Tóm tắt điều hành
Vào ngày 2026-08-07, một phiên trinh sát (điểm phát sóng từ điện thoại + QuantumGuard + thu thập gói tin) bắt đầu từ sự tò mò về một pull request trên GitHub, dẫn đến việc tra cứu reverse-IP máy cân bằng tải Seattle của GitHub tại 140.82.116.3. IP này đồng lưu trú với coindream.site (web trên GitHub, SPF mail trỏ đến UltaHost cp5 159.100.6.5). Reverse-IP và các bước điều hướng (pivot) tiếp theo đã phát hiện hai môi trường shared hosting dày đặc: UltaHost cp5 (nhiều khách thuê trộn lẫn, bao gồm một trang giả lập Shell Eastern Petroleum đăng ký dưới tên Christian von Langermann) và đặc biệt là qloudhost 45.87.42.74.
Node qloud lưu trữ một trang trại bán "planos de saúde" (gói bảo hiểm sức khỏe) của Brazil kéo dài nhiều năm (2017–2025) sử dụng các thương hiệu Bradesco, Amil, Unimed và SulAmérica, chào mời chiết khấu 50–60% cho tháng đầu tiên. WHOIS gán danh mục tên miền chính cho Fabiola Silva Souza (FASSO283) sử dụng email fabiola@saudeperfeita.com.br. Tên miền của email đó là một trang WordPress kiểu môi giới đang hoạt động, được lưu trữ trên HostGator (saudeperfeita.com.br), thuộc sở hữu của Roger Oliveira, người của Agência Unit, với liên hệ kỹ thuật và tác giả WordPress là Leonildo ("nildo"). Các nhà đăng ký bổ sung là Tiago Ferreira Pena và Leonildo dùng chung các nameserver qloud. Hồ sơ công khai xác nhận CNPJ khớp tương ứng (Fabiola Silva Souza Seguros Ltda / Nf Seguros Saude, Mococa-SP, hoạt động từ 2021).
Cùng node dùng chung qloud cũng chứa nội dung lạm dụng thương hiệu và chiếm dụng tên miền gần giống (typo-squatting) kinh điển: ngân hàng trực tuyến giả (bridgecorebank.com, người đăng ký Williams Smith), các trang đăng ký sòng bạc, công cụ chuyển đổi Paysafe/Neosurf, và nhiều trang giả lập kiểu ticketmaster/kaiserpermanente. QloudHost công khai tiếp thị dịch vụ lưu trữ sòng bạc. pro114.dnspro.com.br (một hộp shared hosting Brazil khác) phơi bày toàn bộ hệ thống mail/panel cộng với MariaDB 10.11.18 công khai. UltaHost sau đó đã lọc các cổng web; việc quét tích cực đã khiến qloud 443 bị giới hạn tốc độ.
Vụ việc này là một bản đồ danh tính và hạ tầng của một hệ sinh thái bán gói bảo hiểm sức khỏe/brand của Brazil kéo dài nhiều năm, được tiếp cận qua sự tò mò reverse-IP GitHub, nằm trên nền shared hosting bỏ qua DMCA/quyền riêng tư, đồng thời cũng chứa dày đặc các trang giả lập ngân hàng và sòng bạc. NS dùng chung và tên miền email liên kết các nhà điều hành bán gói bảo hiểm; riêng việc đồng lưu trú không chứng minh các khách thuê tài chính/cờ bạc có cùng nhà điều hành. Không có cuộc tấn công thông tin xác thực hay phát triển exploit nào được thực hiện. Một số hạng mục vẫn đang bỏ ngỏ (toàn bộ danh mục registro.br, người dùng WP qloud khi bị blackhole, các pivot phụ từ von Langermann, URL PR gốc của GitHub).
Trinh sát thụ động vào ngày 2026-08-07 đã lập bản đồ một cụm bán "planos de saúde" hoạt động lâu năm dưới tên Fabiola Silva Souza (FASSO283), một công ty seguros đã đăng ký, dùng chung nameserver và một trang trung gian môi giới trên HostGator — trong khi cùng node qloud đó chứa dày đặc ngân hàng giả, sòng bạc giả lập và công cụ chuyển đổi thanh toán. Điểm khởi đầu là sự tò mò reverse-IP trong một phiên trinh sát bắt đầu bằng việc điều tra một pull request trên GitHub.
