BGP-джерело AS54113 Fastly. Власний опублікований список адрес Fastly його не включає. Набір .133 — це універсальний приймач контенту. Набір .154 — це релізи та пакети. Парадні двері Actions — це Microsoft 13.107.42.0/24 та 13.107.43.0/24, а pipelines.actions у тому проході вказував на 13.107.43.16. URLhaus містить URL-адреси шкідливого ПЗ на імені release-assets, і Harden-Runner його позначив. Ім'я хоста — це вантажівка. Актор — це вантаж і наступний хоп, який не є GitHub. Блокуйте наступний віртуальний сервер. Залиште leaf, універсальний приймач Fastly, Azure Front Door, регіональні знімки та сенсор у спокої. https://x.com/i/article/2093021792923508736

Один «снігоступний» млин лідів — 29 серпня, продовження 7 вересня

27 серпня одна поштова скринька отримала 72 небажані повідомлення про автострахування та кредитні картки, 156 унікальних посилань, 71 домен у полі From. Кластеризація тем дала три пари дублікатів. Інваріантом є токен e6jbv4z у кожному тілі та кожному посиланні. Кліки використовують дволітерну мітку на старому apex-домені та PHP-шлях у форматі /r плюс шістнадцяткові цифри. Policy Plug відповідає за 51 із 72. Easy Insurance Match, Endurance, а також Indigo та Destiny Mastercard — це маски. Велика підмножина копіює номер NMLS 1136 від LendingTree та адресу вулиці в Шарлотті. LendingTree є жертвою крадіжки футера. Пошта та кліки розміщені на NForce, AS43350, у 185.47.200.0/24 та 185.47.203.0/24: nginx, PHP 7.4.33, 443 закритий, 25 відфільтровано. Домени — це старий інвентар Name.com. HEAD-запит отримує стандартну відповідь nginx 403. GET-запит, схожий на браузерний, отримує 302 на лендер CAKE, пропозиція a=44 та c=2701, на taobmaets.com, або сторінку відписки на keycanvascanvas.com. Вкладення з іменами файлів Office є звичайним текстом. ClamAV показав чистоту. Один заголовок Host, mediaignorance.com, повертав те саме тіло розміром 52 667 байтів із семи адрес у /24. Нецензурований WHOIS на чотирьох apex-доменах називає Robert Carpino, якого у статтях розглядають як точку півоту. Покупець за пропозицією CAKE не ідентифікований. 7 вересня додатковий збір того самого токена та форми шляху, маски автострахування та Indigo, був опублікований як такий, що вже присутній у базі даних AT&T. Пост стверджує наявність одного спільного набору серверів імен, але не друкує його. Дією для Defender є токен, шлях та два префікси NForce, про які повідомлено на abuse@nforce.com та реєстратору, а вкрадений рядок NMLS ідентифіковано як крадіжку футера. https://x.com/i/article/2093528643779825664 https://x.com/i/article/2093532720119083008 https://x.com/i/article/2097103637160022017

