Quantitative Security 在 2026 年 7 月 31 日至 10 月 9 日期间，发布了由年中回顾所构建的工具链支撑的公开系列报告。该系列从 7 月 31 日的云靶场侦察一直延续到 10 月 9 日未付款的 Coinbase 卡诱饵，全部以 TLP:CLEAR 长文形式发布于 X 平台。8 月将这套方法转向了内部：一个 GitHub 邻居被溯源为健康保险销售身份，公司自己的域名被当作外部目标进行测量，一年的运营商标签也与注册表完成了比对。9 月把同样的归约方法应用到了一台家用防火墙和一座“雪鞋”（snowshoe）垃圾邮件工厂上，并将这些案例所在的平台单独归类。10 月则将一份丢弃日志拆分为测量数据、已知敌对网络和公司自有工具，针对 Yandex Compute 提出了更广泛的主张并与厂商文档进行比对，还追踪一套卡片工具包直到一张始终未付款的账单。
每份产品都将原始遥测数据和开源情报转化为可归因、有优先级、可直接用于防御的结果。只有在证据能够关联时才会给出名称。平台、租户、调查项目以及通过各项检验的特征，都保留了文章赋予它们的类别。结尾部分列出了所使用的方法、映射的方法，以及各自对应的组织、租户或类别。
报告系列
残余云资产面 — 7 月 31 日
一次结构化的外部扫描覆盖了约 115 个地址，区分出在线生产环境、残余服务和废弃资产。位于 104.247.165.210 的土耳其共享主机（silaoglu.com，横幅显示为 mt-rohan.guzelhosting.com）暴露了完整的邮件与 Web 协议栈：Pure-FTPd、Dovecot、Exim、MySQL 和 LiteSpeed，同时还有带认证的 SOCKS5 与 HTTP 代理以及短期证书。最大体量的资产位于 Tencent 和 Aceville 的地址段内，且被严格过滤。少数响应的资产构成了残余面：81 端口上的 Nginx Proxy Manager、/arena 路径下在线的 Next.js 应用、高端口上的认证代理、带有内部风格主机名的 Windows 远程桌面，以及 GENIEX eSIM 品牌和印尼、越南游戏品牌（包括仍由老旧 Jetty 提供服务的《龙族幻想》）的遗留证书。Tencent 某个地址上一组与老挝相关的小型资产，展示了中文医美和二手车网站，公网痕迹极少。该产品采用的分类方式与年中回顾应用于 Google 边缘节点时一致。生产流量与废弃服务是两类不同的发现，只有后者才属于封禁与加固问题。https://x.com/i/article/2083245764969635841
防护性情报接触 — 8 月 1 日
此次接触始于一个地理位置定位到伊朗的伪装地址访问了 Quantitative Security 的基础设施。对该交互的社会工程学操作捕获了一批地址，并通过一个专门搭建、用于收集访问者基础设施信息的站点进行了扩展。已发布的基线点名了安大略省 Thornhill 的 GoCodeIT Inc.，其认证代理位于 65.111.5.29 和 74.119.149.79；103.255.134.61 上为 technofaq.org 暴露的 CloudPanel 2.5.2；152.32.169.33 的 8888 端口上微软风格的 CodePushServer；作为印尼真金赌博平台且周边存在诈骗克隆站的 rejekibet.com；面向互联网的 Windows 远程桌面（包括 38.107.237.68）；正在收尾的尼日利亚虚拟 SIM 卡业务 geniex.com，该域名本身解析至 AWS；以及 acmmanufacturer.com，此前位于 Tencent 的残余地址段，后通过 chukouplus.com 迁移至 Zenlayer。104.207.0.0/16 中的代理主机需要认证，提供约 7 天有效期的证书，并在探测管理路径时返回 404。Zeus-admin 监听端口保持被过滤状态。起始地址上的地理位置标签是本次接触的起点。文章未指认任何具名国家级组织。该数据集作为下半年的基线被封存。https://x.com/i/article/2083388096285179904
从 GitHub 负载均衡器到巴西医保销售农场 — 8 月 8 日
8 月 7 日与 QuantumGuard 的一次热点会话及抓包，始于一个 GitHub pull request 和对西雅图负载均衡器 140.82.116.3（lb-140-82-116-3-sea.github.com）的反向 IP 查询。该地址共同托管了 coindream.site：Web 位于 GitHub，邮件 SPF 指向 UltaHost cp5 159.100.6.5，注册于 2026 年 1 月 23 日，启用隐私保护，DNS 为 Namecheap。抓包数据中没有通往后续案例地址的数据包。UltaHost 持有约 500 个域名，包括注册给 Christian von Langermann 的 shelleasternpetroleum.ae，以及 gamingcomission.co、antifraud.click、aranttru.com 和 pinupcasinorussia.click。Web 端口随后被过滤为仅保留 2082 和 2083 上的 cPanel。位于 187.33.241.58 的 pro114.dnspro.com.br 暴露了完整的邮件与管理面板协议栈，以及公开的 MariaDB 10.11.18。