Khởi nguồn – Edge GitHub
Nhà điều hành và công cụ đã truy cập github.com (140.82.116.4) và hostname máy cân bằng tải Seattle lb-140-82-116-3-sea.github.com (140.82.116.3). Tra cứu reverse-IP trên 140.82.116.3 trả về host marketing dự kiến của GitHub cùng một tập hợp bất ngờ các subdomain coindream.site và bakkta* (cpanel, webmail, mail, autodiscover, bakkta.support, bakktat.website, v.v.).
ARIN xác nhận khối này thuộc GITHU / GitHub, Inc. wget/curl hostname LB tạo ra chuỗi 301 chuẩn đến github.com. Dấu vân tay Nmap khớp với hành vi công khai của GitHub. Phân tích lại pcap sau đó xác nhận chuỗi nguồn gốc — Grok, GitHub — trong khi không chứa bất kỳ gói tin nào đến các IP sau này của vụ việc: 45.87.42.74, 159.100.6.5 hoặc 187.33.241.58. Mục đích được công bố là điều tra một pull request trên GitHub; URL PR chưa bao giờ được cung cấp và vẫn là hạng mục mở, chỉ người dùng mới biết.
Pivot 1 – [coindream.site](https://coindream.site/) (Kiến trúc phân tách)
DNS trực tiếp của [coindream.site](https://coindream.site/) cho thấy:
- Bản ghi A (apex và tất cả hostname kiểu cPanel) → 140.82.116.3 (GitHub)
- NS → dns1/dns2.registrar-servers.com (Namecheap BasicDNS)
- MX → Namecheap eforward[1–5]
- TXT/SPF → v=spf1 +a +mx +ip4:159.100.6.5 include:relay.mailchannels.net ~all
- Tạo 2026-01-23, cập nhật 2026-02-01, người đăng ký ẩn danh (Withheld for Privacy ehf, Iceland), clientTransferProhibited, DNSSEC không ký.
Kiến trúc được phân tách có chủ đích: diện web trên edge GitHub chỉ đơn thuần chuyển hướng đến github.com, trong khi ủy quyền mail trỏ đến một node cPanel UltaHost. Forced Host: coindream.site trỏ vào 159.100.6.5 (khi web vẫn còn mở) trả về trang cPanel defaultwebpage meta-refresh 163 byte kinh điển. Việc đặt tên bakkta / bakktat / bakktatr là nhiễu giả lập so với thương hiệu giao dịch Bakkt công khai; không tìm thấy bằng chứng nào về việc xâm phạm thực thể hợp pháp.
Pivot 2 – UltaHost cp5 (159.100.6.5)
Reverse-IP của 159.100.6.5 trả về khoảng 500 hostname và một bản trích xuất sớm gồm ~78 apex duy nhất. Gần như mọi khách thuê đều mang bộ cPanel đầy đủ (cpanel., webmail., webdisk., cpcalendars., cpcontacts., mail., autodiscover., www.). Đầu phiên, cổng 80/443 LiteSpeed mở; đến cuối phiên, nmap (18:50) cho thấy chúng đã bị lọc, chỉ còn 2082/2083 (OpenResty 1.31.1.1 cPanel) mở. Chứng chỉ TLS thuộc họ cp5.fra1.ultacp.com (Let's Encrypt). Các đường dẫn không xác thực trên :2083 sau đó trả về trang kiểm tra bot "One moment, please..." (~12 KB) với các thử thách headless/bytespider.
Nội dung có giá trị cao thu thập được khi HTTPS vẫn còn phản hồi bao gồm:
- shelleasternpetroleum.ae – giao diện Shell Eastern Petroleum, chứng chỉ Let's Encrypt, người đăng ký/liên hệ kỹ thuật WHOIS Christian von Langermann (DURRAQ-R138206K / DURRAQ-T138206K), NS ns1/2/3.ultahost.com, A → 159.100.6.5.