Домашній фаєрвол, перший прохід — 5 вересня

Лог домашнього шлюзу AT&T містив 296 подій за 26 хвилин, 188 унікальних адрес, 169 із них публічні. Цей зріз є фоновим випромінюванням публічного IPv4. Картки від 31 серпня вже назвали QNAX, Recyber, Infrawatch, Xpanse, Censys, Pfcloud та CHINANET. Три знахідки були новими. QNAX 45.140.193.187 влучив у WAN десять разів за 21 хвилину. Стаття цитує 408 звітів AbuseIPDB від 170 джерел, усі ворожі, та брутфорс VNC на tcp/5900 з використанням RFB 003.008. qnax.sh продає цей VPS, RDP та консольний VNC-продукт. Першим названим вхідним з'єднанням усередині мережі Spamhaus DROP став Pfcloud 176.65.149.233, у 176.65.148.0/22, о 11:58. n8n.pfcloud.io знаходиться на 176.65.148.168. sso.pfcloud.io ідентифікує себе як authentik. Розпилення Tamatiya та 4vendeta по 79.124.58.0/24, 79.124.49.0/24 та 78.128.114.0/24 включає 79.124.58.90, чиє зворотне ім'я — ip-58-90.superbit.host, а псевдонім — urlforward.topdns.com, та сама адреса DigitalOcean, що й ns-usa.topdns.com на 143.198.68.197. Пасивне розширення topdns.com повернуло 517 міток, багато з них — колізії брендів, майже всі без адрес. Сервер імен залишається незаблокованим. Пріоритетні хости: 45.140.193.187, 79.124.58.18, 79.124.58.90, 79.124.49.90, 78.128.114.46 та 78.128.114.162. Необов'язкові мережі — це клієнтські та операційні зрізи Tamatiya, а також Pfcloud 176.65.148.0/22 плюс 204.76.203.0/24. Разом із ними залишено без змін: TopDNS, колектори CriminalIP, периметри Cloudflare, сканери перепису та Telepoint 78.128.42.0/24. Контакти для скарг, опубліковані з матеріалом: abuse@qnax.com.br та noc@4vendeta.com. Сенсор був на хотспоті. LAN не сканувався. Матеріал спирається на нотатку про Tamatiya від 24 липня з серії за перше півріччя. Вказівник на сайті від 4 вересня несе назву серії та вказує на сайт компанії; записом вимірювання на X є ця та наступна стаття. https://x.com/i/article/2096029788624523264

Домашній фаєрвол, залишок — 6 вересня

Вікна 29 серпня та 5 вересня разом дали 530 унікальних подій та 270 вхідних публічних адрес. Цей другий матеріал — залишкові 105, після того як сканери перепису та названі комерційні спостерігачі були відкладені. Сімдесят чотири зі 108 перевірених адрес з'явилися того дня у публічному каналі. Жодна не фігурувала у Feodo, SSLBL, ThreatFox чи Emerging Threats. Двадцять одна перебувала у префіксах Spamhaus DROP від 4 вересня, включно з Pfcloud /22. Стаття цитує звіт від 25 червня про експлуатацію UniFi OS, запущену з 176.65.148.183 у цьому префіксі, та додавання CISA 23 червня CVE-2026-34908, CVE-2026-34909 і CVE-2026-34910. Ghosty 43.228.157.0/24 та Stormcloud 94.154.43.0/24 є сусідствами Mirai на URLhaus у тому самому матеріалі. Найгучнішою залишковою вхідною адресою все ще був QNAX 45.140.193.187, кількість звітів у статті — 412, востаннє помічений 1 вересня на порту 5000. 46.146.238.1 — точний хост URLhaus для дропера на високому порту, з відкритим telnet. UniFi OS на 195.252.206.160 не мав влучань у каналах адрес і є збігом за класом сервісу з SAB-067, CVE-2026-77550, від 26 серпня. EMBNEX 16.5.0.0/24 — це вісім джерел дампів; сайт embnex.com працює на CloudFront. Ідентичний короткий HTML-фрагмент у непов'язаних мережах є sink-сторінкою. Рекомендація — заблокувати ці мережі. https://x.com/i/article/2096732079388299264

Вихідний трафік хотспоту до вузла керування — 14 вересня

Трафік з особистого пристрою через хотспот iPhone досяг 113.176.118.150, відомого як static.vnpt.vn та rdp.cdmt.vn. Адреса представляє MikroTik RouterOS 6.49.13, Nginx Proxy Manager на порту 80, HTTPS із обмеженням за іменем на 443, публічний логін MeshCentral на 5009, публічний логін UniFi на 8443, два SSH-демони на 8080 та 8090, а також неідентифікований сервіс у стилі CONNECT на 8088, що залучав ім'я CloudFront d3azdm1q0gvo54.cloudfront.net. Опублікована гіпотеза — це шлюз та вузол керування, доступний з інтернету. Вихідний трафік до нього з особистого хотспоту залишається неавторизованим, доки не буде прив'язаний до відомого застосунку, користувача чи пристрою. https://x.com/i/article/2099540826854715392