主节点是位于 45.87.42.74 的 shared.qloudhost.com，这是一个 2017–2025 年间运作的巴西医保销售农场，使用了 Bradesco、Amil、Unimed 和 SulAmérica 等品牌名。核心资产组合的 WHOIS 信息为 Fabiola Silva Souza，句柄 FASSO283，邮箱位于 saudeperfeita.com.br。文章中的公开记录匹配 CNPJ 40.950.276/0001-55，即 Fabiola Silva Souza Seguros Ltda，位于圣保罗州 Mococa，成立于 2021 年 2 月 23 日。桥接站点 saudeperfeita.com.br 托管于 HostGator 的 162.241.2.92，WordPress 用户为 admin 和 nildo，文章将其与 Agência Unit 的 Roger Oliveira da Silva 及 Leonildo Quintiliano 关联起来。Tiago Ferreira Pena 是使用相同名称服务器的相邻注册人。同一节点还托管了仿冒银行页面、赌场注册页以及 Paysafe 和 Neosurf 兑换工具。QloudHost 对外营销赌场托管服务。共享的名称服务器和 saudeperfeita 邮箱将这些医保运营商联系在一起。节点上的共租关系并未将该身份延伸到金融或赌博租户。在 OpenDNS、Cloudflare 和 DNS4EU 已将其判定为钓鱼网站后，vendasbradescosaude.com.br 仍停留在 qloud 地址上。文章留下的开放问题包括：完整的 registro.br 资产组合、原始 pull request URL，以及围绕 von Langermann 的二级 pivots。https://x.com/i/article/2085939414463631360
将自有域名作为外部目标 — 8 月 15 日
8 月 9 日至 14 日，quantitativesecurity.org 接受了外部猎手会使用的同样起手式检查。源站是干净的。托管采用 Squarespace 多租户任播架构，配合 NS1 的 p07 集合与 Squarespace DNS，客户域名使用 Let's Encrypt，裸 IP 地址返回 403 并携带 *.squarespace.com 的 DigiCert 证书。nmap 报告为 Go net/http 实现，而 Server 头显示为 Squarespace。这一对结果只是同一边缘在两个层面的描述。约 1,900 个 .academy 域名共享该平台。经测试未发现 Gophish 类指标。QuantC 和 QuantumGuard 将这次自我侦察记录为平台噪声，而这正是这些传感器所需的基准事实。实质性的残余风险在于身份：没有 MX、没有 SPF、没有 DMARC，且注册将于 2026 年 9 月到期。一个源站干净但邮件通道未签名的域名，依然是攻击面。https://x.com/i/article/2088437251508436992
能力层级 — 8 月 15 日
一篇配套文章按战术和累计金额区分了犯罪团伙与国家支持的行为者，并为不取分文的曝光工作保留了第三类。在低端，文章映射的案例是一名被称为“Man hands”（也叫 Tiffany M.）的电话诈骗者：冒充硬件钱包和交易所客服，涉案至少 500 万美元，涉及 Trezor 和 Coinbase，伪造 BitcoinIRA 邮件，面板由同伙提供，操作安全薄弱。该数字是文章统计的该呼叫者盗窃总额。同一篇文章中的中端案例包括涉案约 1,900 万美元的 Dritan Kapllani Jr.，以及绰号“Lick”的 John Daghita——根据美国法警局扣押的钱包计算超过 4,600 万美元，文章推测其更广泛的活动金额超过 9,000 万美元，此人后来被捕。更高层级的犯罪案例是 Greavys、Wiz 和 Box 团伙，仅从单一 Genesis 债权人处就获利约 2.43 亿美元。国家支持的案例包括 Lazarus 以及 2025 年 2 月 Bybit 约 15 亿美元的盗窃案；UAC-0145，文章将其与 Sandworm / APT44 关联，利用虚假求职面试针对乌克兰 IT 从业者，并以 VPN 配置作为投递载体；以及 Laundry Bear，文章描述其为俄罗斯关联方利用被盗凭证攻击政府、国防和关键基础设施。https://x.com/i/article/2088672299868377088
.academy 邻居 — 8 月 17 日
对 Squarespace connect 四元组的反向 IP 查询整理出 2,020 个邻居域名。其中 1,898 个以 .academy 结尾，1,767 个仍仅解析到 198.49.23.144、198.49.23.145、198.185.159.144 和 198.185.159.145，归属 AS53831。整个集合中出现了 54 个唯一地址。抽样的 40 个 Squarespace 域名全部返回了 Squarespace 头和 crumb cookie。198.49.23.145 上的滥用举报和历史离线恶意软件 URL（包括 Cobalt Strike 和 Mozi 路径），在文章中被关联到共享边缘上的其他租户。边界线就是品牌名称和四个官方 connect 地址。学校名称未被列入封禁名单。基于地址而非主机名的信誉机制是一种平台成本，文章也如此记录。https://x.com/i/article/2089015652753502208