- gamingcomission.co và certificates.* – chủ đề "KGC – Certificates" giả mạo hoa hồng.
- antifraud.click – ứng dụng PHP kiểu AR "xác minh trước khi chuyển tiền" có PHPSESSID và CSP.
- aranttru.com – "Gar T – Online Banking Platform".
- pinupcasinorussia.click – bản sao sòng bạc Pin-Up (body ~169 kB).
- Nhiều tài khoản markets/trading và suspendedpage.cgi.
- 7secondsoflove.com – body duy nhất lớn (~173 kB) trong ffuf vhost.
- Danh sách thư mục Index of / trên một số khách thuê.
ffuf vhost (Host: FUZZ @ https://159.100.6.5/, -fs 163) tạo ra 202 kết quả: 147×200, 50×403 (deny dùng chung), 4×302, 1×301. Chữ ký kích thước phân tách rõ ràng UI đăng nhập cPanel (~40 kB), trang dịch vụ (~12 kB) và trang web duy nhất lớn.
Threat Nmap – Ba IP Đối Chiếu
- 159.100.6.5 (cp5) – chỉ còn 2082/2083 mở (chỉ panel từ đường này).
- 187.33.241.58 (pro114.dnspro.com.br) – bề mặt đầy đủ: Pure-FTPd 21, PowerDNS Auth 4.9.16 trên 53, LiteSpeed 80/443, Dovecot đầy đủ, Exim 4.99.5, cPanel/OpenResty, WHM (pt_br, whostmgrsession), Roundcube webmail, MariaDB 10.11.18 lắng nghe trên cổng 3306 công khai (banner 5.5.5-10.11.18-MariaDB-cll-lve). Banner hostname xác nhận pro114.dnspro.com.br. Reverse-IP cho thấy khoảng 500 khách thuê SME Brazil (advocacia, shop, academia) với mật độ lạm dụng thương hiệu thấp hơn qloud. Các panel sau đó trả về cùng tường lửa bot OpenResty.
- 45.87.42.74 (shared.qloudhost.com) – Pure-FTPd, OpenSSH 8.0 (RHEL 8), BIND 9.11.36, LiteSpeed, DirectAdmin + hệ thống mail Exim, MariaDB 10.6.27 (từng mở công khai), không có cổng cPanel bên ngoài. Đây trở thành host lạm dụng thương hiệu chính.
So sánh bề mặt tại thời điểm nmap cho thấy qloud và pro114 là các hộp full-stack với database công khai; cp5 đã rút lui về chỉ còn panel.
Trang trại lạm dụng thương hiệu Qloud (45.87.42.74)
Reverse-IP tạo ra ~499 hostname / ~207 apex. Trích xuất nghiêm ngặt các tên miền lạm dụng thương hiệu liệt kê được 23 tên miền. Việc thu thập header/title thành công khi cổng 443 vẫn phản hồi đã phát hiện một tập hợp đồng nhất các trang WordPress bán gói bảo hiểm sức khỏe kiểu "X% Desconto":
- saudebradescobr.com.br – "Plano de Saúde Bradesco Empresarial 60%"
- planosaudebr.com.br – "Bradesco Saúde 60%" (WP ~1,9 MB)
- saudeplano.com.br – cùng chủ đề Bradesco
- segurobradescodental.com.br – Bradesco Dental từ R$ 29,90
- vendasbradescosaude.com.br – Bradesco Saúde 50%
- planoamilbrasilia.com.br – Amil Brasília 50%
- planodesaudesulamerica.com.br – SulAmérica 50%
- planodesaudeempresariais.com.br – Empresarial 60%
- vendasplanounimed.com.br – Unimed 50%
- vendassulamericasaude.com.br – Sulamérica 50%
- contratarplanosdesaude.com.br – so sánh các gói
Các khách thuê liền kề ngoài lĩnh vực y tế trên cùng node dùng chung bao gồm bridgecorebank.com (ngân hàng trực tuyến giả), betify4.com (đăng ký sòng bạc), mypaysafe.eu và www-myneosurf.com (công cụ chuyển đổi thanh toán), cùng nhiều trang giả lập và title ngắt quãng (casinoradar365, kaiserpermanenteinc, trustdigitalbank, produbancoecu, ticketmastercolombiaonline, neosurf-remboursement, v.v.).
