Quantitative Security 在 2026 年 7 月 31 日至 10 月 9 日期間，發布了年中回顧所打造的工具產出的公開系列文章。該系列從 7 月 31 日的雲端網段偵察，一路延伸到 10 月 9 日未付款的 Coinbase 卡片誘餌，並以 TLP:CLEAR 長文形式發表於 X 平台。8 月將方法轉向內部：一個 GitHub 鄰居被解析為健康保險銷售身分、公司自己的網域被當作外部目標進行測量，並將一整年的電信商標籤與註冊資料庫進行比對。9 月把同樣的化約方法套用在住宅防火牆與一座雪鞋垃圾郵件工廠上，並讓這些案例所在的平台維持其原有的分類。10 月則將一份棄置日誌拆分為測量結果、已知敵意網路與公司自有工具；針對 Yandex Compute 提出更廣泛的主張並與供應商文件比對；同時追蹤一套卡片工具包，直到一張始終未付款的發票為止。
每份產品都將原始遙測資料與公開來源，轉化為可歸因、有優先順序且可供防禦的成果。只有在證據能連結時才會標註名稱。平台、租戶、調查專案，以及通過各項檢驗的特徵，都維持文章原本賦予的分類。結尾段落會列出使用的方法、對應到的方法，以及各自所屬的群組、租戶或分類。
報告系列
殘留雲端攻擊面 — 7 月 31 日
一次結構化的外部掃描涵蓋約 115 個位址，區分出線上生產環境、殘留服務與廢棄資產。位於 104.247.165.210 的土耳其共享主機（silaoglu.com，橫幅顯示 mt-rohan.guzelhosting.com）呈現完整的郵件與網頁堆疊：Pure-FTPd、Dovecot、Exim、MySQL 與 LiteSpeed，並附帶需認證的 SOCKS5 與 HTTP 代理伺服器及短期憑證。最大宗的流量集中在 Tencent 與 Aceville 的網段，且經過嚴格過濾。少數回應的位址構成了殘留攻擊面：81 埠上的 Nginx Proxy Manager、/arena 路徑下的線上 Next.js 應用程式、高連接埠上需認證的代理伺服器、帶有內部風格主機名稱的 Windows 遠端桌面，以及 GENIEX eSIM 品牌與印尼、越南遊戲品牌（包括仍由老舊 Jetty 提供服務的《龍族幻想》）的遺留憑證。一組位於單一 Tencent 位址、與寮國相關的小型集合，呈現了中文醫美與二手車網站，公開足跡極為稀少。這份產品採用的區分方式，與年中回顧應用於 Google 邊緣節點的做法相同。生產流量與廢棄服務屬於不同類型的發現，而只有後者才是阻擋與強化的問題。https://x.com/i/article/2083245764969635841
防護情報接觸行動 — 8 月 1 日
當一個地理位置指向伊朗的遮罩位址造訪 Quantitative Security 基礎設施時，這次接觸行動正式展開。透過社交工程反制該互動，成功捕獲一組位址，並藉由專門架設的網站收集造訪者的基礎設施資訊以擴大範圍。發布的基準清單點名了安大略省 Thornhill 的 GoCodeIT Inc.，其需認證的代理伺服器位於 65.111.5.29 與 74.119.149.79；103.255.134.61 上為 technofaq.org 暴露的 CloudPanel 2.5.2；152.32.169.33 的 8888 埠上具 Microsoft 風格的 CodePushServer；rejekibet.com 作為印尼真錢博弈平台，且該品牌周圍充斥詐騙複製站；面向網際網路的 Windows 遠端桌面，包含 38.107.237.68；geniex.com 作為正在收尾的奈及利亞虛擬 SIM 卡業務，該網域本身解析至 AWS；以及 acmmanufacturer.com，先前位於 Tencent 的殘留網段，後來透過 chukouplus.com 遷移至 Zenlayer。104.207.0.0/16 中的代理主機需要認證、出示約七天效期的憑證，並在探測的管理路徑回傳 404。Zeus-admin 監聽器持續受到過濾。起始位址上的地理位置標籤是本次接觸行動的起點。文章並未指派任何具名的國家級群組。該資料集已作為下半年的基準而結案。https://x.com/i/article/2083388096285179904
GitHub 負載平衡器通往巴西健康保險銷售農場 — 8 月 8 日