身份层 — 8 月 17 日
同一域名的注册商族系、双名称服务器和四个任播地址构成了合法基线，也是模仿者复制的表面。Squarespace、Cloudflare、Vercel、GitHub Pages 和 AWS Global Accelerator 已经承载了信誉、响应头和证书颁发机构。外部主机依然默认拒绝，因此简单的地址封禁会产生大量噪声。文章指出的控制点位于注册商层面：转移、名称服务器变更、联系人清理和老化的注册时间，然后要么使用相似域名，要么将任意域名停放在受信边缘上。配套统计中 27 个异常 .academy 顶级域名里有 12 个在 Squarespace Domains 注册却托管在别处。与被操纵层级相匹配的控制措施包括：注册商锁定、平台多因素认证、针对相似域名的证书透明度（Certificate Transparency），以及在域名不发送邮件时设置硬拒绝的 SPF 记录。https://x.com/i/article/2089012676634738688
被记录为 T-Mobile 的 Verizon 分配段 — 8 月 23 日
8 月 5 日的一份自有报告将客户端前缀 2600:1010:b204:: 标记为 T-Mobile 风格。该手机自始至终只使用过 Verizon，且为原机主。ARIN 显示 NetName 为 WIRELESSDATANETWORK，组织为 Verizon Business (MCICS)，注册于 2010 年 4 月 6 日，覆盖 2600:1000:: 至 2600:1017:ffff::。软 asname 和地理位置数据源从 2025 年 10 月起直到该报告发布当天，都带着 T-Mobile 标签。8 月 21 日的实时拉取返回了 Team Cymru 的 AS6167 CELLCO-PART 和 RIPE 的 AS22394 CELLCO。分配并未发生变动。随文章发布的处理顺序也是本系列其余部分的顺序：先归因工具，再归因租户，最后归因注册表。https://x.com/i/article/2091560316878671872
2023 年清单，已排序 — 8 月 23 日
2023 年初来自纽约 Charter 住宅线路的 294 张截图被作为一个排序集合沿用下来：约 1,450 个 IPv4 地址，其中约 1,266 个为公网地址，按明确的 T1 至 T5 等级划分。2026 年的扫描在留下任何开放项之前先关闭了服务。103.235.46.191 是百度位于香港的分析边缘节点 hm.baidu.com，AS55967。23.82.31.230 是 Leaseweb 上的 TradingView。一个波音范围内的地址被放入了仅限文档的列表。后来关于 LockBit 入侵波音零部件业务的公开报道，与该文档行共享同一个组织名称，但不共享任何会话。Charter 2023 年 2 月的语音中断、2023 年 7 月 Storm-0558 的声明、后续关于 Salt Typhoon 的报道，以及 Leaseweb 自己在 2023 年 8 月 22 日发布的通知，都是背景窗口。https://x.com/i/article/2091569041584619520
Fastly 上的 GitHub — 8 月 27 日
QS-NetHarden 在手机热点上运行。抓包开始于太平洋时间 8 月 26 日 09:08。NetCloak 呈现了一个新的 Windows 身份。Artillery 蜜罐诱饵已启动且未开启封禁。Phantom-QS 轮换使用 Firefox 128。那天早上蜜罐日志中没有任何远程命中。DNS 揭示了操作者：聊天代理、GitHub 的负载均衡器、Actions、Copilot，然后是 release-assets.githubusercontent.com。覆盖前缀 185.199.108.0/22 对应 RIPE 的 US-GITHUB-20170413，组织为 GitHub，BGP 源 AS54113 Fastly。Fastly 自己公布的地址列表中并不包含它。.133 集合是内容的兜底池。.154 集合用于发布版本和软件包。Actions 的前门是 Microsoft 的 13.107.42.0/24 和 13.107.43.0/24，在该次扫描中 pipelines.actions 解析到了 13.107.43.16。URLhaus 上存在 release-assets 域名下的恶意软件 URL，Harden-Runner 也已对其标记。主机名是卡车，行为者是货物以及下一个非 GitHub 的跳点。封禁后续的虚拟服务器。不要动叶子节点、Fastly 兜底池、Azure Front Door、区域快照和传感器。https://x.com/i/article/2093021792923508736
一座“雪鞋”线索工厂 — 8 月 29 日，9 月 7 日续