Khám phá đường dẫn ffuf sau khi hiệu chỉnh tự động thất bại tạo ra lượng lớn soft-404 (200/words≈1498/size≈119xx hoặc 500/2431/words=168). Bài học vận hành rất rõ ràng: sau khi hiệu chỉnh thất bại, hãy lọc mạnh tay (-fw 1498 -fs 2431) và không coi các đường dẫn admin/phpMyAdmin/log là thật. Việc quét tích cực sau đó khiến 45.87.42.74:443 bị giới hạn tốc độ / blackhole trong thời gian dài (QLOUD_DOWN), trong khi DNS vẫn tiếp tục trỏ các tên miền thương hiệu về IP. Việc trinh sát trực tiếp các trang bán hàng của Fabiola do đó bị chặn cho đến khi hết thời gian chờ.
Bản thân QloudHost tiếp thị "Casino Web Hosting" như một dòng sản phẩm — bỏ qua DMCA, thân thiện tiền mã hóa, tập trung quyền riêng tư, hỗ trợ nền tảng cờ bạc và cá cược lưu lượng cao — mang lại lý do thương mại rõ ràng cho mật độ các trang giả lập sòng bạc và thanh toán quan sát được trên cùng một hộp.
Điều tra danh tính
Chính: FABIOLA SILVA SOUZA / FASSO283
- Cá nhân: FABIOLA SILVA SOUZA
- nic-hdl-br: FASSO283
- Email: fabiola@saudeperfeita.com.br
- CPF mask: \*.809.878-
- Handle tạo: 2017-07-21
- NS cho danh mục bán hàng: shared1/2.qloudhost.com
Các tên miền xác nhận thuộc sở hữu (ngày tạo trải dài 2017–2025):
- saudebradescobr.com.br (2017-03-17) – tên miền lâu đời nhất mang tên Bradesco, hoạt động lâu năm
- vendasbradescosaude.com.br (2017-07-11)
- vendassulamericasaude.com.br (2017-10-02)
- planosaudebr.com.br (2021-01-26)
- vendasplanounimed.com.br (2022-11-11)
- segurobradescodental.com.br (2023-05-31)
- planodesaudeempresariais.com.br (2025-02-13)
- planoamilbrasilia.com.br (2025-04-15)
- saudeplano.com.br (2025-04-29)
- contratarplanosdesaude.com.br (2025-05-05)
CLI whois FASSO283 thất bại ("No whois server is known for this kind of object"). Việc mở rộng toàn bộ danh mục cần giao diện web registro.br (hạng mục còn bỏ ngỏ).
Hồ sơ doanh nghiệp công khai xác nhận một pháp nhân khớp tương ứng: Fabiola Silva Souza Seguros Ltda (tên fantasia Nf Seguros Saude), CNPJ 40.950.276/0001-55, thành lập ngày 23 tháng 2 năm 2021, đang hoạt động, địa chỉ Rua Julio de Oliveira 199, Mococa-SP, vốn R$50.000, CNAE cho ngành phụ trợ bảo hiểm/gói bảo hiểm, administrador duy nhất Fabiola Silva Souza. CNPJ ra đời sau các tên miền cũ nhất nhưng cung cấp một khung pháp lý kiểu corretora cho các tên miền ra đời sau đó.
Các nhà đăng ký liền kề trên cùng trang trại
- LEONILDO QUINTILIANO / LEQUI21 / leonildo_1@hotmail.com sở hữu planodesaudesulamerica.com.br (2019, NS qloud) và xuất hiện với vai trò tech-c trên saudeperfeita.com.br. Khớp tên rất chặt với người dùng WordPress "nildo" (id=2).
- ROGER OLIVEIRA DA SILVA / ROOSI28 sở hữu saudeperfeita.com.br (từ 2010, HostGator ns918/919) và được liên kết với Agência Unit (roger@agenciaunit.com).