8 月 7 日與 QuantumGuard 的一次熱點連線及封包擷取，始於一個 GitHub pull request 與西雅圖負載平衡器 140.82.116.3（lb-140-82-116-3-sea.github.com）的反向 IP 查詢。該位址共同託管了 coindream.site：網頁位於 GitHub、郵件 SPF 指向 UltaHost cp5 159.100.6.5、建立於 2026 年 1 月 23 日、採用隱私註冊人、Namecheap DNS。擷取內容中沒有通往後續案例位址的封包。UltaHost 持有約 500 個網域名稱，包括註冊給 Christian von Langermann 的 shelleasternpetroleum.ae，以及 gamingcomission.co、antifraud.click、aranttru.com 與 pinupcasinorussia.click。網頁連接埠隨後被過濾為 2082 與 2083 上的 cPanel。位於 187.33.241.58 的 pro114.dnspro.com.br 暴露了完整的郵件與面板堆疊，以及公開的 MariaDB 10.11.18。
主要節點為 45.87.42.74 的 shared.qloudhost.com，這是一個 2017 至 2025 年間運作、使用 Bradesco、Amil、Unimed 與 SulAmérica 等品牌名稱的巴西健康保險銷售農場。核心組合的 WHOIS 登記人為 Fabiola Silva Souza，帳號代碼 FASSO283，信箱位於 saudeperfeita.com.br。文章中的公開紀錄對應到 CNPJ 40.950.276/0001-55、Fabiola Silva Souza Seguros Ltda，位於聖保羅州 Mococa，成立於 2021 年 2 月 23 日。橋接網站 saudeperfeita.com.br 位於 HostGator 的 162.241.2.92，WordPress 使用者為 admin 與 nildo，文章中將其與 Agência Unit 的 Roger Oliveira da Silva 及 Leonildo Quintiliano 連結。Tiago Ferreira Pena 是使用相同名稱伺服器的相鄰註冊人。同一節點也存放了假銀行頁面、賭場註冊，以及 Paysafe 與 Neosurf 轉換器。QloudHost 主打賭場託管行銷。共享的名稱伺服器與 saudeperfeita 信箱將這些健康保險業者串連起來。但節點上的共同託管關係，並不會將該身分延伸至金融或博弈租戶。vendasbradescosaude.com.br 在 OpenDNS、Cloudflare 與 DNS4EU 已將其歸類為釣魚網站後，仍留在 qloud 位址上。文中未解開的部分包括：完整的 registro.br 組合、原始 pull request URL，以及針對 von Langermann 的次要樞紐分析。https://x.com/i/article/2085939414463631360
將自家網域視為外部目標 — 8 月 15 日
8 月 9 日至 14 日期間，quantitativesecurity.org 接受了外部獵人會使用的相同起手式檢查。源頭是乾淨的。託管採用 Squarespace 多租戶任播架構，搭配 NS1 的 p07 集合與 Squarespace DNS、客戶名稱使用 Let's Encrypt，而裸位址回傳 403 並附帶 *.squarespace.com 的 DigiCert 憑證。nmap 回報為 Go net/http 實作，而 Server 標頭卻顯示 Squarespace。這對組合只是同一個邊緣節點在兩個層次的描述。約 1,900 個 .academy 網域共享此平台。經測試後並未發現 Gophish 等級的指標。QuantC 與 QuantumGuard 將這次自我偵察記錄為平台雜訊，而這正是這些感測器所需的基準真相。實質的殘留風險在於身分識別：沒有 MX、沒有 SPF、沒有 DMARC，且註冊即將於 2026 年 9 月到期。一個源頭乾淨但郵件通道未簽署的網域，依然是攻擊面。https://x.com/i/article/2088437251508436992
能力層級 — 8 月 15 日