Тонкий список очікування — 22 вересня

uythjmnglk.xyz зареєстровано в Dynadot 14 вересня 2026 року, через privacy-проксі, на парі серверів імен Cloudflare phoenix та wilson, без DNSSEC. Відповідають лише apex та www. Поза локальною мережею застосунок був списком очікування під назвою «You're on the list», що надсилав email на шлях підписки з токеном v:897qvxac7fny03ac. На шлюзі AT&T те саме ім'я повертало коротку проміжну сторінку, причиною якої було шкідливе ПЗ. Ця сторінка — оператор, а не origin. Дві адреси Cloudflare перед іменем фігурують у додатку про Mystic Stealer за червень 2023 року. Вони є спільним anycast, і між тим додатком та цією реєстрацією минуло три роки. Того ж дня зареєстровані у того самого реєстратора імена казино та 4D використовують іншу пару серверів імен. Старіша пара хостить лендер «A little chicken», прив'язаний до партнерського шляху FanPartners. Ці кластери залишаються поза цим сідом. Адреси Cloudflare не потрапляють до жодного списку блокування кампаній. https://x.com/i/article/2101850617815908352

Повідомлення CAC та DEERS — 28 вересня

Два повідомлення надійшли на особистий Gmail від CACExpiration-DoNotReply@mail.mil: 9 березня 2026 року та 7 травня 2026 року. Травневе повідомлення пройшло SPF, DKIM та DMARC. DKIM був d=mail.mil, селектор EEMSG2021v1a, політика reject. Ідентифікатор повідомлення називає UHIL19PA53.eemsg.mail.mil на 214.24.21.199. Підписант S/MIME — benefits.notifications@mail.mil, виданий DOD SW CA-83, дійсний з 15 жовтня 2025 року по 15 жовтня 2028 року. Банер Gmail повідомляє, що поле From та підписант відрізняються. Ці дві поштові скриньки різні, і цієї різниці достатньо для появи банера. У текстах сказано, що бракує двох документів, що посвідчують особу, і отримувачу пропонують відвідати RAPIDS, щоб завантажити їх: із 120-денним терміном у березні та 60-денним терміном, до 6 липня, у травні. Жодних документів не було надіслано. Картка продовжувала працювати.

Офіційна програма, яку цитує стаття, почалася з повідомлень DMDC у січні 2026 року. До серпня близько 215 000 військовослужбовців дійсної служби та резерву не відповідали вимогам. Армія перевірила близько 111 000 карток, жодна не була відкликана станом на 2 вересня. Близько 21 500 морських піхотинців все ще мали заборгованість у липні. Офіційне формулювання від 3 вересня, опубліковане 8 вересня, описує адміністративне оновлення записів, без заяв про шахрайство чи витік щодо відсутніх документів. MARADMIN 393/26 вимагає два оригінали документів, особисто. У березневому тексті йшлося про завантаження.

Клас, який стаття зберігає у стовпці словника, — це сутність, введена на рівні підписанта або до нього, тому перевірки все одно проходять. Переписування після верифікації Gmail не відбувається, оскільки DKIM пройшов успішно. Ні оригінального файлу повідомлення, ні частини з підписом під рукою не було. Поштовий хост — AS345, 214.24.21.0/24, блок Defense Network Information Center від 1998 року. www.cac.mil — це ім'я на Akamai, адреси 23.62.46.164 та 23.62.46.182, відповідають кодом 403, а сертифікат на цьому edge-вузлі містить www.cac.mil разом із набором імен pentagon, defense та department. Додатки DMDC idco, myaccess і pki резолвляться в AS27064 на різних адресах 214, включно з pki.dmdc.osd.mil на 214.16.194.24. Між поштовим префіксом і префіксами цих додатків немає нічого спільного. Один сервіс геолокації розміщує запити 214 у Колумбусі, штат Огайо. Інший — у Роуз-Гілл, Вірджинія. Це один розподіл (алокація).