- TIAGO FERREIRA PENA / TIFPE13 / tiago.ferreira.pena@gmail.com sở hữu planosaudebradescobr.com.br (2025); handle mang cờ saci:yes trong hệ thống khiếu nại registro.br; cùng NS qloud.
[saudeperfeita.com.br](https://saudeperfeita.com.br/) – cầu nối danh tính
Lưu trú tại 162.241.2.92 (HostGator), Apache, WordPress + Yoast 27.2, theme Flatsome, FormCraft 3.8.7 (form.min.js last-modified 2020). Đăng nhập /wp-login.php trả về 200 kèm wordpress_test_cookie; API users đang mở và trả về:
- id=1, slug admin – "admin, Autor em Plano de Saúde"
- id=2, slug nildo – "nildo, Autor em Plano de Saúde"
Nội dung là một trang môi giới planos-de-saúde đầy đủ (logo São Cristóvão Saúde, Prevent Senior, Trasmontano, Amil, các gói cá nhân/gia đình/người cao tuổi/phụ nữ mang thai/trẻ em/công ty, /valores-planos-de-saude/, /cotacao/). Trang cotacao do nildo viết; biểu mẫu lead FormCraft thu thập Nome, Tel fixo, Celular, Email cùng một honeypot. Không có REST namespace biểu mẫu công khai. Các địa chỉ liên hệ thu được từ hệ sinh thái bao gồm contato@agenciaunit.com và số WhatsApp +55 11 96663-5659 (khớp chính xác với trang trực tiếp của Agência Unit). Agência Unit hiện diện như một công ty web/SEO chuyên nghiệp với danh mục công khai và chính sách quyền riêng tư (tham chiếu CNPJ 35.472.056/0001-10 / 15.702.183/0001-64 xuất hiện trên nhiều trang).
Williams Smith / [bridgecorebank.com](https://bridgecorebank.com/)
Tạo ngày 2026-02-24, registrar Name.com, địa chỉ 1020 SE Everett Mall Way, Everett WA 98208, quốc gia VI (dạng quyền riêng tư/proxy). NS trùng với tập NS qloud của Fabiola. Các láng giềng cùng host bao gồm trustdigitalbank, produbancoecu, ticketmastercolombiaonline và các tên miền lạm dụng thương hiệu thanh toán khác. Các máy quét công khai cho tên miền này điểm tin cậy thấp và phân loại là đáng ngờ; title khẳng định "Bridge Core Bank – Online Banking & Financial Services." Đây thuần túy là đồng lưu trú, không phải bằng chứng tương đương danh tính với Fabiola.
Christian von Langermann / [shelleasternpetroleum.ae](https://shelleasternpetroleum.ae/)
Người đăng ký và liên hệ kỹ thuật của trang giả lập Shell trên NS Ultahost (xuất hiện sớm trong vụ việc). Xác nhận A → 159.100.6.5. Không thu được tên miền phụ, email, số điện thoại, mạng xã hội hay hồ sơ công ty nào trong lượt truy cập hiện có. Cụm này vẫn còn một phần và chưa liên kết về danh tính với các nhà điều hành bán gói bảo hiểm y tế Brazil.
Mô hình quy kết – Điều gì được hỗ trợ mạnh mẽ so với điều gì chưa được chứng minh
Được hỗ trợ mạnh mẽ:
- Danh mục tên miền Brazil kéo dài nhiều năm dưới tên Fabiola Silva Souza sử dụng hộp thư saudeperfeita, lưu trú trên qloud, tiếp thị chiết khấu Bradesco/Amil/Unimed/SulAmérica.
- saudeperfeita.com.br là một trang kiểu môi giới đang hoạt động được vận hành với admin/nildo, liên kết với Agência Unit của Roger và Leonildo.
- Cùng ngành + cùng tên miền email + cùng NS lưu trú trên nhiều nhà đăng ký tạo thành một cụm bán hàng có tổ chức.
- CNPJ công khai của Fabiola Silva Souza Seguros Ltda cung cấp khung pháp lý doanh nghiệp.