一篇伴隨文章依戰術與累計金額區分犯罪集團與國家支持的行為者，並保留第三個類別給不取分文的曝光行動。在低端，文章對應的案例是一名被稱為「Man hands」、也叫 Tiffany M. 的打電話者：假冒硬體錢包與交易所客服，至少 500 萬美元，針對 Trezor 與 Coinbase，偽造 BitcoinIRA 郵件，面板由同夥提供，作業安全薄弱。該數字是文章計算出該打電話者的竊盜總額。同一篇文章中的中階案例包括約 1,900 萬美元的 Dritan Kapllani Jr.，以及 John Daghita（綽號 Lick），根據美國法警署查扣的錢包計算超過 4,600 萬美元，文章推估其更廣泛的涉嫌活動超過 9,000 萬美元，此人後來遭到逮捕。較高端的犯罪案例是 Greavys、Wiz 與 Box 團隊，僅從單一 Genesis 債權人處就取得約 2.43 億美元。國家支持的案例包括 Lazarus 與 2025 年 2 月約 15 億美元的 Bybit 竊案；UAC-0145，文章將其與 Sandworm / APT44 連結，利用假面試針對烏克蘭 IT 專業人員，並以 VPN 設定作為投放途徑；以及 Laundry Bear，文中描述為與俄羅斯相關、利用遭洩漏憑證攻擊政府、國防與關鍵基礎設施的行動。https://x.com/i/article/2088672299868377088
.academy 鄰居群 — 8 月 17 日
對 Squarespace connect 四重奏的反向 IP 查詢彙整出 2,020 個鄰居網域。其中 1,898 個以 .academy 結尾，而有 1,767 個仍只解析到 198.49.23.144、198.49.23.145、198.185.159.144 與 198.185.159.145，AS53831。整個集合中出現 54 個不重複位址。抽樣的 40 個 Squarespace 網域全數回傳 Squarespace 標頭與 crumb cookie。198.49.23.145 上的濫用回報與歷史離線惡意軟體 URL（包含 Cobalt Strike 與 Mozi 路徑），在文章中被歸因於共享邊緣節點上的其他租戶。界線在於品牌名稱與四個官方 connect 位址。學校名稱未被列入阻擋清單。以位址而非主機名稱作為鍵值的信譽評等是一種平台成本，文章也如此記載。https://x.com/i/article/2089015652753502208
身分層 — 8 月 17 日
同一網域的註冊商家族、雙名稱伺服器與四個任播位址構成合法基準，也是模仿者複製的攻擊面。Squarespace、Cloudflare、Vercel、GitHub Pages 與 AWS Global Accelerator 早已承載了信譽、標頭與憑證授權單位。外來主機仍會預設失敗關閉，因此單純的位址阻擋會產生大量雜訊。文章點名的控制點位於註冊商層級：轉移、名稱伺服器變更、聯絡資訊清理與老化的註冊年限，接著是停放在受信任邊緣節點的相似網域或任意網域。在伴隨統計的 27 個異常 .academy 頂層網域中，有 12 個註冊於 Squarespace Domains 卻託管在他處。與被操作層級相對應的控制措施包括：註冊商鎖定、平台多重身份驗證、針對相似網域的 Certificate Transparency，以及在網域不寄送郵件時設定硬失敗的 SPF 紀錄。https://x.com/i/article/2089012676634738688
Verizon 配發網段被記錄為 T-Mobile — 8 月 23 日
8 月 5 日的一份內部報告將用戶端前綴 2600:1010:b204:: 標記為 T-Mobile 風格。該手機自始至終都是 Verizon，且為原始擁有者。ARIN 顯示 NetName 為 WIRELESSDATANETWORK，組織為 Verizon Business (MCICS)，註冊於 2010 年 4 月 6 日，涵蓋 2600:1000:: 至 2600:1017:ffff::。軟性 asname 與地理位置資料源從 2025 年 10 月起直到該報告發布當日，都帶著 T-Mobile 標籤。8 月 21 日的即時查詢回傳 Team Cymru AS6167 CELLCO-PART 與 RIPE AS22394 CELLCO。該配發網段並未變動。隨文章發布的作業順序，也是本系列其餘部分的順序：先歸因工具，再歸因租戶，最後是註冊資料庫。https://x.com/i/article/2091560316878671872
2023 年清點清單，已排序 — 8 月 23 日
2023 年初紐約 Charter 住宅線路的 294 張截圖，被整理成排序後的集合延續下來：約 1,450 個 IPv4 位址，其中約 1,266 個為公開位址，採用明確的 T1 至 T5 量表。2026 年的掃描在留下任何開放項目前就先關閉了服務。103.235.46.191 是 Baidu 的香港分析邊緣節點 hm.baidu.com，AS55967。23.82.31.230 是 Leaseweb 上的 TradingView。一個 Boeing 範圍的位址被放入純文件清單。後來關於 LockBit 入侵 Boeing 零件業務的公開報導，與該文件列共用同一個組織名稱，但沒有共用任何工作階段。Charter 2023 年 2 月的語音中斷、2023 年 7 月的 Storm-0558 聲明、後續 Salt Typhoon 的報導，以及 Leaseweb 自身 2023 年 8 月 22 日的公告，都是背景時間窗。https://x.com/i/article/2091569041584619520
