Quantitative Security đã dành khoảng thời gian từ ngày 31 tháng 7 đến ngày 9 tháng 10 năm 2026 cho loạt bài công khai mà bản đánh giá giữa năm đã xây dựng công cụ để sản xuất. Loạt bài này trải dài từ hoạt động trinh sát dải địa chỉ đám mây ngày 31 tháng 7 cho đến mồi nhử thẻ Coinbase không thanh toán ngày 9 tháng 10, được phát hành dưới dạng nội dung dài TLP:CLEAR trên X. Tháng 8 xoay phương pháp này vào bên trong: một "hàng xóm" GitHub được truy nguyên về danh tính nhân viên bán bảo hiểm y tế, chính tên miền của công ty được đo lường như một mục tiêu bên ngoài, và nhãn nhà mạng suốt một năm được đối chiếu với cơ sở đăng ký. Tháng 9 áp dụng cùng phương pháp rút gọn đó cho một tường lửa hộ gia đình và một xưởng tạo tên miền rải rác (snowshoe mill), đồng thời giữ các nền tảng chứa những trường hợp đó trong phân lớp riêng. Tháng 10 tách một nhật ký loại bỏ thành phép đo, các mạng thù địch đã biết và công cụ của chính công ty, đặt ra một tuyên bố rộng hơn về Yandex Compute đối chiếu với tài liệu của nhà cung cấp, và theo dõi một bộ công cụ làm thẻ cho đến khi có hóa đơn không được thanh toán.
Mỗi sản phẩm đều chuyển đổi dữ liệu viễn trắc thô và nguồn mở thành kết quả đã được quy kết, ưu tiên hóa và sẵn sàng phòng thủ. Một cái tên chỉ được gắn vào khi bằng chứng thực sự gắn nó vào. Nền tảng, tenant, dự án khảo sát và chữ ký vượt qua từng yếu tố đều giữ nguyên phân lớp mà bài viết đã gán cho chúng. Phần kết luận liệt kê các phương pháp đã sử dụng, các phương pháp đã ánh xạ, và nhóm, tenant hoặc phân lớp nằm trên mỗi phương pháp đó.
Loạt Báo Cáo
Bề Mặt Đám Mây Tồn Dư — 31 Tháng 7
Một lượt quét bên ngoài có cấu trúc trên khoảng 115 địa chỉ đã phân loại được môi trường production đang hoạt động, dịch vụ tồn dư và tài sản bị bỏ hoang. Dịch vụ lưu trữ chia sẻ của Thổ Nhĩ Kỳ tại 104.247.165.210 (silaoglu.com, banner hiển thị mt-rohan.guzelhosting.com) phơi bày toàn bộ stack mail và web: Pure-FTPd, Dovecot, Exim, MySQL và LiteSpeed, kèm theo proxy SOCKS5 và HTTP có xác thực cùng các chứng chỉ ngắn hạn. Khối lượng lớn nhất nằm trong không gian của Tencent và Aceville và được lọc rất chặt. Số ít phản hồi chính là bề mặt tồn dư: Nginx Proxy Manager trên cổng 81, một ứng dụng Next.js đang chạy dưới đường dẫn /arena, proxy có xác thực trên các cổng cao, Windows Remote Desktop với tên máy chủ kiểu nội bộ, và các chứng chỉ còn sót lại của thương hiệu eSIM GENIEX cũng như của các thương hiệu game Indonesia và Việt Nam, bao gồm một tựa game Dragon Raja vẫn đang được phục vụ bởi Jetty cũ kỹ. Một tập nhỏ liên quan đến Lào trên một địa chỉ Tencent hiển thị các trang web thẩm mỹ y khoa và xe cũ bằng tiếng Trung với dấu vết công khai rất mỏng. Sản phẩm này áp dụng đúng cách phân tách mà bản đánh giá giữa năm đã dùng cho vùng biên của Google. Lưu lượng production và dịch vụ bị bỏ hoang là hai phát hiện khác nhau, và chỉ cái thứ hai mới là vấn đề cần chặn và tăng cường bảo mật. https://x.com/i/article/2083245764969635841
Tương Tác Tình Báo Phòng Vệ — 1 Tháng 8
Cuộc tương tác bắt đầu khi một địa chỉ được che giấu, định vị địa lý tại Iran, truy cập vào hạ tầng của Quantitative Security. Việc tấn công phi kỹ thuật (social engineering) vào tương tác đó đã bẫy được một tập hợp địa chỉ, sau đó mở rộng qua một trang web được tạo riêng nhằm thu thập thông tin hạ tầng của khách truy cập. Đường cơ sở được công bố nêu tên GoCodeIT Inc. ở Thornhill, Ontario, trên các proxy có xác thực tại 65.111.5.29 và 74.119.149.79; một CloudPanel 2.5.2 phơi bày tại 103.255.134.61 cho technofaq.org; một CodePushServer kiểu Microsoft tại 152.32.169.33 trên cổng 8888; rejekibet.com là nền tảng cờ bạc tiền thật của Indonesia với các bản sao lừa đảo xung quanh thương hiệu này; Windows Remote Desktop tiếp xúc internet, bao gồm 38.107.237.68; geniex.com là một dịch vụ SIM ảo của Nigeria đang trong giai đoạn ngừng hoạt động, bản thân tên miền phân giải về AWS; và acmmanufacturer.com, trước đây nằm trên không gian Tencent tồn dư và sau đó chuyển sang Zenlayer thông qua chukouplus.com. Các máy chủ proxy trong dải 104.207.0.0/16 yêu cầu xác thực, cung cấp chứng chỉ có thời hạn khoảng bảy ngày và trả về 404 trên các đường dẫn quản trị bị dò. Các listener Zeus-admin vẫn bị lọc. Nhãn định vị địa lý trên địa chỉ mở đầu là điểm khởi đầu của cuộc tương tác. Bài viết không gán cho bất kỳ nhóm quốc gia có tên nào. Tập dữ liệu được đóng lại làm đường cơ sở cho nửa cuối năm. https://x.com/i/article/2083388096285179904
Bộ Cân Bằng Tải GitHub Dẫn Đến Trang Trại Bán Bảo Hiểm Y Tế Brazil — 8 Tháng 8
Một phiên hotspot ngày 7 tháng 8 với QuantumGuard và một bản ghi gói tin bắt đầu từ một pull request trên GitHub và thao tác reverse-IP của bộ cân bằng tải Seattle 140.82.116.3 (lb-140-82-116-3-sea.github.com). Địa chỉ đó đồng lưu trữ coindream.site: web trên GitHub, bản ghi SPF của mail trỏ về UltaHost cp5 159.100.6.5, tạo ngày 23 tháng 1 năm 2026, người đăng ký ẩn danh, DNS Namecheap. Bản ghi không chứa gói tin nào tới các địa chỉ của vụ việc sau này. UltaHost nắm giữ khoảng 500 tên miền, bao gồm shelleasternpetroleum.ae đăng ký cho Christian von Langermann, cùng với gamingcomission.co, antifraud.click, aranttru.com, và pinupcasinorussia.click. Các cổng web sau đó bị lọc chỉ còn cPanel trên 2082 và 2083. pro114.dnspro.com.br tại 187.33.241.58 phơi bày toàn bộ stack mail và panel cùng MariaDB 10.11.18 công khai.