- Cùng node dùng chung qloud chứa dày đặc các trang lạm dụng thương hiệu kinh điển (ngân hàng giả, đăng ký sòng bạc, công cụ chuyển đổi thanh toán); QloudHost tiếp thị lưu trữ sòng bạc như một sản phẩm.
- GitHub LB / coindream là một hiện vật khởi điểm (khả năng SPF mail + web nghi binh); UltaHost/cp5 và qloud là nơi chứa nội dung lạm dụng/bán hàng.
- pro114 phơi bày toàn bộ bề mặt mail/panel/MariaDB; qloud trước đây cũng tương tự.
- Ít nhất một tên miền bán hàng cốt lõi (vendasbradescosaude.com.br) đã bị các bộ lọc DNS lớn (OpenDNS, Cloudflare, DNS4EU) phân loại là phishing/độc hại trong khi vẫn phân giải về IP qloud.
Chưa được chứng minh:
- Ý định phạm tội so với tiếp thị liên kết tích cực (có thể không tuân thủ). Việc phân loại pháp lý thuộc về điều tra viên, ANS, registrar và luật sư.
- Việc Fabiola = nildo = Roger = Tiago (họ được liên kết qua hạ tầng và thông tin liên hệ, chưa được chứng minh là một người).
- Việc Williams Smith hay các khách thuê sòng bạc/thanh toán là cùng nhà điều hành với Fabiola (chỉ cùng hoster và NS).
- Khối lượng vận hành (lưu lượng truy cập, số lead chốt, hợp đồng thực tế).
Dòng thời gian kỹ thuật theo thứ tự thời gian (tóm tắt)
- khởi động / hotspot
- github.com + reverse-IP của 140.82.116.3
- phát hiện coindream → pivot SPF sang 159.100.6.5
- reverse-IP UltaHost (~500 host), header, WHOIS Shell
- lập bản đồ tường lửa bot cPanel
- nmap mối đe dọa → toàn bộ hạ tầng pro114 + qloud + MariaDB phơi bày
- reverse-IP 187 + 45 → trang trại Bradesco trên qloud
- title trực tiếp trên các thương hiệu qloud
- bài học soft-404 ffuf
- qloud giới hạn tốc độ / blackhole
- danh tính WHOIS → Fabiola / Leonildo / Tiago / Roger
- người dùng WP saudeperfeita + FormCraft / cotacao / bản đồ tác giả
- xác nhận điện thoại/email Agência Unit
- gói xuất dữ liệu + báo cáo tóm tắt + trạng thái hạng mục mở
- tham chiếu chéo CNPJ công khai và cờ của nhà cung cấp
Bề mặt kỹ thuật & quan sát vận hành
- MariaDB công khai trên pro114 (đang hoạt động) và trước đây trên qloud – chỉ ghi nhận để củng cố/báo cáo lạm dụng; không có nỗ lực xác thực nào.
- Tường lửa bot OpenResty/Imunify và blackhole toàn bộ host sau khi trinh sát.
- Nhiễu soft-404 sau khi hiệu chỉnh ffuf thất bại; cần bộ lọc kích thước/số từ.
- Độ tin cậy CT trước đây không ổn định (502); một lần đổ dữ liệu saudebradescobr thành công (242 mục) thu lại các SAN đa nhãn và các tên gần thương hiệu.
- Các sự cố công cụ trong phiên làm việc (hỏng ký tự NUL trong on_ip_now.txt, biến chưa gán dưới set -u, tạm dừng tương tác ffuf) đã được ghi nhận và sửa trong các script làm việc.
Chính sách vẫn là tuyệt đối: không tấn công thông tin xác thực, không đăng nhập MySQL, không phát triển exploit.