Три сусідні записи залишаються кожен у своїй площині. Маркетингова сторінка на email.usfhp.net від 20 липня — це реальний ресурс US Family Health Plan зі звичайною аналітикою класу HubSpot. Лист про файлове сховище від 18 вересня описує нешифрований доступ із жовтня 2025 року до 16 липня 2026 року, виявлений 16 липня, і стаття не пов'язує його з цим рядком From. Повідомлення IDScan від 4 вересня стосується хмарних облікових записів клієнтів. Стаття відхиляє цифри приблизно у чотири мільйони та 60 мільйонів записів як загальну кількість жертв. https://x.com/i/article/2104388574397554688

Сімнадцять хвилин discard-трафіку — 3 жовтня

Експорт скинутих (discard) пакетів із житлової мережі, надрукований з 05:55 до 06:12 3 жовтня, містив 234 рядки, 110 іноземних адрес і 166 приростів спрацьовувань. Кожен рядок — це дроп, і в експорті немає порту призначення. Пізніше читання, яке зсуває вікно приблизно на п'ять годин, є тією самою подією за іншим годинником. 51 із 57 спрацьовувань сканерів належить загальновідомим проєктам інтернет-сканування: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid, Nokia Deepfield та їхнім сусідам. Десять точних адрес повторюються з серпня, включно з 4vendeta 79.124.49.90, SS-Net 80.94.95.226, Ghosty 43.228.157.10 та Amarutu 89.42.231.200. QNAX і Recyber у цьому вікні відсутні. Серед нових учасників відомих мереж — Pfcloud 204.76.203.4 та Stormcloud 94.154.43.203. Імена шкідливого ПЗ на підмережі /24 Stormcloud розташовані на сусідніх адресах. Адреса, що потрапила до логу, — це discard, а родове ім'я залишається на сусідньому вузлі, де його фактично було зафіксовано.

Вісім скидань UDP-політики — це хвіст перевірки списку проксі від 20 вересня, пакети, які надіслала сама мережа, що моніториться. Два рядки з недійсними пакетами Amazon не мають жодних спрацьовувань у списках загроз. Окреме збагачення через tethering того ж ранку показує звичайний шлях оператора та контенту: Verizon, Comcast, Lumen, Cogent, Google та Cloudflare. Сесія, яка не має пояснення, — 87.250.250.108, названа cloud.yandex.ru. Єдине спрацьовування Spamhaus DROP у свіжому збігу списків — це 140.222.19.75 та 140.222.19.77 всередині 140.222.0.0/16, SBL693942, що читається як патерн захоплення (hijack) старого простору NSFNET і залишене поза списком блокування хостів. Зведення вимірювальних проєктів, «непробивних» сканерів та власних інструментів оператора в один список індикаторів штучно створює інцидент. https://x.com/i/article/2106513298426597376

Yandex Compute проти публічних даних — 4 жовтня

Початкова заява, що поширювалася, стверджувала, ніби російська держава читає гостьові системи Yandex Cloud, поєднуючи контроль над ключами, доступ до гіпервізора, тихі клони дисків, закріплену карту ядер, кастомний демон сховища та канал законного перехоплення на планувальнику. Стаття протиставляє цю заяву власній документації Yandex щодо обчислень і тому, що вже було на цьому хості. Шифрування диска за замовчуванням використовує ключ платформи. Ключ клієнта все одно зберігається в сервісі ключів Yandex, і його вимкнення діє як аварійний перемикач (kill switch). Гостьова пам'ять — це звичайна пам'ять процесу QEMU, тому оператор хоста перебуває по той самий бік межі довіри, що й запущений гість. Libvirt тут немає. Жива міграція, виділені хости та перемикання збірок QEMU на одному хості — це опублікована поведінка продукту. Закріплення host-id вимикає живу міграцію і записується через compute API суб'єктом, який уже має право оновлювати інстанс. Гостьовий інтерфейс не передає цей запис. Те, чого не показують процитовані сторінки, — це підписка на законне перехоплення сокета керування гіпервізором, рішень планувальника чи правил прив'язки до хоста; вони також не показують тихого клонування, фіксованої карти ядер, кастомного демона чи тунельованого шляху в ширшому есе. Було проінвентаризовано локальні зворотні (reverse) імена, що містять yandex. 45.87.42.74 залишається серпневою фермою продажів qloudhost, під іншим іменем. 87.250.250.108, незрозуміла сесія з матеріалу про discard, була відсутня в тій попередній таблиці. Реєстрація розділяє ТОВ Yandex.Cloud для хмарних об'єктів та YANDEX LLC для корпоративної мережі. Завершені сертифікати API — Yandex, Москва, GlobalSign. Одне рекламне ім'я досі має «звислий» зворотний вказівник на 77.88.21.179. https://x.com/i/article/2106548730942152704