Nút chính là shared.qloudhost.com tại 45.87.42.74, một trang trại bán bảo hiểm y tế Brazil hoạt động từ 2017–2025 sử dụng các thương hiệu Bradesco, Amil, Unimed và SulAmérica. WHOIS của danh mục cốt lõi là Fabiola Silva Souza, handle FASSO283, hộp thư tại saudeperfeita.com.br. Hồ sơ công khai trong bài viết khớp với CNPJ 40.950.276/0001-55, Fabiola Silva Souza Seguros Ltda, Mococa, São Paulo, mở ngày 23 tháng 2 năm 2021. Trang web cầu nối saudeperfeita.com.br nằm trên HostGator tại 162.241.2.92, với người dùng WordPress là admin và nildo, được bài viết liên hệ với Roger Oliveira da Silva của Agência Unit và Leonildo Quintiliano. Tiago Ferreira Pena là một người đăng ký lân cận trên cùng nameserver. Cùng nút đó cũng chứa các trang giả mạo ngân hàng, đăng ký casino và bộ chuyển đổi Paysafe, Neosurf. QloudHost quảng bá dịch vụ lưu trữ casino. Nameserver dùng chung và hộp thư saudeperfeita liên kết các nhà điều hành bảo hiểm y tế. Việc dùng chung node không mở rộng danh tính đó sang các tenant tài chính hay cờ bạc. vendasbradescosaude.com.br vẫn nằm trên địa chỉ qloud sau khi OpenDNS, Cloudflare và DNS4EU đã phân loại nó là phishing. Những điểm còn bỏ ngỏ trong bài: toàn bộ danh mục registro.br, URL pull request ban đầu, và các bước pivot phụ về von Langermann. https://x.com/i/article/2085939414463631360
Tên Miền Của Chính Mình Như Một Mục Tiêu Bên Ngoài — 15 Tháng 8
Từ ngày 9 đến 14 tháng 8, quantitativesecurity.org được kiểm tra bằng chính những bước đi đầu tiên mà một kẻ săn mồi bên ngoài sẽ sử dụng. Máy chủ gốc sạch. Dịch vụ lưu trữ là anycast đa người thuê của Squarespace, với bộ p07 của NS1 cộng thêm DNS Squarespace, Let’s Encrypt trên các tên khách hàng, và mã 403 từ các địa chỉ trần mang chứng chỉ DigiCert cho *.squarespace.com. nmap báo cáo một triển khai Go net/http trong khi header Server lại ghi Squarespace. Cặp này là một vùng biên được mô tả ở hai lớp. Khoảng 1.900 tên .academy dùng chung nền tảng. Các chỉ dấu kiểu Gophish được kiểm tra và không xuất hiện. QuantC và QuantumGuard ghi nhận đợt tự trinh sát này là nhiễu nền tảng, đó chính là sự thật nền tảng mà các cảm biến này cần. Rủi ro tồn dư đáng kể là danh tính: không MX, không SPF, không DMARC, và đăng ký sắp hết hạn vào tháng 9 năm 2026. Một máy chủ gốc sạch nhưng luồng mail không được ký vẫn là một bề mặt tấn công. https://x.com/i/article/2088437251508436992
Các Cấp Độ Năng Lực — 15 Tháng 8
Một bài tiểu luận đi kèm phân tách các băng nhóm tội phạm với các tác nhân được nhà nước hậu thuẫn dựa trên chiến thuật và tổng số tiền tích lũy, đồng thời dành một hạng mục thứ ba cho các hoạt động phơi bày không lấy đi thứ gì. Ở mức thấp, ví dụ được ánh xạ trong bài là một kẻ gọi điện được biết đến với biệt danh Man hands, hay còn gọi là Tiffany M.: giả danh hỗ trợ ví cứng và sàn giao dịch, chiếm đoạt ít nhất 5 triệu USD, nhắm vào Trezor và Coinbase, giả mạo email BitcoinIRA, dùng panel do đồng bọn cung cấp, an ninh vận hành yếu kém. Con số đó là tổng thiệt hại do kẻ gọi điện này gây ra theo bài viết. Ví dụ tầm trung trong cùng bài là Dritan Kapllani Jr. với khoảng 19 triệu USD, và John Daghita, biệt danh Lick, với hơn 46 triệu USD từ các ví bị Cục Cảnh sát Tư pháp Hoa Kỳ tịch thu, cùng tổng hoạt động tình nghi rộng hơn lên tới trên 90 triệu USD, sau đó đã bị bắt. Ví dụ tội phạm cao hơn là nhóm Greavys, Wiz và Box, chiếm khoảng 243 triệu USD từ một chủ nợ Genesis duy nhất. Các ví dụ được nhà nước hậu thuẫn gồm Lazarus và vụ trộm Bybit tháng 2 năm 2025 trị giá khoảng 1,5 tỷ USD; UAC-0145, được bài viết liên hệ với Sandworm / APT44, sử dụng phỏng vấn xin việc giả mạo nhắm vào chuyên gia CNTT Ukraine và cấu hình VPN làm phương thức phát tán; cùng Laundry Bear, được mô tả là nhóm liên quan đến Nga sử dụng thông tin xác thực bị xâm phạm nhắm vào chính phủ, quốc phòng và hạ tầng trọng yếu. https://x.com/i/article/2088672299868377088
Khu Vực Lân Cận .academy — 17 Tháng 8
Thao tác reverse-IP trên bộ tứ kết nối Squarespace đã tổng hợp được 2.020 tên miền lân cận. 1.898 tên kết thúc bằng .academy, và 1.767 trong số đó vẫn chỉ phân giải về 198.49.23.144, 198.49.23.145, 198.185.159.144 và 198.185.159.145, AS53831. Có 54 địa chỉ duy nhất xuất hiện trong toàn bộ tập hợp. Bốn mươi trên bốn mươi tên Squarespace được lấy mẫu đều trả về header Squarespace và cookie crumb. Các báo cáo lạm dụng và URL malware ngoại tuyến trong lịch sử trên 198.49.23.145, bao gồm các đường dẫn Cobalt Strike và Mozi, được bài viết gắn với các tenant khác trên vùng biên dùng chung. Ranh giới tài sản là tên thương hiệu và bốn địa chỉ kết nối chính thức. Tên các trường học không bị đưa vào danh sách chặn. Uy tín dựa trên địa chỉ thay vì tên máy chủ là chi phí của nền tảng, và nó được ghi nhận đúng như vậy. https://x.com/i/article/2089015652753502208