Các địa chỉ liên hệ tốt nhất & IOCs
- ĐIỆN THOẠI: +55 11 96663-5659 (Agência Unit)
- EMAIL: contato@agenciaunit.com
- EMAIL: fabiola@saudeperfeita.com.br
- EMAIL: leonildo_1@hotmail.com (+ WP nildo)
- EMAIL: roger@agenciaunit.com
- EMAIL: tiago.ferreira.pena@gmail.com
- IP: 45.87.42.74 shared.qloudhost.com (trang trại thương hiệu + láng giềng)
- IP: 187.33.241.58 pro114.dnspro.com.br (cPanel đầy đủ + MySQL)
- IP: 159.100.6.5 cp5.fra1.ultacp.com (UltaHost; SPF/coindream)
- IP: 162.241.2.92 HostGator (saudeperfeita)
- IP: 140.82.116.3 GitHub SEA LB (điểm khởi đầu)
- SITE: https://saudeperfeita.com.br/
- SITE: https://agenciaunit.com/
- WP: admin, nildo @ saudeperfeita
- CNPJ: 40.950.276/0001-55 (Fabiola Silva Souza Seguros Ltda / Nf Seguros Saude)
Đánh giá kết luận
Phiên trinh sát đã tạo ra một bản đồ danh tính và hạ tầng độ phân giải cao về một hệ sinh thái bán gói bảo hiểm sức khỏe Brazil kéo dài nhiều năm, sử dụng tên thương hiệu của các nhà khai thác lớn, một công ty seguros đã đăng ký, một trang trung gian môi giới trên HostGator, và shared hosting bỏ qua DMCA dùng chung, đồng thời chứa dày đặc ngân hàng giả, sòng bạc giả lập và công cụ chuyển đổi thanh toán. Đường đi vào — từ reverse-IP máy cân bằng tải GitHub xuyên qua lớp vỏ kiến trúc phân tách đến hai node shared dày đặc — được ghi lại đầy đủ trong bản ghi gói tin và đầu ra công cụ. Nameserver dùng chung và tên miền email saudeperfeita liên kết chặt chẽ các nhà điều hành bán gói bảo hiểm; riêng việc đồng lưu trú không mở rộng tuyên bố danh tính đó sang các khách thuê tài chính hoặc cờ bạc. Toàn bộ quan sát nằm trong ranh giới trinh sát thụ động và chủ động nhẹ. Một số hạng mục mở có giá trị cao (toàn bộ danh mục registro.br, khôi phục nội dung qloud, các pivot von Langermann) vẫn sẵn sàng cho công việc thụ động trong tương lai.
Bản đồ thực thể & hạ tầng hoàn chỉnh
Điểm khởi đầu / Nguồn gốc
- pcap, github.com (140.82.116.4), lb-140-82-116-3-sea.github.com (140.82.116.3).
- Reverse-IP 140.82.116.3 → coindream.site + subdomain bakkta* + bộ cPanel.
[coindream.site](https://coindream.site/) (lớp vỏ cầu nối)
- A: 140.82.116.3 (GitHub SEA LB)
- NS: dns1/2.registrar-servers.com (Namecheap)
- MX: Namecheap eforward
- SPF: ip4:159.100.6.5 + MailChannels
- Tạo 2026-01-23, người đăng ký ẩn danh (Withheld for Privacy ehf)
- Forced Host trên 159.100.6.5 trước đây trả về cPanel defaultwebpage
UltaHost cp5 (159.100.6.5 / [cp5.fra1.ultacp.com](https://cp5.fra1.ultacp.com/))
- ~500 hostname / ~78–395 apex trực tiếp
- Đầu phiên: 80/443 LiteSpeed mở → sau đó bị lọc; 2082/2083 OpenResty cPanel mở; tường lửa bot "One moment, please..."