Неоплачена приманка з карткою Coinbase — 9 жовтня

Дві сторінки Telegraph, telegra.ph/NCO-09-27 та graph.org/UIN-10-05, мають одне спільне посилання продовження. Обидві розташовані на 149.154.164.13. Їх було опубліковано 27 вересня та 5 жовтня. Посилання — rss2.sayler.at/go/337413/z274x264 на 107.189.20.230, і воно перенаправляє на набір Coinbase Card за адресою 97ee1.ralind.at на 31.59.121.53. Власний скрипт набору називає 22 кроки, від індексної сторінки до сторінки швидкої оплати. Оригінальний пост від 6 жовтня вказує цю кількість і друкує ті самі 22 імені файлів. Сторінки показують баланс $39 437,16. Скрипти востаннє змінювалися 26 серпня 2026 року. Названо одинадцять кодів комісії. Відстежили лише y2a4u234, міжбанківський рядок на $58, що веде на bitpays.at на 31.57.29.11, потік 4374w2. Синтетичне надсилання форми о 03:45 GMT 9 жовтня повернуло редирект на інвойс BTCPay, 6QTpVwNe9CynFTXZFJE8Yk, на btcpay369329.lndyn.com за адресою 172.81.177.1. Статус New. П'ятдесят вісім доларів, 0,00070469 BTC, курс $82 306,45, адреса bc1qexqsudur4860kva5789qcvkmpdk4j9wrfrsmzy. Перевірка оплати повернула нуль. Жодного платежу не було надіслано.

ip-api розміщує набір у Парижі, а форму оплати — в Ризі. QuantumGuard та реєстр походження розміщують 31.57.29.0/24 в Об'єднаних Арабських Еміратах, AS56971. sayler.at, ralind.at та bitpays.at використовують DNSPod. Примітка від 6 жовтня, на об'єкті із серійним номером SOA 1789107920, розміщує цей об'єкт у Зандамі під AS14956, RouterHosting і FranTech. Стаття від 9 жовтня не повторює це розміщення. Сервери імен Telegraph, сервери імен GoDaddy для graph.org та адреси DNSPod — це спільний DNS. 144.31.93.214 випадає з цього ланцюжка. І есе від 15 серпня, і ця приманка використовують слово Coinbase. Приклад з есе — група, що видавала себе за інших по телефону. Цей матеріал — сторінка, трекер, набір для карток та інвойс, який так і залишився неоплаченим. https://x.com/i/article/2108597864108871681

Заключна позиція

Серію завершують два списки. Перший — методи, які використала Quantitative Security. Другий — методи, які було відображено в матеріалах, кожен із групою, орендарем або класом, що їм приписали. Приклади з есе залишаються під есе від 15 серпня. Споріднені теги залишаються на спорідненій адресі. Проєкти сканування залишаються у категорії вимірювань. Якщо матеріал не називає жодної групи, рядок закінчується на орендарі, мережі або класі.