8 月 27 日，单个收件箱收到了 72 封未经请求的车险和信用卡邮件，包含 156 个唯一链接、71 个发件人域名。主题聚类产生了三组重复对。不变量是每封正文和每个链接中都存在的 token e6jbv4z。点击跳转使用老化顶级域名上的双字母标签，以及 /r 加十六进制数字形式的 PHP 路径。Policy Plug 占了 72 封中的 51 封。Easy Insurance Match、Endurance 以及 Indigo 和 Destiny Mastercard 都是伪装外衣。很大一部分复制了 LendingTree 的 NMLS 编号 1136 和一个夏洛特街道地址。LendingTree 是页脚被盗用的受害者。邮件和点击落地都在 NForce（AS43350）的 185.47.200.0/24 和 185.47.203.0/24 上：nginx、PHP 7.4.33、443 关闭、25 被过滤。域名是 Name.com 的老化库存。HEAD 请求收到通用的 nginx 403。类似浏览器的 GET 请求会收到 302 重定向，指向 taobmaets.com 上的 CAKE 落地页（参数 offer a=44 和 c=2701），或 keycanvascanvas.com 上的退订页面。命名为 Office 文件的附件实际上是纯文本。ClamAV 扫描结果为干净。一个 Host 头 mediaignorance.com 从该 /24 段内的七个地址返回了相同的 52,667 字节正文。四个顶级域名的未脱敏 WHOIS 指向 Robert Carpino，文章将其视为 pivot 线索。CAKE offer 背后的买家身份不明。9 月 7 日，进一步采集到的相同 token 和相同路径形态（车险与 Indigo 伪装）被发布，指出其已存在于 AT&T 的数据库中。该帖声称存在一组共享名称服务器但未列出。防御方动作是针对 token、路径和两个 NForce 前缀，向 abuse@nforce.com 和注册商举报，并将被盗用的 NMLS 行标识为页脚盗用。https://x.com/i/article/2093528643779825664 https://x.com/i/article/2093532720119083008 https://x.com/i/article/2097103637160022017
家用防火墙，第一轮 — 9 月 5 日
一份 AT&T 家庭网关日志在 26 分钟内记录了 296 个事件，涉及 188 个唯一地址，其中 169 个为公网地址。这个切片就是一个公网 IPv4 的背景辐射。8 月 31 日的卡片已经点名了 QNAX、Recyber、Infrawatch、Xpanse、Censys、Pfcloud 和 CHINANET。有三项发现是新的。QNAX 的 45.140.193.187 在 21 分钟内撞击 WAN 口十次。文章引用了 AbuseIPDB 上来自 170 个来源的 408 条举报，全部为恶意，以及使用 RFB 003.008 对 tcp/5900 进行的 VNC 暴力破解。qnax.sh 销售的就是这种 VPS、RDP 和控制台 VNC 产品。Spamhaus DROP 网段内首个被点名的入站地址是 Pfcloud 的 176.65.149.233，位于 176.65.148.0/22，时间为 11:58。n8n.pfcloud.io 位于 176.65.148.168。sso.pfcloud.io 自报为 authentik。Tamatiya 和 4vendeta 在 79.124.58.0/24、79.124.49.0/24 和 78.128.114.0/24 上的喷洒包括 79.124.58.90，其反解名为 ip-58-90.superbit.host，别名为 urlforward.topdns.com，与位于 143.198.68.197 的 ns-usa.topdns.com 共用同一个 DigitalOcean 地址。对 topdns.com 的被动扩展返回了 517 个标签，许多是品牌冲突，几乎都没有地址。该名称服务器未被封禁。优先主机为 45.140.193.187、79.124.58.18、79.124.58.90、79.124.49.90、78.128.114.46 和 78.128.114.162。可选网络包括 Tamatiya 的客户与运营切片，以及 Pfcloud 的 176.65.148.0/22 加上 204.76.203.0/24。与它们一起被放过的有：TopDNS、CriminalIP 采集器、Cloudflare 边缘节点、普查扫描器和 Telepoint 的 78.128.42.0/24。随文章发布的滥用联系邮箱为 abuse@qnax.com.br 和 noc@4vendeta.com。传感器位于热点网络上。LAN 未被扫描。文章承接了上半年系列中 7 月 24 日的 Tamatiya 笔记。9 月 4 日的网站指针带有系列标题并指向公司站点；测量的 X 平台记录即为本文及下一篇。https://x.com/i/article/2096029788624523264
家用防火墙，剩余部分 — 9 月 6 日