Lớp Danh Tính — 17 Tháng 8
Họ nhà đăng ký, cặp nameserver kép và bốn địa chỉ anycast của cùng tên miền đó là đường cơ sở hợp pháp, và chúng cũng là bề mặt mà kẻ giả mạo sao chép. Squarespace, Cloudflare, Vercel, GitHub Pages và AWS Global Accelerator vốn đã mang theo uy tín, header và các tổ chức cấp chứng chỉ. Một máy chủ nước ngoài vẫn thất bại theo hướng đóng, nên việc chặn địa chỉ đơn thuần sẽ gây nhiều nhiễu. Các đòn bẩy mà bài viết nêu ra nằm ở nhà đăng ký: chuyển nhượng, đổi nameserver, vệ sinh thông tin liên hệ và tuổi đăng ký, sau đó là một tên miền giống hệt hoặc một tên tùy ý đỗ trên vùng biên đáng tin cậy. Mười hai trong số hai mươi bảy tên gốc .academy ngoại lệ ở phần đếm đi kèm được đăng ký tại Squarespace Domains nhưng lưu trữ ở nơi khác. Các biện pháp kiểm soát tương ứng với lớp bị thao túng gồm khóa nhà đăng ký, xác thực đa yếu tố của nền tảng, Certificate Transparency trên các tên giống hệt, và bản ghi SPF hard-fail nếu tên miền không gửi mail. https://x.com/i/article/2089012676634738688
Một Phân Bổ Của Verizon Được Ghi Nhận Là T-Mobile — 23 Tháng 8
Ngày 5 tháng 8, một báo cáo nội bộ gắn nhãn tiền tố khách hàng 2600:1010:b204:: là kiểu T-Mobile. Chiếc điện thoại này luôn chỉ dùng Verizon, chủ sở hữu ban đầu. ARIN hiển thị NetName WIRELESSDATANETWORK, tổ chức Verizon Business (MCICS), đăng ký ngày 6 tháng 4 năm 2010, bao phủ từ 2600:1000:: đến 2600:1017:ffff::. Các nguồn cấp asname mềm và định vị địa lý mang nhãn T-Mobile từ tháng 10 năm 2025 cho đến ngày có báo cáo đó. Một lần kéo dữ liệu trực tiếp ngày 21 tháng 8 trả về Team Cymru AS6167 CELLCO-PART và RIPE AS22394 CELLCO. Phân bổ này chưa hề di chuyển. Quy trình làm việc được công bố cùng bài viết chính là quy trình cho phần còn lại của loạt bài này: quy kết công cụ, rồi đến tenant, rồi đến sổ đăng ký. https://x.com/i/article/2091560316878671872
Kiểm Kê Năm 2023, Đã Xếp Hạng — 23 Tháng 8
Hai trăm chín mươi tư ảnh chụp màn hình từ một đường truyền dân cư Charter ở New York đầu năm 2023 được chuyển tiếp thành một tập hợp có xếp hạng: khoảng 1.450 địa chỉ IPv4, trong đó khoảng 1.266 là công khai, trên thang đo rõ ràng từ T1 đến T5. Lượt quét năm 2026 đã đóng các dịch vụ trước khi để hở bất cứ thứ gì. 103.235.46.191 là vùng biên phân tích Hồng Kông của Baidu, hm.baidu.com, AS55967. 23.82.31.230 là TradingView trên Leaseweb. Một địa chỉ thuộc dải Boeing được đưa vào danh sách chỉ có tài liệu. Báo cáo công khai sau này về một vụ xâm nhập LockBit nhắm vào mảng linh kiện của Boeing có chung tên tổ chức với dòng tài liệu đó và không chung phiên nào. Sự cố mất thoại tháng 2 năm 2023 của Charter, các tuyên bố Storm-0558 tháng 7 năm 2023, báo cáo Salt Typhoon sau đó, và thông báo ngày 22 tháng 8 năm 2023 của chính Leaseweb là các khung ngữ cảnh. https://x.com/i/article/2091569041584619520
GitHub Trên Fastly — 27 Tháng 8
QS-NetHarden chạy trên kết nối tether từ điện thoại. Thời điểm bắt đầu ghi nhận là 09:08 PDT ngày 26 tháng 8. NetCloak trình diện một danh tính Windows mới. Mồi nhử Artillery được bật lên với chế độ cấm tắt. Phantom-QS luân chuyển Firefox 128. Không có gì trong nhật ký honeypot sáng hôm đó là một cú đánh từ xa. DNS chính là người vận hành: proxy chat, bộ cân bằng tải của GitHub, Actions, Copilot, rồi release-assets.githubusercontent.com. Tiền tố bao trùm 185.199.108.0/22 là RIPE US-GITHUB-20170413, tổ chức GitHub, nguồn BGP AS54113 Fastly. Danh sách địa chỉ công khai của chính Fastly không bao gồm nó. Bộ .133 là nơi hứng toàn bộ nội dung. Bộ .154 là bản phát hành và gói. Cửa trước của Actions là Microsoft 13.107.42.0/24 và 13.107.43.0/24, và pipelines.actions phân giải về 13.107.43.16 trong lượt đó. URLhaus chứa các URL malware trên tên release-assets, và Harden-Runner đã gắn cờ nó. Tên máy chủ là chiếc xe tải. Tác nhân là hàng hóa và chặng kế tiếp không phải GitHub. Hãy chặn máy chủ ảo phái sinh. Để yên lá, bộ hứng Fastly, Azure Front Door, các bản chụp khu vực và cảm biến. https://x.com/i/article/2093021792923508736
Một Xưởng Tạo Lead Snowshoe — 29 Tháng 8, tiếp tục 7 Tháng 9