Fastly 上的 GitHub — 8 月 27 日
QS-NetHarden 在手機網路分享下執行。擷取開始於太平洋時間 8 月 26 日 09:08。NetCloak 呈現新的 Windows 身分。Artillery 誘餌已啟動且未開啟封鎖。Phantom-QS 輪替 Firefox 128。當天早上的蜜罐日誌中沒有任何遠端命中。DNS 就是操作者：聊天代理、GitHub 的負載平衡器、Actions、Copilot，接著是 release-assets.githubusercontent.com。涵蓋的前綴 185.199.108.0/22 為 RIPE US-GITHUB-20170413，組織 GitHub，BGP 來源 AS54113 Fastly。Fastly 自己公布的位址清單並未包含它。.133 集合是內容的通用接收區。.154 集合是發行版本與套件。Actions 的大門是 Microsoft 13.107.42.0/24 與 13.107.43.0/24，而在該次掃描中 pipelines.actions 解析到 13.107.43.16。URLhaus 在 release-assets 名稱下收錄了惡意軟體 URL，Harden-Runner 也已標記它。主機名稱是卡車，行為者是貨物以及下一個非 GitHub 的跳躍點。阻擋後續的虛擬伺服器。放過葉節點、Fastly 通用接收區、Azure Front Door、區域快照與感測器。https://x.com/i/article/2093021792923508736
一座雪鞋垃圾郵件引導工廠 — 8 月 29 日，9 月 7 日續
8 月 27 日，單一收件匣收到 72 封未經請求的車險與信用卡訊息、156 個不重複連結、71 個寄件者網域。主旨分群產生三組重複配對。不變特徵是每封信件內文與每個連結中都有的 token e6jbv4z。點擊使用老化頂層網域上的雙字母標籤，以及 /r 加上十六進位字元形式的 PHP 路徑。Policy Plug 佔了 72 封中的 51 封。Easy Insurance Match、Endurance，以及 Indigo 與 Destiny Mastercard 都是偽裝外衣。一大子集複製了 LendingTree 的 NMLS 編號 1136 與夏洛特市的街道地址。LendingTree 是頁尾遭竊的受害者。郵件與點擊位於 NForce（AS43350）的 185.47.200.0/24 與 185.47.203.0/24：nginx、PHP 7.4.33、443 關閉、25 被過濾。這些網域是老化的 Name.com 庫存。HEAD 請求會收到通用的 nginx 403。類似瀏覽器的 GET 請求會收到導向 CAKE 登陸頁的 302（offer a=44 與 c=2701，位於 taobmaets.com），或是 keycanvascanvas.com 上的取消訂閱頁面。名為 Office 檔案的附件其實是純文字。ClamAV 掃描結果乾淨。一個 Host 標頭 mediaignorance.com 從 /24 中的七個位址回傳相同的 52,667 位元組內文。四個頂層網域的未遮蔽 WHOIS 指出 Robert Carpino，文章將其視為樞紐點。CAKE offer 背後的買家尚未確認。9 月 7 日，另一批使用相同 token 與相同路徑形狀、車險與 Indigo 偽裝的收集結果被發布，並指出已存在於 AT&T 的資料庫中。該貼文主張有一組共享的名稱伺服器集合，但未印出。防禦行動針對 token、路徑與兩個 NForce 前綴，通報至 abuse@nforce.com 與註冊商，並將遭竊的 NMLS 欄位認定為頁尾竊取。https://x.com/i/article/2093528643779825664 https://x.com/i/article/2093532720119083008 https://x.com/i/article/2097103637160022017
住宅防火牆，首次掃描 — 9 月 5 日