8 月 29 日和 9 月 5 日的窗口合计产生了 530 个唯一事件和 270 个入站公网地址。第二篇文章处理的是剔除普查扫描器和已点名商业探查者后剩余的 105 个。被检查的 108 个地址中有 74 个在当天出现在公共数据源中。没有一个出现在 Feodo、SSLBL、ThreatFox 或 Emerging Threats 中。21 个位于 9 月 4 日更新的 Spamhaus DROP 前缀内，包括 Pfcloud 的 /22。文章引用了 6 月 25 日一则关于从该前缀内 176.65.148.183 发起 UniFi OS 漏洞利用的报告，以及 CISA 在 6 月 23 日新增的 CVE-2026-34908、CVE-2026-34909 和 CVE-2026-34910。同一篇文章中，Ghosty 的 43.228.157.0/24 和 Stormcloud 的 94.154.43.0/24 是 URLhaus 上的 Mirai 邻居。剩余最活跃的入站地址仍是 QNAX 的 45.140.193.187，文章统计其举报数为 412 条，最后一次出现在 9 月 1 日的 5000 端口。46.146.238.1 是 URLhaus 上一个高端口下载器的精确主机，telnet 开放。195.252.206.160 上的 UniFi OS 没有命中任何地址源，但在服务类别上匹配 8 月 26 日的 SAB-067、CVE-2026-77550。EMBNEX 的 16.5.0.0/24 是八个转储来源；网站 embnex.com 位于 CloudFront。无关网络上出现的一段完全相同的简短 HTML 片段是一个沉洞页面。建议封禁这些网段。https://x.com/i/article/2096732079388299264
热点出口通往管理节点 — 9 月 14 日
一台个人设备通过 iPhone 热点发出的流量抵达了 113.176.118.150，其名称为 static.vnpt.vn 和 rdp.cdmt.vn。该地址呈现 MikroTik RouterOS 6.49.13、80 端口上的 Nginx Proxy Manager、443 上按名称准入的 HTTPS、5009 上公开的 MeshCentral 登录、8443 上公开的 UniFi 登录、8080 和 8090 上的两个 SSH 守护进程，以及 8088 上一个身份不明的 CONNECT 风格服务，其中涉及 CloudFront 名称 d3azdm1q0gvo54.cloudfront.net。已发布的假设认为这是一个面向互联网的网关和管理节点。从个人热点向其发出的出站流量，在被映射到已知应用、用户或设备之前，始终视为未授权。https://x.com/i/article/2099540826854715392
一个单薄的等待名单 — 9 月 22 日
uythjmnglk.xyz 于 2026 年 9 月 14 日在 Dynadot 注册，启用了隐私代理，使用 Cloudflare 的 phoenix 和 wilson 名称服务器对，未启用 DNSSEC。只有顶级域名和 www 响应。在本地网络之外，该应用是一个标题为“You're on the list”的等待名单页面，将邮箱提交到 token 为 v:897qvxac7fny03ac 的订阅路径。在 AT&T 网关上，同一域名返回了一个简短的拦截页，理由是恶意软件。那个页面来自运营商，而非源站。该域名前面的两个 Cloudflare 地址出现在 2023 年 6 月 Mystic Stealer 的附录中。它们是共享任播地址，且该附录与本次注册之间相隔三年。同一注册商处同日注册的赌场和 4D 域名使用了不同的名称服务器对。一对更老的名称服务器托管着与 FanPartners 联盟路径绑定的“A little chicken”落地页。这些集群未纳入本次种子。Cloudflare 地址也未被加入任何活动封禁列表。https://x.com/i/article/2101850617815908352
CAC 与 DEERS 通知 — 9 月 28 日
两封通知从 CACExpiration-DoNotReply@mail.mil 发到了一个个人 Gmail，分别在 2026 年 3 月 9 日和 2026 年 5 月 7 日。5 月的邮件通过了 SPF、DKIM 和 DMARC。DKIM 的 d=mail.mil，selector 为 EEMSG2021v1a，策略为 reject。消息标识符指向 214.24.21.199 的 UHIL19PA53.eemsg.mail.mil。S/MIME 签名者为 benefits.notifications@mail.mil，由 DOD SW CA-83 签发，有效期为 2025 年 10 月 15 日至 2028 年 10 月 15 日。Gmail 的提示横幅显示发件人与签名者不一致。这两个邮箱本就不同，而这种差异足以触发横幅。正文称缺少两份身份文件，要求收件人前往 RAPIDS 上传，3 月的时限为 120 天，5 月的时限为 60 天（需在 7 月 6 日前完成）。没有提交任何文件。卡片继续正常工作。
文章引用的官方项目始于 2026 年 1 月 DMDC 的通知。到 8 月，约有 215,000 名现役和预备役人员不合规。陆军已审查约 111,000 张卡，截至 9 月 2 日无一被吊销。7 月仍有约 21,500 名海军陆战队员材料缺失。9 月 3 日的一条官方口径（9 月 8 日发布）将其描述为行政记录更新，未声称缺失文件涉及欺诈或泄露。MARADMIN 393/26 要求本人携带两份原件到场。而 3 月的正文写的是上传。
文章在词汇栏中保留的那个类别，是一个在签名者处或之前引入的主体，因此检查仍然通过。Gmail 验证之后的重写是无效的，因为 DKIM 已经通过。手头既没有原始邮件文件，也没有签名部分。邮件主机位于 AS345、214.24.21.0/24，这是 Defense Network Information Center（国防网络信息中心）自 1998 年起持有的地址段。www.cac.mil 是 Akamai 上的一个名称，对应地址 23.62.46.164 和 23.62.46.182，返回 403，该边缘节点上的证书包含 www.cac.mil 以及一组与 pentagon、defense、department 相关的名称。DMDC 的应用程序 idco、myaccess 和 pki 解析到 AS27064 上不同的 214 地址，包括位于 214.16.194.24 的 pki.dmdc.osd.mil。邮件前缀与这些应用前缀之间没有任何共享。某款地理位置定位产品将这些 214 查询定位在俄亥俄州哥伦布市，另一款则将其定位在弗吉尼亚州罗斯希尔。它们属于同一个分配段。