Ngày 27 tháng 8, một hộp thư duy nhất nhận 72 tin nhắn rác tự động về bảo hiểm xe hơi và thẻ tín dụng, 156 liên kết duy nhất, 71 tên miền From. Việc gom cụm tiêu đề tạo ra ba cặp trùng lặp. Điểm bất biến là token e6jbv4z trong mọi nội dung và mọi liên kết. Các cú click sử dụng nhãn hai ký tự trên một tên miền gốc cũ và đường dẫn PHP dạng /r cộng với chuỗi hex. Policy Plug chiếm 51 trong 72 tin. Easy Insurance Match, Endurance, và Indigo cùng Destiny Mastercard chỉ là lớp vỏ bọc. Một tập con lớn sao chép số NMLS 1136 của LendingTree và một địa chỉ đường phố ở Charlotte. LendingTree là nạn nhân bị đánh cắp footer. Mail và click nằm trên NForce, AS43350, trong 185.47.200.0/24 và 185.47.203.0/24: nginx, PHP 7.4.33, cổng 443 đóng, 25 bị lọc. Các tên miền là kho tên cũ của Name.com. Yêu cầu HEAD nhận về mã 403 nginx chung chung. Yêu cầu GET kiểu trình duyệt nhận về 302 chuyển hướng tới trang đích CAKE, offer a=44 và c=2701, trên taobmaets.com, hoặc trang hủy đăng ký trên keycanvascanvas.com. Tệp đính kèm được đặt tên như file Office thực chất là plaintext. ClamAV báo sạch. Một header Host, mediaignorance.com, trả về cùng nội dung 52.667 byte từ bảy địa chỉ trong dải /24. WHOIS chưa che giấu trên bốn tên miền gốc nêu tên Robert Carpino, được các bài viết coi là điểm pivot. Người mua phía sau offer CAKE chưa được xác định. Ngày 7 tháng 9, một đợt thu thập nữa với cùng token và cùng dạng đường dẫn, lớp vỏ bảo hiểm xe hơi và Indigo, được công bố là đã có sẵn trong cơ sở dữ liệu của AT&T. Bài đăng khẳng định có một bộ nameserver dùng chung nhưng không in nó ra. Hành động phòng thủ là chặn token, đường dẫn và hai tiền tố NForce, báo cáo tới abuse@nforce.com và nhà đăng ký, với dòng NMLS bị đánh cắp được xác định là hành vi trộm footer. https://x.com/i/article/2093528643779825664 https://x.com/i/article/2093532720119083008 https://x.com/i/article/2097103637160022017
Tường Lửa Hộ Gia Đình, Lượt Đầu — 5 Tháng 9
Nhật ký cổng mạng dân cư AT&T ghi nhận 296 sự kiện trong 26 phút, 188 địa chỉ duy nhất, 169 trong số đó là công khai. Lát cắt này là bức xạ nền của một IPv4 công khai. Các thẻ từ ngày 31 tháng 8 đã nêu tên QNAX, Recyber, Infrawatch, Xpanse, Censys, Pfcloud và CHINANET. Ba phát hiện là mới. QNAX 45.140.193.187 đập vào WAN mười lần trong 21 phút. Bài viết trích dẫn 408 báo cáo AbuseIPDB từ 170 nguồn, tất cả đều thù địch, và một cuộc brute force VNC trên tcp/5900 dùng RFB 003.008. qnax.sh bán chính sản phẩm VPS, RDP và console-VNC đó. Kết nối inbound đầu tiên có tên bên trong một mạng Spamhaus DROP là Pfcloud 176.65.149.233, trong 176.65.148.0/22, lúc 11:58. n8n.pfcloud.io nằm trên 176.65.148.168. sso.pfcloud.io tự nhận là authentik. Đợt phun quét của Tamatiya và 4vendeta trên 79.124.58.0/24, 79.124.49.0/24 và 78.128.114.0/24 bao gồm 79.124.58.90, tên reverse là ip-58-90.superbit.host và bí danh là urlforward.topdns.com, cùng địa chỉ DigitalOcean với ns-usa.topdns.com tại 143.198.68.197. Mở rộng thụ động topdns.com trả về 517 nhãn, nhiều nhãn trùng thương hiệu, gần như tất cả không có địa chỉ. Nameserver vẫn không bị chặn. Máy chủ ưu tiên là 45.140.193.187, 79.124.58.18, 79.124.58.90, 79.124.49.90, 78.128.114.46 và 78.128.114.162. Mạng tùy chọn là các lát cắt khách hàng và vận hành của Tamatiya cùng Pfcloud 176.65.148.0/22 cộng thêm 204.76.203.0/24. Được để yên cùng chúng: TopDNS, bộ thu thập CriminalIP, vùng biên Cloudflare, máy quét census và Telepoint 78.128.42.0/24. Liên hệ báo cáo lạm dụng được công bố cùng bài là abuse@qnax.com.br và noc@4vendeta.com. Cảm biến đặt trên hotspot. LAN không bị quét. Bài viết dựa trên ghi chú Tamatiya ngày 24 tháng 7 từ loạt bài nửa đầu năm. Một con trỏ website ngày 4 tháng 9 mang tiêu đề loạt bài và trỏ về trang công ty; bản ghi X của phép đo chính là bài viết này và bài tiếp theo. https://x.com/i/article/2096029788624523264
Tường Lửa Hộ Gia Đình, Phần Còn Lại — 6 Tháng 9
Hai khung thời gian 29 tháng 8 và 5 tháng 9 cộng lại tạo ra 530 sự kiện duy nhất và 270 địa chỉ công khai inbound. Bài thứ hai này là 105 địa chỉ còn sót lại, sau khi đã gạt máy quét census và các bên dò tìm thương mại có tên sang một bên. Bảy mươi tư trong 108 địa chỉ được kiểm tra xuất hiện trong một nguồn cấp công khai ngày hôm đó. Không địa chỉ nào xuất hiện trong Feodo, SSLBL, ThreatFox hay Emerging Threats. Hai mươi mốt địa chỉ nằm trong các tiền tố Spamhaus DROP ngày 4 tháng 9, bao gồm dải /22 của Pfcloud. Bài viết trích dẫn một báo cáo ngày 25 tháng 6 về việc khai thác UniFi OS phát đi từ 176.65.148.183 trong tiền tố đó, cùng việc CISA bổ sung CVE-2026-34908, CVE-2026-34909 và CVE-2026-34910 ngày 23 tháng 6. Ghosty 43.228.157.0/24 và Stormcloud 94.154.43.0/24 là các khu vực Mirai trên URLhaus trong cùng bài viết. Địa chỉ inbound ồn ào nhất còn lại vẫn là QNAX 45.140.193.187, với số đếm trong bài là 412 báo cáo, lần cuối thấy ngày 1 tháng 9 trên cổng 5000. 46.146.238.1 là máy chủ URLhaus chính xác cho một dropper cổng cao, với telnet mở. UniFi OS trên 195.252.206.160 không có cú hit nào từ nguồn cấp địa chỉ và khớp lớp dịch vụ với SAB-067, CVE-2026-77550, ngày 26 tháng 8. EMBNEX 16.5.0.0/24 là tám nguồn dump; website embnex.com dùng CloudFront. Một đoạn HTML ngắn giống hệt nhau trên các mạng không liên quan là trang sink. Khuyến nghị là chặn các mạng này. https://x.com/i/article/2096732079388299264