一份 AT&T 住宅閘道日誌在 26 分鐘內記錄了 296 個事件、188 個不重複位址，其中 169 個為公開位址。這個切片就是公開 IPv4 的背景輻射。8 月 31 日的卡片已點名 QNAX、Recyber、Infrawatch、Xpanse、Censys、Pfcloud 與 CHINANET。有三項發現是新的。QNAX 45.140.193.187 在 21 分鐘內撞擊 WAN 十次。文章引用 AbuseIPDB 來自 170 個來源的 408 份回報，全數具敵意，以及在 tcp/5900 上使用 RFB 003.008 的 VNC 暴力破解。qnax.sh 販售該 VPS、RDP 與 console-VNC 產品。Spamhaus DROP 網路內首個被點名的入站流量是 Pfcloud 176.65.149.233，位於 176.65.148.0/22，時間為 11:58。n8n.pfcloud.io 位於 176.65.148.168。sso.pfcloud.io 自稱為 authentik。Tamatiya 與 4vendeta 散布於 79.124.58.0/24、79.124.49.0/24 與 78.128.114.0/24，包含 79.124.58.90，其反向名稱為 ip-58-90.superbit.host，別名為 urlforward.topdns.com，與 143.198.68.197 的 ns-usa.topdns.com 共用同一個 DigitalOcean 位址。對 topdns.com 的被動擴展回傳 517 個標籤，許多是品牌衝突，幾乎都沒有位址。該名稱伺服器維持未阻擋狀態。優先主機為 45.140.193.187、79.124.58.18、79.124.58.90、79.124.49.90、78.128.114.46 與 78.128.114.162。可選網路為 Tamatiya 的客戶與營運切片，以及 Pfcloud 176.65.148.0/22 加上 204.76.203.0/24。與它們一同被放過的有：TopDNS、CriminalIP 收集器、Cloudflare 邊緣節點、普查掃描器與 Telepoint 78.128.42.0/24。隨文章發布的濫用聯絡窗口為 abuse@qnax.com.br 與 noc@4vendeta.com。感測器位於熱點上。LAN 未被掃描。本文建立在上半年系列 7 月 24 日的 Tamatiya 筆記之上。9 月 4 日的網站指標帶有系列標題並指向公司網站；此次測量的 X 紀錄即為本文與下一篇。https://x.com/i/article/2096029788624523264
住宅防火牆，剩餘部分 — 9 月 6 日
8 月 29 日與 9 月 5 日的時間窗合計產生 530 個不重複事件與 270 個入站公開位址。第二篇文章處理的是剔除普查掃描器與具名商業探查者後剩下的 105 個。受檢的 108 個位址中有 74 個在當天出現在公開資料源中。沒有任何一個出現在 Feodo、SSLBL、ThreatFox 或 Emerging Threats。21 個位於 9 月 4 日的 Spamhaus DROP 前綴中，包含 Pfcloud /22。文章引用 6 月 25 日一則從該前綴 176.65.148.183 發動 UniFi OS 漏洞利用的紀錄，以及 CISA 在 6 月 23 日新增的 CVE-2026-34908、CVE-2026-34909 與 CVE-2026-34910。Ghosty 43.228.157.0/24 與 Stormcloud 94.154.43.0/24 在同一篇文章中被列為 URLhaus 上的 Mirai 鄰居群。剩餘最吵鬧的入站位址仍是 QNAX 45.140.193.187，文章統計為 412 份回報，最後一次出現於 9 月 1 日的 5000 埠。46.146.238.1 是 URLhaus 上高連接埠 dropper 的精確主機，telnet 處於開啟狀態。195.252.206.160 上的 UniFi OS 沒有任何位址資料源命中，且在服務類別上符合 8 月 26 日的 SAB-067、CVE-2026-77550。EMBNEX 16.5.0.0/24 是八個傾倒來源；網站 embnex.com 位於 CloudFront。無關網路上完全相同的一小段 HTML 區塊是一個沉洞頁面。建議阻擋這些網路。https://x.com/i/article/2096732079388299264
熱點出口通往管理節點 — 9 月 14 日