三条相邻记录各走各路。7 月 20 日 email.usfhp.net 上的一个营销页面是真实的 US Family Health Plan 资产，带有普通的 HubSpot 级别追踪代码。一封日期为 9 月 18 日的文件共享通知描述了从 2025 年 10 月到 2026 年 7 月 16 日的未加密访问，发现于 7 月 16 日，而文章并未将其与该 From 行关联起来。9 月 4 日的一份 IDScan 通知涉及客户云账户。文章中约四百万条和六千万条记录的统计数字作为受害者总数被否定了。https://x.com/i/article/2104388574397554688
十七分钟的丢弃流量 —— 10 月 3 日
10 月 3 日 05:55 至 06:12 导出的一份住宅丢弃流量记录包含 234 行、110 个外部地址和 166 次命中增量。每一行都是一次丢弃，且导出中没有目标端口。稍后将时间窗口平移约五小时的另一次读取，只是不同时钟下的同一事件。57 次扫描器命中中有 51 次来自知名的全网测绘项目：Infrawatch、Cortex Xpanse、Censys、Shadowserver、Stretchoid、Nokia Deepfield 及其同类。有 10 个精确地址与 8 月重复，包括 4vendeta 79.124.49.90、SS-Net 80.94.95.226、Ghosty 43.228.157.10 和 Amarutu 89.42.231.200。该窗口中未出现 QNAX 和 Recyber。已知网络的新成员包括 Pfcloud 204.76.203.4 和 Stormcloud 94.154.43.203。Stormcloud /24 上的恶意软件名称位于兄弟地址上。触碰日志的地址就是丢弃流量的来源，而家族名称仍留在实际归档它的兄弟地址上。
8 次 UDP 策略丢弃是 9 月 20 日代理列表检查的尾声，这些是被监控网络发出的数据包。两行 Amazon 无效数据包记录没有威胁列表命中。同一天早上另一次独立的链路富化显示的是普通运营商和内容路径：Verizon、Comcast、Lumen、Cogent、Google 和 Cloudflare。唯一无法解释自身的会话是 87.250.250.108，名称为 cloud.yandex.ru。新列表匹配中唯一的 Spamhaus DROP 命中是 140.222.0.0/16 内的 140.222.19.75 和 140.222.19.77，即 SBL693942，被解读为旧 NSFNET 空间上的劫持模式，未被列入主机封禁列表。把测绘项目、防弹扫描器和运营者自己的工具合并到一个指标列表中，就是在凭空制造一起事件。https://x.com/i/article/2106513298426597376
Yandex Compute，对照公开记录 —— 10 月 4 日
流传中的一种开场说法称，俄罗斯国家机构通过结合密钥托管、虚拟机管理程序访问权限、静默磁盘克隆、固定核心映射、自定义存储守护进程以及调度器上的合法监听馈送来读取 Yandex Cloud 的客户机。文章将该说法与 Yandex 自己的计算文档以及本主机上已有的信息进行了对照。默认磁盘加密使用平台密钥。客户密钥仍存放在 Yandex 的密钥服务中，禁用它就相当于一个终止开关。客户机内存就是 QEMU 进程的普通内存，因此主机运营者与正在运行的客户机处于信任边界的同一侧。这里没有 libvirt。热迁移、专属主机以及在同一主机上切换 QEMU 版本都是已发布的产品行为。host-id 固定会禁用热迁移，并由一个已有权限更新实例的主体通过计算 API 写入。客户机接口并不承载该写入操作。所引用的页面并未展示对虚拟机管理程序控制套接字、调度器选择或主机亲和性规则的合法监听订阅，更广泛的文章中也没有展示静默克隆、固定核心映射、自定义守护进程或隧道化路径。包含 yandex 的本地反向名称已被清点。45.87.42.74 仍是 8 月的 qloudhost 销售农场，只是名称不同。87.250.250.108，即丢弃流量文章中那个无法解释的会话，并未出现在那张更早的表中。注册信息将负责云对象的 Yandex.Cloud LLC 与企业网络上的 YANDEX LLC 区分开来。完整的 API 证书显示为 Yandex、莫斯科、GlobalSign。某个广告名称在 77.88.21.179 上仍有一个悬空的反向指针。https://x.com/i/article/2106548730942152704
一笔未支付的 Coinbase Card 诱饵 —— 10 月 9 日