Lưu Lượng Ra Từ Hotspot Tới Node Quản Lý — 14 Tháng 9
Lưu lượng từ thiết bị cá nhân trên hotspot iPhone chạm tới 113.176.118.150, có tên static.vnpt.vn và rdp.cdmt.vn. Địa chỉ này trình diện MikroTik RouterOS 6.49.13, Nginx Proxy Manager trên cổng 80, HTTPS chặn theo tên trên 443, trang đăng nhập MeshCentral công khai trên 5009, đăng nhập UniFi công khai trên 8443, hai daemon SSH trên 8080 và 8090, cùng một dịch vụ kiểu CONNECT chưa xác định trên 8088 có liên quan đến tên CloudFront d3azdm1q0gvo54.cloudfront.net. Giả thuyết được công bố là một cổng và node quản lý tiếp xúc internet. Lưu lượng ra hướng tới nó từ hotspot cá nhân vẫn là trái phép cho đến khi được ánh xạ với một ứng dụng, người dùng hoặc thiết bị đã biết. https://x.com/i/article/2099540826854715392
Một Danh Sách Chờ Mỏng Manh — 22 Tháng 9
uythjmnglk.xyz được đăng ký tại Dynadot ngày 14 tháng 9 năm 2026, qua proxy ẩn danh, trên cặp nameserver phoenix và wilson của Cloudflare, không có DNSSEC. Chỉ tên gốc và www phản hồi. Ngoài mạng cục bộ, ứng dụng là một danh sách chờ mang tiêu đề “You’re on the list”, gửi email tới đường dẫn đăng ký dưới token v:897qvxac7fny03ac. Trên cổng AT&T, cùng tên đó trả về một trang chèn ngắn với lý do là malware. Trang đó là của nhà mạng, không phải máy chủ gốc. Hai địa chỉ Cloudflare đứng trước tên này xuất hiện trong phụ lục Mystic Stealer tháng 6 năm 2023. Chúng là anycast dùng chung, và có ba năm khoảng cách giữa phụ lục đó và lần đăng ký này. Các tên casino và 4D đăng ký cùng ngày tại cùng nhà đăng ký dùng một cặp nameserver khác. Một cặp cũ hơn lưu trữ trang đích “A little chicken” gắn với đường dẫn affiliate FanPartners. Các cụm đó không dính tới hạt giống này. Các địa chỉ Cloudflare không bị đưa vào bất kỳ danh sách chặn chiến dịch nào. https://x.com/i/article/2101850617815908352
Thông Báo CAC Và DEERS — 28 Tháng 9
Hai thông báo gửi tới Gmail cá nhân từ CACExpiration-DoNotReply@mail.mil, vào ngày 9 tháng 3 năm 2026 và ngày 7 tháng 5 năm 2026. Tin nhắn tháng 5 vượt qua SPF, DKIM và DMARC. DKIM là d=mail.mil, selector EEMSG2021v1a, chính sách reject. Mã định danh tin nhắn nêu tên UHIL19PA53.eemsg.mail.mil tại 214.24.21.199. Người ký S/MIME là benefits.notifications@mail.mil, cấp bởi DOD SW CA-83, hiệu lực từ 15 tháng 10 năm 2025 đến 15 tháng 10 năm 2028. Biểu ngữ của Gmail cảnh báo rằng trường From và người ký khác nhau. Hai hộp thư khác nhau, và sự khác biệt đó đủ để tạo ra biểu ngữ. Nội dung nói rằng thiếu hai giấy tờ tùy thân và yêu cầu người nhận truy cập RAPIDS để tải lên, với thời hạn 120 ngày trong thông báo tháng 3 và 60 ngày, trước 6 tháng 7, trong thông báo tháng 5. Không có giấy tờ nào được nộp. Thẻ vẫn hoạt động bình thường.
Chương trình chính thức được bài viết trích dẫn bắt đầu với các thông báo DMDC vào tháng 1 năm 2026. Đến tháng 8, khoảng 215.000 quân nhân tại ngũ và dự bị không tuân thủ. Lục quân đã rà soát khoảng 111.000 thẻ, không thẻ nào bị thu hồi tính đến ngày 2 tháng 9. Khoảng 21.500 Thủy quân lục chiến vẫn còn thiếu vào tháng 7. Một tuyên bố chính thức ngày 3 tháng 9, công bố ngày 8 tháng 9, mô tả đây là cập nhật hồ sơ hành chính, không có gian lận và không có vi phạm nào được tuyên bố liên quan đến giấy tờ thiếu. MARADMIN 393/26 yêu cầu hai giấy tờ gốc, nộp trực tiếp. Nội dung tháng 3 lại bảo tải lên.
Lớp mà bài viết giữ lại trong cột từ vựng là một thực thể được giới thiệu tại hoặc trước người ký, nên các bước kiểm tra vẫn đạt. Việc viết lại sau khi Gmail xác minh là không khả thi, vì DKIM đã đạt. Không có tệp thư gốc và cũng không có phần chữ ký nào trong tay. Máy chủ thư là AS345, 214.24.21.0/24, một khối của Defense Network Information Center từ năm 1998. www.cac.mil là một tên trên Akamai, địa chỉ 23.62.46.164 và 23.62.46.182, trả về 403, và chứng chỉ trên edge đó mang theo www.cac.mil cùng với một tập hợp tên liên quan đến pentagon, defense và department. Các ứng dụng DMDC idco, myaccess và pki phân giải trong AS27064 trên các địa chỉ 214 khác nhau, bao gồm pki.dmdc.osd.mil tại 214.16.194.24. Không có gì dùng chung giữa tiền tố thư và các tiền tố ứng dụng đó. Một sản phẩm định vị địa lý đặt các truy vấn 214 ở Columbus, Ohio. Một sản phẩm khác đặt chúng ở Rose Hill, Virginia. Đó là một cấp phát duy nhất.