- Có giá trị cao: shelleasternpetroleum.ae (Christian von Langermann, ID DURRAQ, NS Ultahost), gamingcomission, antifraud.click, aranttru.com, pinupcasinorussia.click, markets/trading, 7secondsoflove.com, danh sách thư mục
[pro114.dnspro.com.br](https://pro114.dnspro.com.br/) (187.33.241.58)
- Full-stack: Pure-FTPd, PowerDNS, LiteSpeed, Dovecot, Exim, cPanel/WHM, Roundcube, MariaDB 10.11.18 công khai cổng 3306
- Host cho onlinebradescosaude.com.br (rời cp5); mật độ lạm dụng thương hiệu thấp hơn (~500 khách thuê SME Brazil)
qloud / [shared.qloudhost.com](https://shared.qloudhost.com/) (45.87.42.74) – host lạm dụng thương hiệu chính
- Reverse-IP ~499 hostname / ~207 apex
- Danh sách lạm dụng thương hiệu nghiêm ngặt: 23 tên miền
- Title trực tiếp (khi truy cập được): saudebradescobr.com.br, planosaudebr.com.br, saudeplano.com.br, segurobradescodental.com.br, vendasbradescosaude.com.br, planoamilbrasilia.com.br, planodesaudesulamerica.com.br, planodesaudeempresariais.com.br, vendasplanounimed.com.br, vendassulamericasaude.com.br, contratarplanosdesaude.com.br
- Lạm dụng liền kề: bridgecorebank.com, betify4.com, mypaysafe.eu, www-myneosurf.com, casinoradar365, các trang giả lập kaiserpermanenteinc, trustdigitalbank, produbancoecu, ticketmastercolombiaonline, v.v.
- Trước đây: OpenSSH 8.0, BIND, LiteSpeed, mail DirectAdmin, MariaDB 10.6.27
- Sau đó: bị giới hạn tốc độ / blackhole từ đường trinh sát
Cụm danh tính (FASSO283 là chính)
- FABIOLA SILVA SOUZA / nic-hdl FASSO283 / email fabiola@saudeperfeita.com.br / CPF ẩn \*.809.878- / handle được tạo vào 2017-07-21
- Tên miền (đã xác nhận qua WHOIS, tất cả đều dùng NS qloud): saudebradescobr.com.br (2017-03-17), vendasbradescosaude.com.br (2017-07-11), vendassulamericasaude.com.br (2017-10-02), planosaudebr.com.br (2021-01-26), vendasplanounimed.com.br (2022-11-11), segurobradescodental.com.br (2023-05-31), planodesaudeempresariais.com.br (2025-02-13), planoamilbrasilia.com.br (2025-04-15), saudeplano.com.br (2025-04-29), contratarplanosdesaude.com.br (2025-05-05)
- CNPJ công khai: Fabiola Silva Souza Seguros Ltda (Nf Seguros Saude), 40.950.276/0001-55, Mococa-SP, thành lập 2021-02-23, đang hoạt động, vốn R$50k
Chủ đăng ký liên quan (cùng farm / cùng NS)
- LEONILDO QUINTILIANO / LEQUI21 / leonildo_1@hotmail.com → planodesaudesulamerica.com.br; tech-c của saudeperfeita; tác giả WP "nildo"
- ROGER OLIVEIRA DA SILVA / ROOSI28 / roger@agenciaunit.com → saudeperfeita.com.br (HostGator từ 2010); Agência Unit
- TIAGO FERREIRA PENA / TIFPE13 / tiago.ferreira.pena@gmail.com → planosaudebradescobr.com.br; flag saci:yes
saudeperfeita.com.br (site cầu nối)
- A: 162.241.2.92 (HostGator)
- WP + Flatsome + FormCraft 3.8.7; users API mở → admin (id=1), nildo (id=2)
- Trang Cotacao do nildo tạo; form lead (Nome/Tel/Celular/Email + honeypot)
- Liên hệ: contato@agenciaunit.com, +55 11 96663-5659
Khác
- Williams Smith → bridgecorebank.com (cùng NS qloud, dạng privacy/VI, địa chỉ Everett WA)
- Christian von Langermann → shelleasternpetroleum.ae (NS Ultahost → cp5)
Tín hiệu bổ sung công khai
- vendasbradescosaude.com.br bị OpenDNS, Cloudflare, DNS4EU gắn cờ phishing/phần mềm độc hại (tháng 3/2026)
- QloudHost tiếp thị Casino Web Hosting như một dòng sản phẩm (bỏ qua DMCA, tiền mã hóa, quyền riêng tư)
- bridgecorebank.com điểm tin cậy thấp, bị phân loại đáng ngờ
- Không có bằng chứng công khai nào cho thấy nhà điều hành coindream hay Williams Smith chính là Fabiola