Використані методи

• Структуровані зовнішні проходи по банерах, сертифікатах і сервісах, що прослуховуються, з відокремленням покинутих активів від робочого обсягу.
• Взаємодія з відвідувачем, розпочата соціальною інженерією, а потім розширена збагаченням з відкритих джерел. Лише розвідка.
• Reverse-IP, витяги з WHOIS та реєстрів, записи автентифікації пошти та захоплення пакетів, перевірене за адресами, які ці записи називали.
• Власний домен компанії, прогнаний через ту саму початкову точку, яку використав би зовнішній мисливець, із збереженням самосканування як шуму датчиків.
• Канали м'якої геолокації та asname, перевірені за ARIN, RIPE та Team Cymru. Порядок: інструмент, потім орендар, потім реєстр.
• Ранжований історичний інвентар, закритий до ідентифікації сервісу ще до того, як до нього було прив'язано будь-який публічний інцидент.
• Логи on-path DNS та honeypot, прочитані так, щоб власні сесії компанії залишалися окремо від віддалених спрацьовувань.
• Пошта, зведена за інваріантним токеном, HEAD-запит, зіставлений із GET-запитом браузера, та одне спільне тіло віртуального хоста, хешоване по всьому префіксу.
• Скинуті пакети з житлових мереж, зведені за AbuseIPDB, Spamhaus DROP, URLhaus, Feodo, SSLBL, ThreatFox та Emerging Threats, де пасивне розширення імен залишає сервер імен поза списком блокування.
• Вихідний трафік хотспотів, збережений як асоціація, та подальші вимірювання, проведені з часовим відступом від першої сесії.
• Реєстратор, пара серверів імен та проміжна сторінка оператора, відокремлені від контенту походження.
• SPF, DKIM, DMARC та S/MIME, прочитані разом і збережені на рівні класу, коли підписаного оригіналу не було під рукою.
• Експорт discard-трафіку, розбитий на проєкти сканування, повторювані ворожі мережі, власні пакети компанії та сесію, яка не мала пояснення.
• Документація вендора щодо обчислень, прочитана на тлі ширшої заяви, де непідтверджені пункти виключено з висновку.
• Ланцюжок приманки, пройдений через трекер, набір, один код комісії та синтетичний неоплачений інвойс. Жодного платежу не було надіслано.

Відображені методи та назва для кожного

• Залишкові хмарні сервіси та короткоживучі автентифіковані проксі. Залишкові бренди — GENIEX, назви ігор, включно з Dragon Raja, та невеликий набір сайтів медичної естетики й продажу вживаних авто, пов'язаний із Лаосом.
• Збір інфраструктури відвідувачів. Початкову адресу було геолоковано в Ірані, і стаття залишає мітку саме там. Базова лінія називає GoCodeIT Inc. із Торнгілла, Онтаріо; rejekibet.com та шахрайські клони навколо цього бренду; а також geniex.com на стадії згортання.
• Продажі медичного страхування під відомим брендом та сайт, уже класифікований як фішинговий, на спільному хостингу. Пов'язані імена — це реєстранти. Fabiola Silva Souza та Fabiola Silva Souza Seguros Ltda володіють основним портфелем. Roger Oliveira da Silva та Leonildo Quintiliano сидять на проміжному сайті. Tiago Ferreira Pena — суміжний реєстрант. Christian von Langermann — реєстрант shelleasternpetroleum.ae, співмешканця. OpenDNS, Cloudflare та DNS4EU класифікували vendasbradescosaude.com.br як фішинг. Сторінки фейкового банку, казино та конвертера гаманців на тому самому вузлі залишаються сусідами.
• Імітація довіреного edge-вузла: схожий або довільний домен, припаркований на Squarespace, Cloudflare, Vercel, GitHub Pages чи AWS Global Accelerator. Історичні URL Cobalt Strike та Mozi на 198.49.23.145 — інші орендарі того anycast.
• Рівні можливостей, в есе від 15 серпня. Ці імена — приклади з того есе. Man hands, також відома як Tiffany M.: видавання себе за службу підтримки апаратних гаманців та бірж, підроблені листи BitcoinIRA. Dritan Kapllani Jr. John Daghita, якого називають Lick, проти гаманців, вилучених Службою маршалів США. Команда Greavys, Wiz та Box проти одного кредитора Genesis. Lazarus — крадіжка у Bybit у лютому 2025 року. UAC-0145, пов'язана в есе з Sandworm / APT44: фейкові співбесіди, де конфігурація VPN слугує вектором доставки. Laundry Bear: облікові дані, пов'язані з Росією, проти державних структур, оборони та критичної інфраструктури.
• URL-адреси шкідливого ПЗ, розміщені на хості релізів GitHub, BGP-походженням якого є Fastly. Відображений метод — вантаж на довіреному імені хоста. Блокування стосується наступного віртуального сервера.
• Генерація лідів методом Snowshoe. Маски — Policy Plug, Easy Insurance Match, Endurance, а також Indigo та Destiny Mastercard. LendingTree — жертва вкраденого футера NMLS. Пошта та кліки розташовані на NForce, AS43350. Невідредагований WHOIS називає Robert Carpino як опорну точку. Покупець за пропозицією CAKE 2701 не ідентифікований.