Ba bản ghi liền kề vẫn nằm đúng chỗ của mình. Một trang marketing trên email.usfhp.net ngày 20 tháng 7 là tài sản thật của US Family Health Plan với hệ thống đo lường thông thường hạng HubSpot. Một lá thư chia sẻ tệp đề ngày 18 tháng 9 mô tả quyền truy cập không mã hóa từ tháng 10 năm 2025 đến 16 tháng 7 năm 2026, được phát hiện vào ngày 16 tháng 7, và bài viết không nối nó với dòng From này. Một thông báo IDScan ngày 4 tháng 9 liên quan đến các tài khoản đám mây của khách hàng. Con số khoảng bốn triệu và 60 triệu bản ghi bị bài viết bác bỏ khi tính tổng số nạn nhân. https://x.com/i/article/2104388574397554688
Mười bảy phút dữ liệu discard — 3 tháng 10
Một bản xuất dữ liệu discard dân cư in ra từ 05:55 đến 06:12 ngày 3 tháng 10 chứa 234 dòng, 110 địa chỉ nước ngoài và 166 lần tăng hit. Mỗi dòng là một lần drop, và bản xuất không có cổng đích. Một lần đọc sau đó dịch cửa sổ đi khoảng năm giờ chính là cùng sự kiện đó trên một đồng hồ khác. Năm mươi mốt trong số 57 hit máy quét thuộc về các dự án khảo sát toàn internet có tên cụ thể: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid, Nokia Deepfield và những cái tên lân cận. Mười địa chỉ chính xác lặp lại từ tháng 8, bao gồm 4vendeta 79.124.49.90, SS-Net 80.94.95.226, Ghosty 43.228.157.10 và Amarutu 89.42.231.200. QNAX và Recyber vắng mặt trong cửa sổ này. Các thành viên mới của những mạng đã biết bao gồm Pfcloud 204.76.203.4 và Stormcloud 94.154.43.203. Tên malware trên dải /24 của Stormcloud nằm ở các địa chỉ anh em. Địa chỉ chạm vào log chính là discard, còn tên họ thì vẫn nằm ở địa chỉ anh em nơi nó thực sự được lưu trữ.
Tám lần drop chính sách UDP là phần đuôi của một đợt kiểm tra danh sách proxy ngày 20 tháng 9, những gói tin do mạng đang giám sát gửi đi. Hai dòng gói tin không hợp lệ của Amazon không có hit nào trong danh sách mối đe dọa. Một đợt làm giàu dữ liệu tether riêng biệt vào cùng buổi sáng đó cho thấy đường dẫn nhà mạng và nội dung thông thường: Verizon, Comcast, Lumen, Cogent, Google và Cloudflare. Phiên duy nhất không tự giải thích được là 87.250.250.108, mang tên cloud.yandex.ru. Hit Spamhaus DROP duy nhất trong lần khớp danh sách mới này là 140.222.19.75 và 140.222.19.77 bên trong 140.222.0.0/16, SBL693942, được đọc như một mẫu chiếm quyền (hijack) trên không gian NSFNET cũ và bị loại khỏi danh sách chặn máy chủ. Việc gộp các dự án đo lường, máy quét bulletproof và công cụ của chính nhà vận hành vào một danh sách chỉ thị duy nhất sẽ tạo ra một sự cố giả. https://x.com/i/article/2106513298426597376
Yandex Compute, đối chiếu với hồ sơ công khai — 4 tháng 10
Một tuyên bố ban đầu lan truyền nói rằng cơ quan nhà nước Nga đọc dữ liệu khách Yandex Cloud bằng cách kết hợp quản lý khóa, truy cập hypervisor, sao chép ổ đĩa ngầm, bản đồ lõi cố định, daemon lưu trữ tùy chỉnh và luồng chặn bắt hợp pháp trên scheduler. Bài viết đối chiếu tuyên bố đó với chính tài liệu compute của Yandex và với những gì đã có trên máy chủ này. Mã hóa ổ đĩa mặc định dùng khóa nền tảng. Khóa của khách hàng vẫn nằm trong dịch vụ khóa của Yandex, và việc vô hiệu hóa nó chính là một công tắc ngắt. Bộ nhớ guest chỉ là bộ nhớ thông thường của tiến trình QEMU, nên nhà vận hành máy chủ nằm cùng phía ranh giới tin cậy với guest đang chạy. Không có libvirt. Di chuyển nóng (live migration), máy chủ chuyên dụng và việc chuyển đổi bản dựng QEMU trên cùng máy chủ đều là hành vi sản phẩm đã được công bố. Ghim host-id sẽ tắt live migration và được ghi qua API compute bởi một chủ thể vốn đã có quyền cập nhật instance. Giao diện guest không mang thao tác ghi đó. Những gì các trang được trích dẫn không thể hiện là một đăng ký chặn bắt hợp pháp tới socket điều khiển hypervisor, tới lựa chọn của scheduler hay tới quy tắc host-affinity; chúng cũng không cho thấy bản sao ngầm, bản đồ lõi cố định, daemon tùy chỉnh hay đường hầm như trong bài luận rộng hơn. Các tên reverse cục bộ chứa yandex đã được kiểm kê. 45.87.42.74 vẫn là farm bán hàng qloudhost hồi tháng 8, một cái tên khác. 87.250.250.108, phiên không giải thích được từ bài discard, vắng mặt trong bảng trước đó. Đăng ký tách Yandex.Cloud LLC ở các đối tượng đám mây khỏi YANDEX LLC trên mạng doanh nghiệp. Chứng chỉ API hoàn thiện là Yandex, Moscow, GlobalSign. Một tên quảng cáo vẫn còn con trỏ reverse treo lủng lẳng tại 77.88.21.179. https://x.com/i/article/2106548730942152704
Mồi nhử thẻ Coinbase chưa thanh toán — 9 tháng 10
Hai trang Telegraph, telegra.ph/NCO-09-27 và graph.org/UIN-10-05, dùng chung một liên kết continue. Cả hai nằm trên 149.154.164.13. Chúng được xuất bản ngày 27 tháng 9 và 5 tháng 10. Liên kết là rss2.sayler.at/go/337413/z274x264 trên 107.189.20.230, và nó chuyển hướng đến một bộ kit Thẻ Coinbase tại 97ee1.ralind.at trên 31.59.121.53. Script của chính bộ kit liệt kê 22 bước, từ index đến trang thanh toán nhanh. Một bài đăng gốc ngày 6 tháng 10 nêu rõ con số đó và in ra đúng 22 tên tệp. Các trang hiển thị số dư $39.437.16. Script được sửa đổi lần cuối ngày 26 tháng 8 năm 2026. Có mười một mã phí được nêu tên. Chỉ y2a4u234, dòng liên ngân hàng $58, được theo dõi, dẫn tới bitpays.at tại 31.57.29.11, luồng 4374w2. Một lần gửi giả lập lúc 03:45 GMT ngày 9 tháng 10 trả về chuyển hướng đến hóa đơn BTCPay, 6QTpVwNe9CynFTXZFJE8Yk, trên btcpay369329.lndyn.com tại 172.81.177.1. Trạng thái New. Năm mươi tám đô la, 0.00070469 BTC, tỷ giá $82.306,45, địa chỉ bc1qexqsudur4860kva5789qcvkmpdk4j9wrfrsmzy. Kiểm tra đã thanh toán trả về zero. Không có khoản thanh toán nào được gửi.