两个 Telegraph 页面 telegra.ph/NCO-09-27 和 graph.org/UIN-10-05 共享同一个继续链接。两者都位于 149.154.164.13。它们分别发布于 9 月 27 日和 10 月 5 日。该链接是位于 107.189.20.230 的 rss2.sayler.at/go/337413/z274x264，它会重定向到位于 31.59.121.53 的 97ee1.ralind.at 上的一个 Coinbase Card 工具包。该工具包自己的脚本列出了 22 个步骤，从索引页一直到快速支付页面。10 月 6 日的一篇原始帖子说明了这一数量，并打印了相同的 22 个文件名。页面显示的余额为 39,437.16 美元。脚本最后修改于 2026 年 8 月 26 日。共列出了 11 个费用代码。只有 y2a4u234（即 58 美元的银行间线路项）被跟进，指向位于 31.57.29.11 的 bitpays.at，流标识为 4374w2。10 月 9 日 03:45 GMT 的一次模拟提交返回了重定向，指向位于 172.81.177.1 的 btcpay369329.lndyn.com 上的 BTCPay 发票 6QTpVwNe9CynFTXZFJE8Yk。状态为 New（新建）。金额 58 美元，0.00070469 BTC，汇率 82,306.45 美元，地址 bc1qexqsudur4860kva5789qcvkmpdk4j9wrfrsmzy。支付检查结果为零。未发送任何付款。
ip-api 将工具包定位在巴黎，将支付表单定位在里加。QuantumGuard 和源注册表将 31.57.29.0/24 定位在阿拉伯联合酋长国，AS56971。sayler.at、ralind.at 和 bitpays.at 使用 DNSPod。10 月 6 日的说明针对的是携带 SOA 序列号 1789107920 的对象，并将该对象定位在赞丹，归属 AS14956、RouterHosting 和 FranTech。10 月 9 日的文章没有重复这一定位。Telegraph 的名称服务器、GoDaddy 用于 graph.org 的名称服务器以及 DNSPod 地址都属于共享 DNS。144.31.93.214 不在这条链上。8 月 15 日的文章和本诱饵都使用了“Coinbase”一词。那篇文章中的例子是一个电话冒充团伙。本篇讲的则是一个页面、一个追踪器、一个卡片工具包和一张未支付的发票。https://x.com/i/article/2108597864108871681
收尾立场
本系列以两份清单收尾。第一份是 Quantitative Security 使用的方法。第二份是各篇文章所映射的方法，每项都附有文章为其标注的群组、租户或类别。文章示例仍归在 8 月 15 日的文章之下。兄弟标签留在兄弟地址上。测绘项目留在测绘桶中。当某篇文章未指明群组时，该行就止于租户、网络或类别。
使用的方法
- 对横幅、证书和监听服务进行结构化的外部遍历，将废弃资产与生产流量分离。
- 以社会工程学开启访客接触，再通过开源情报富化加以扩展。仅限侦察。
- 反向 IP、WHOIS 与注册表拉取、邮件认证记录，以及针对这些记录所指地址的数据包捕获比对。
- 用外部猎手会使用的相同入口对公司自有域名进行遍历，将自我侦察保留为传感器噪声。
- 将软地理位置和 asname 馈送与 ARIN、RIPE 及 Team Cymru 进行比对。顺序是：先工具，再租户，最后注册表。
- 一份按排名排列的历史清单，在任何公开事件与之关联之前就已收敛到服务身份。
- 路径上的 DNS 和蜜罐日志，经解读后使公司自身会话与远程命中保持分离。
- 基于不变标记对邮件进行归约，将 HEAD 请求与浏览器 GET 进行比对，并对跨前缀共享的同一个虚拟主机主体进行哈希处理。
- 将住宅丢弃流量与 AbuseIPDB、Spamhaus DROP、URLhaus、Feodo、SSLBL、ThreatFox 和 Emerging Threats 进行比对归约，被动名称扩展使名称服务器不被列入封禁列表。
- 将热点出口保留为一种关联，后续测量与首次会话在时间上错开。
- 将注册商、名称服务器对和运营商中间页与源内容分离。
- 综合解读 SPF、DKIM、DMARC 和 S/MIME，当签名的原始文件不在手中时，将其停留在类别层面。
- 将导出的丢弃流量分桶为：测绘项目、重复出现的敌对网络、公司自身数据包，以及无法解释自身的会话。
- 将厂商的计算文档与更广泛的说法进行比对，将缺乏支持的条款排除在结论之外。
- 沿着追踪器、工具包、一个费用代码和一张模拟的未支付发票，完整跟踪一条诱饵链。未发送任何付款。
映射的方法及其对应名称
- 残留云服务与短生命周期认证代理。残留品牌包括 GENIEX、《龙族幻想》等游戏名称，以及少量与老挝相关的医美和二手车网站。
- 访客基础设施收割。起始地址被地理定位到伊朗，文章将标签停留在此。基线中提到了安大略省康山的 GoCodeIT Inc.；rejekibet.com 及围绕该品牌的诈骗克隆站；以及处于收尾阶段的 geniex.com。
- 品牌名健康计划销售，以及一个已被归类为钓鱼的网站，均位于共享主机上。相关名称为注册人。Fabiola Silva Souza 和 Fabiola Silva Souza Seguros Ltda 持有核心组合。Roger Oliveira da Silva 和 Leonildo Quintiliano 位于桥接站点上。Tiago Ferreira Pena 是相邻注册人。Christian von Langermann 是 shelleasternpetroleum.ae 的注册人，为共同租户。OpenDNS、Cloudflare 和 DNS4EU 将 vendasbradescosaude.com.br 归类为钓鱼。同一节点上的假银行、赌场和钱包转换页面仍是邻居。