Сканування з житлових мереж та ворожий хостинг.

• QNAX. Продає VPS, RDP та консольний VNC. Відображений метод на 45.140.193.187 — брутфорс RFB на tcp/5900.
• Pfcloud. Всередині префікса Spamhaus DROP, де в цій мережі названі n8n та authentik. Звіт від 25 червня розміщує експлуатацію UniFi OS на 176.65.148.183 у тій самій /22. Записи CISA від 23 червня називають CVE-2026-34908, CVE-2026-34909 та CVE-2026-34910, описані в матеріалі як завантажувач класу Mirai.
• Tamatiya та 4vendeta. Розпилення по клієнтському та операційному сегментах. TopDNS залишається форвардером. Recyber є на серпневих картках і відсутній у вікні 3 жовтня.
• Ghosty 43.228.157.0/24 та Stormcloud 94.154.43.0/24. Сусідства Mirai, названі на URLhaus. На підмережі /24 Stormcloud додаткові теги, включно з ApexBot та LummaStealer, розташовані на сусідніх адресах. 94.154.43.203 — адреса, що потрапила до жовтневого логу.
• Stealc, MooBot, Vidar та XWorm. Названі на інших хостах 193.233, в інших автономних системах, ніж сканер на 193.233.198.28.
• 46.146.238.1. Точний хост URLhaus для дропера на високому порту, з відкритим telnet.
• UniFi OS на 195.252.206.160. Збіг за класом сервісу з SAB-067, CVE-2026-77550.
• EMBNEX. Вісім джерел дампів. embnex.com працює на CloudFront.
• Проєкти сканування в тих самих логах: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid та Nokia Deepfield. Повторювані імена мереж у цьому наборі вимірювань включають SS-Net та Amarutu.
• Сервіси керування, доступні з інтернету на одній адресі: MikroTik RouterOS, Nginx Proxy Manager, MeshCentral та UniFi.
• Одноденний список очікування на імені Dynadot із проксі для конфіденційності. Матеріал не називає жодної групи. Mystic Stealer з'являється як додаток за червень 2023 року, де перелічено ті самі anycast-адреси Cloudflare. FanPartners та лендінг «A little chicken» використовують іншу пару серверів імен.
• Пошта, яка проходить SPF, DKIM та DMARC на хості Defense Network Information Center, де рядок From та підписант S/MIME відрізняються. Програма, описана у статті, — це прогалина в перевірці особистості DMDC. Відображений клас — сутність, введена на рівні підписанта або до нього. Вересневий лист про файлове сховище залишається зі своїми власними датами.
• Ширша заява про читання гостьових систем Yandex Cloud. Документи підтверджують наявність ключа шифрування платформи, ключа клієнта, який залишається аварійним перемикачем усередині власного сервісу ключів Yandex, та гостьової пам'яті як звичайної пам'яті процесу QEMU. 87.250.250.108, названий cloud.yandex.ru, залишається сесією, яку матеріал про discard не зміг пояснити.
• Багатокрокова приманка з карткою: дві сторінки Telegraph, один трекер, набір із 22 кроків, форма оплати з кодом комісії та інвойс BTCPay, що залишився неоплаченим. Приклад із Coinbase від 15 серпня залишається телефонною групою з есе, Man hands. Цей матеріал — сторінка, трекер, набір та неоплачений інвойс.