ip-api đặt bộ kit ở Paris và biểu mẫu thanh toán ở Riga. QuantumGuard và registry gốc đặt 31.57.29.0/24 ở Các Tiểu vương quốc Ả Rập Thống nhất, AS56971. sayler.at, ralind.at và bitpays.at dùng DNSPod. Ghi chú ngày 6 tháng 10, trên đối tượng mang SOA serial 1789107920, đặt đối tượng đó ở Zaandam dưới AS14956, RouterHosting và FranTech. Bài viết ngày 9 tháng 10 không lặp lại vị trí đó. Nameserver của Telegraph, nameserver của GoDaddy cho graph.org và các địa chỉ DNSPod đều là DNS dùng chung. 144.31.93.214 nằm ngoài chuỗi này. Bài luận ngày 15 tháng 8 và mồi nhử này đều dùng từ Coinbase. Ví dụ trong bài luận là một nhóm mạo danh qua điện thoại. Còn phần này là một trang, một tracker, một bộ kit thẻ và một hóa đơn chưa được thanh toán. https://x.com/i/article/2108597864108871681
Vị trí chốt hạ
Hai danh sách khép lại loạt bài. Danh sách thứ nhất là các phương pháp Quantitative Security đã dùng. Danh sách thứ hai là các phương pháp mà các bài viết đã ánh xạ, mỗi phương pháp kèm theo nhóm, tenant hoặc lớp mà bài viết gán cho nó. Các ví dụ trong bài luận vẫn nằm dưới bài luận ngày 15 tháng 8. Thẻ anh em vẫn nằm ở địa chỉ anh em. Các dự án khảo sát vẫn nằm trong nhóm đo lường. Khi một bài viết không nêu tên nhóm nào, dòng đó dừng lại ở tenant, mạng hoặc lớp.
Các phương pháp đã sử dụng
- Các lượt quét cấu trúc từ bên ngoài qua banner, chứng chỉ và dịch vụ đang lắng nghe, tách tài sản bị bỏ hoang khỏi lưu lượng production.
- Một tương tác khách truy cập mở màn bằng kỹ thuật xã hội, sau đó mở rộng bằng làm giàu dữ liệu nguồn mở. Chỉ thuần túy trinh sát.
- Reverse-IP, tra cứu WHOIS và registry, bản ghi xác thực thư, và một bản chụp gói tin được đối chiếu với các địa chỉ mà những bản ghi đó nêu tên.
- Chính domain của công ty, được chạy qua cùng lối vào mà một thợ săn bên ngoài sẽ dùng, với dữ liệu tự-trinh sát được giữ lại làm nhiễu cảm biến.
- Luồng định vị địa lý mềm và asname được đối chiếu với ARIN, RIPE và Team Cymru. Thứ tự là công cụ, rồi đến tenant, rồi đến registry.
- Một bản kiểm kê lịch sử có xếp hạng, đóng lại ở danh tính dịch vụ trước khi bất kỳ sự cố công khai nào được nối vào.
- Log DNS on-path và honeypot, được đọc sao cho các phiên của chính công ty tách biệt khỏi các hit từ xa.
- Thư được rút gọn theo một token bất biến, một request HEAD đối chiếu với GET của trình duyệt, và một phần thân virtual-host dùng chung được băm trên toàn tiền tố.
- Dữ liệu discard dân cư được lọc đối chiếu với AbuseIPDB, Spamhaus DROP, URLhaus, Feodo, SSLBL, ThreatFox và Emerging Threats, với việc mở rộng tên thụ động giữ nameserver nằm ngoài danh sách chặn.
- Lưu lượng ra từ hotspot được giữ như một mối liên kết, và phép đo tiếp theo được canh thời gian cách xa phiên đầu tiên.
- Registrar, cặp nameserver và lớp trung gian nhà mạng được tách khỏi nội dung gốc.
- SPF, DKIM, DMARC và S/MIME được đọc cùng nhau, và giữ ở mức lớp khi bản gốc đã ký không có trong tay.
- Một bản xuất discard được chia nhóm thành dự án khảo sát, mạng thù địch lặp lại, gói tin của chính công ty và phiên không tự giải thích được.
- Tài liệu compute của nhà cung cấp được đối chiếu với một tuyên bố rộng hơn, các mệnh đề không có căn cứ bị loại khỏi kết luận.
- Một chuỗi mồi nhử được theo dõi qua tracker, bộ kit, một mã phí và một hóa đơn giả lập chưa thanh toán. Không có khoản thanh toán nào được gửi.
Các phương pháp được ánh xạ và tên gọi trên mỗi phương pháp
- Dịch vụ đám mây tồn dư và proxy xác thực ngắn hạn. Các thương hiệu tồn dư là GENIEX, các tựa game bao gồm Dragon Raja, và một tập mỏng các trang thẩm mỹ y tế - xe cũ liên kết với Lào.
- Thu hoạch hạ tầng khách truy cập. Địa chỉ mở màn được định vị ở Iran, và bài viết để nguyên nhãn đó. Đường cơ sở nêu tên GoCodeIT Inc. ở Thornhill, Ontario; rejekibet.com và các bản sao lừa đảo quanh thương hiệu đó; cùng geniex.com đang trong giai đoạn ngừng hoạt động.