- 可信边缘模仿：停放在 Squarespace、Cloudflare、Vercel、GitHub Pages 或 AWS Global Accelerator 上的相似域名或任意名称。198.49.23.145 上历史存在的 Cobalt Strike 和 Mozi URL 是该任播的其他租户。
- 能力层级，见 8 月 15 日的文章。这些名称即为文章的示例。Man hands，又称 Tiffany M.：硬件钱包与交易所客服冒充，伪造 BitcoinIRA 邮件。Dritan Kapllani Jr.。John Daghita，绰号 Lick，针对美国法警局扣押的钱包。Greavys、Wiz 和 Box 团伙，针对一名 Genesis 债权人。Lazarus，2025 年 2 月 Bybit 盗窃案。UAC-0145，文章将其与 Sandworm / APT44 关联：虚假求职面试，以 VPN 配置作为投递载体。Laundry Bear：与俄罗斯相关的凭证，针对政府、国防和关键基础设施。
- 托管在 GitHub release 主机名上的恶意软件 URL，其 BGP 源为 Fastly。映射的方法是可信主机名上的载荷。封禁对象是后续的虚拟服务器。
- 分散式（Snowshoe）线索生成。伪装身份包括 Policy Plug、Easy Insurance Match、Endurance 以及 Indigo and Destiny Mastercard。LendingTree 是被盗用 NMLS 页脚的受害者。邮件和点击位于 NForce，AS43350。未删减的 WHOIS 将 Robert Carpino 指认为枢纽。CAKE 报价 2701 背后的买家身份不明。
住宅扫描与敌对托管。
- QNAX。销售 VPS、RDP 和控制台 VNC。在 45.140.193.187 上映射的方法是针对 tcp/5900 的 RFB 暴力破解。
- Pfcloud。位于一个 Spamhaus DROP 前缀内，该网络上出现了 n8n 和 authentik。6 月 25 日的一个账户将 UniFi OS 漏洞利用定位在同一 /22 内的 176.65.148.183。CISA 6 月 23 日的条目列出了 CVE-2026-34908、CVE-2026-34909 和 CVE-2026-34910，文中将其描述为 Mirai 级别的加载器。
- Tamatiya 和 4vendeta。横跨客户与运维切片的喷洒攻击。TopDNS 仍是转发器。Recyber 出现在 8 月的卡片上，但未出现在 10 月 3 日的窗口中。
- Ghosty 43.228.157.0/24 和 Stormcloud 94.154.43.0/24。URLhaus 上标注的 Mirai 聚集区。在 Stormcloud /24 上，包括 ApexBot 和 LummaStealer 在内的更多标签位于兄弟地址上。94.154.43.203 是触碰 10 月日志的地址。
- Stealc、MooBot、Vidar 和 XWorm。出现在其他 193.233 主机上，与位于 193.233.198.28 的扫描器属于不同的自治系统。
- 46.146.238.1。一个高位端口投放器的精确 URLhaus 主机，telnet 开放。
- 195.252.206.160 上的 UniFi OS。与 SAB-067、CVE-2026-77550 的服务级匹配。
- EMBNEX。八个转储源。embnex.com 使用 CloudFront。
- 同一日志中的测绘项目：Infrawatch、Cortex Xpanse、Censys、Shadowserver、Stretchoid 和 Nokia Deepfield。该测绘集中重复出现的网络名称包括 SS-Net 和 Amarutu。
- 同一地址上面向互联网的管理服务：MikroTik RouterOS、Nginx Proxy Manager、MeshCentral 和 UniFi。
- 一个隐私代理 Dynadot 域名上的一天等待名单。文章未指明群组。Mystic Stealer 作为 2023 年 6 月的附录出现，其中列出了相同的 Cloudflare 任播地址。FanPartners 和“A little chicken”落地页使用不同的名称服务器对。
- 在 Defense Network Information Center 主机上通过 SPF、DKIM 和 DMARC 的邮件，但 From 行与 S/MIME 签名者不同。文章中的方案是 DMDC 身份验证缺口。映射的类别是在签名者处或之前引入的主体。9 月的文件共享通知仍按其自身日期独立存在。
- 关于读取 Yandex Cloud 客户机的更广泛说法。文档支持平台加密密钥、仍在 Yandex 自有密钥服务中充当终止开关的客户密钥，以及作为 QEMU 进程普通内存的客户机内存。名为 cloud.yandex.ru 的 87.250.250.108 仍是丢弃流量文章无法解释的那个会话。
- 多步骤卡片诱饵：两个 Telegraph 页面、一个追踪器、一个 22 步工具包、一个费用代码支付表单，以及一张未支付的 BTCPay 发票。8 月 15 日的 Coinbase 示例仍是文章中的电话冒充团伙 Man hands。本篇讲的则是页面、追踪器、工具包和未支付的发票。