- Bán gói bảo hiểm sức khỏe mang tên thương hiệu, và một trang đã bị phân loại là phishing, trên hosting dùng chung. Các tên liên quan là chủ thể đăng ký. Fabiola Silva Souza và Fabiola Silva Souza Seguros Ltda nắm giữ danh mục cốt lõi. Roger Oliveira da Silva và Leonildo Quintiliano nằm trên trang cầu nối. Tiago Ferreira Pena là một chủ thể đăng ký lân cận. Christian von Langermann là người đăng ký shelleasternpetroleum.ae, một co-tenant. OpenDNS, Cloudflare và DNS4EU đã phân loại vendasbradescosaude.com.br là phishing. Các trang ngân hàng giả, casino và chuyển đổi ví trên cùng node vẫn là hàng xóm của nhau.
- Mạo danh trusted-edge: một tên giống hệt hoặc một tên bất kỳ được trỏ về Squarespace, Cloudflare, Vercel, GitHub Pages hoặc AWS Global Accelerator. Các URL Cobalt Strike và Mozi lịch sử trên 198.49.23.145 là những tenant khác của anycast đó.
- Các bậc năng lực, trong bài luận ngày 15 tháng 8. Những cái tên này là ví dụ của bài luận. Man hands, còn gọi là Tiffany M.: mạo danh hỗ trợ ví cứng và sàn giao dịch, thư BitcoinIRA giả mạo. Dritan Kapllani Jr. John Daghita, gọi là Lick, nhắm vào các ví bị tịch thu của U.S. Marshals Service. Nhóm Greavys, Wiz và Box, nhắm vào một chủ nợ Genesis. Lazarus, vụ trộm Bybit tháng 2 năm 2025. UAC-0145, được bài luận liên kết với Sandworm / APT44: phỏng vấn xin việc giả, dùng cấu hình VPN làm phương thức phát tán. Laundry Bear: thông tin đăng nhập liên quan đến Nga nhắm vào chính phủ, quốc phòng và hạ tầng trọng yếu.
- URL malware được tải trên hostname phát hành GitHub có BGP origin là Fastly. Phương pháp được ánh xạ là hàng hóa trên một hostname đáng tin. Khối chặn chính là máy chủ ảo tiếp nối.
- Tạo lead kiểu snowshoe. Các vỏ bọc là Policy Plug, Easy Insurance Match, Endurance, và Indigo cùng Destiny Mastercard. LendingTree là nạn nhân của một footer NMLS bị đánh cắp. Thư và các cú click nằm trên NForce, AS43350. WHOIS không che giấu nêu tên Robert Carpino như một điểm xoay. Người mua đằng sau ưu đãi CAKE 2701 chưa được xác định.
Quét từ mạng dân cư và hosting thù địch.
- QNAX. Bán VPS, RDP và console VNC. Phương pháp được ánh xạ trên 45.140.193.187 là brute force RFB trên tcp/5900.
- Pfcloud. Nằm trong một tiền tố Spamhaus DROP, với n8n và authentik được nêu tên trên mạng đó. Một tài khoản ngày 25 tháng 6 đặt việc khai thác UniFi OS tại 176.65.148.183 trong cùng dải /22. Các mục ngày 23 tháng 6 của CISA nêu tên CVE-2026-34908, CVE-2026-34909 và CVE-2026-34910, được bài viết mô tả là loader hạng Mirai.
- Tamatiya và 4vendeta. Phun rải khắp các lát cắt khách hàng và vận hành. TopDNS vẫn là forwarder. Recyber có trên các thẻ tháng 8 và vắng mặt trong cửa sổ ngày 3 tháng 10.
- Ghosty 43.228.157.0/24 và Stormcloud 94.154.43.0/24. Các khu phố Mirai được nêu tên trên URLhaus. Trên dải /24 của Stormcloud, các thẻ bổ sung, bao gồm ApexBot và LummaStealer, nằm ở các địa chỉ anh em. 94.154.43.203 là địa chỉ đã chạm vào log tháng 10.
- Stealc, MooBot, Vidar và XWorm. Được nêu tên trên các máy chủ 193.233 khác, thuộc các hệ tự trị khác với máy quét tại 193.233.198.28.
- 46.146.238.1. Một máy chủ URLhaus chính xác cho dropper cổng cao, có telnet mở.
- UniFi OS trên 195.252.206.160. Khớp lớp dịch vụ với SAB-067, CVE-2026-77550.
- EMBNEX. Tám nguồn dump. embnex.com là CloudFront.
- Các dự án khảo sát trong cùng log: Infrawatch, Cortex Xpanse, Censys, Shadowserver, Stretchoid và Nokia Deepfield. Các tên mạng lặp lại trong tập đo lường đó bao gồm SS-Net và Amarutu.
- Dịch vụ quản trị phơi bày ra internet trên một địa chỉ: MikroTik RouterOS, Nginx Proxy Manager, MeshCentral và UniFi.
- Một danh sách chờ một ngày trên tên Dynadot dùng proxy ẩn danh. Bài viết không nêu tên nhóm nào. Mystic Stealer xuất hiện như một phụ lục tháng 6 năm 2023 từng liệt kê các địa chỉ anycast Cloudflare giống vậy. FanPartners và lander “A little chicken” dùng một cặp nameserver khác.
- Thư vượt qua SPF, DKIM và DMARC trên máy chủ Defense Network Information Center, với dòng From và người ký S/MIME khác nhau. Chương trình trong bài viết là lỗ hổng xác minh danh tính DMDC. Lớp được ánh xạ là một thực thể được giới thiệu tại hoặc trước người ký. Lá thư chia sẻ tệp tháng 9 vẫn nằm riêng trên các mốc thời gian của nó.
- Một tuyên bố rộng hơn về việc đọc dữ liệu khách Yandex Cloud. Tài liệu ủng hộ khóa mã hóa nền tảng, khóa khách hàng vẫn là công tắc ngắt bên trong dịch vụ khóa của chính Yandex, và bộ nhớ guest chỉ là bộ nhớ thông thường của tiến trình QEMU. 87.250.250.108, mang tên cloud.yandex.ru, vẫn là phiên mà bài discard không thể giải thích.
- Một mồi nhử thẻ nhiều bước: hai trang Telegraph, một tracker, bộ kit 22 bước, biểu mẫu thanh toán mã phí và một hóa đơn BTCPay chưa thanh toán. Ví dụ Coinbase ngày 15 tháng 8 vẫn là nhóm mạo danh qua điện thoại của bài luận, Man hands. Phần này là trang, tracker, bộ kit và hóa đơn chưa thanh toán.