來自 iPhone 熱點上個人裝置的流量抵達 113.176.118.150，名稱為 static.vnpt.vn 與 rdp.cdmt.vn。該位址呈現 MikroTik RouterOS 6.49.13、80 埠上的 Nginx Proxy Manager、443 上以名稱閘控的 HTTPS、5009 上的公開 MeshCentral 登入、8443 上的公開 UniFi 登入、8080 與 8090 上的兩個 SSH 守護程式，以及 8088 上一個涉及 CloudFront 名稱 d3azdm1q0gvo54.cloudfront.net 的未識別 CONNECT 風格服務。發布的假設認為這是一個面向網際網路的閘道與管理節點。在對應到已知應用程式、使用者或裝置之前，從個人熱點通往它的出口流量一律視為未授權。https://x.com/i/article/2099540826854715392
單薄的等候名單 — 9 月 22 日
uythjmnglk.xyz 於 2026 年 9 月 14 日在 Dynadot 註冊，採用隱私代理，使用 Cloudflare 名稱伺服器配對 phoenix 與 wilson，無 DNSSEC。只有頂層與 www 會回應。離開本機網路後，該應用程式是一個標題為「You're on the list」的等候名單，將電子郵件提交至 token v:897qvxac7fny03ac 下的訂閱路徑。在 AT&T 閘道上，同一名稱回傳了一個簡短的插頁，理由為惡意軟體。該頁面是電信商的，而非源頭的。名稱前方的兩個 Cloudflare 位址出現在 2023 年 6 月的 Mystic Stealer 附錄中。它們是共享任播，且該附錄與本次註冊相隔三年。同一天在同註冊商註冊的博弈與 4D 網域使用了不同的名稱伺服器配對。一組較舊的配對託管了與 FanPartners 聯盟路徑綁定的「A little chicken」登陸頁。這些叢集未納入本次種子。Cloudflare 位址也未列入任何活動阻擋清單。https://x.com/i/article/2101850617815908352
CAC 與 DEERS 通知 — 9 月 28 日
兩封通知從 CACExpiration-DoNotReply@mail.mil 寄達一個個人 Gmail，分別在 2026 年 3 月 9 日與 2026 年 5 月 7 日。5 月的信件通過了 SPF、DKIM 與 DMARC。DKIM 為 d=mail.mil，選擇器 EEMSG2021v1a，政策為 reject。訊息識別碼指出 UHIL19PA53.eemsg.mail.mil 位於 214.24.21.199。S/MIME 簽署者為 benefits.notifications@mail.mil，由 DOD SW CA-83 簽發，有效期為 2025 年 10 月 15 日至 2028 年 10 月 15 日。Gmail 的橫幅提示寄件者與簽署者不同。這兩個信箱確實不同，而這樣的差異足以觸發橫幅提示。內文表示缺少兩份身分文件，要求收件者前往 RAPIDS 上傳，3 月的信件給予 120 天期限，5 月的信件則要求在 7 月 6 日前完成（60 天期限）。未提交任何文件。卡片仍可正常使用。
文章引用的官方計畫始於 2026 年 1 月的 DMDC 通知。到 8 月，約 215,000 名現役與後備人員未符合規定。陸軍已審查約 111,000 張卡片，截至 9 月 2 日皆未撤銷。7 月仍有約 21,500 名海軍陸戰隊員未完成。9 月 8 日發布的 9 月 3 日官方說法將其描述為行政紀錄更新，並未宣稱缺失文件涉及詐欺或資料外洩。MARADMIN 393/26 要求本人攜帶兩份正本文件。但 3 月的信件內文寫的是上傳。
該文章在詞彙欄中保留的類別，是一個在簽署者處或之前引入的主體，因此檢查仍然通過。Gmail 驗證之後的重寫被排除在外，因為 DKIM 已通過。手上既沒有原始郵件檔案，也沒有簽章部分。郵件主機是 AS345、214.24.21.0/24，一個自 1998 年起屬於國防網路資訊中心（Defense Network Information Center）的區塊。www.cac.mil 是 Akamai 上的一個名稱，位址為 23.62.46.164 和 23.62.46.182，回應 403，而該邊緣節點上的憑證同時帶有 www.cac.mil 以及一組 pentagon、defense、department 相關名稱。DMDC 應用程式 idco、myaccess 和 pki 解析到 AS27064 上不同的 214 位址，包括位於 214.16.194.24 的 pki.dmdc.osd.mil。郵件前綴與這些應用程式前綴之間沒有任何共用。某款地理位置定位產品將這些 214 查詢放在俄亥俄州哥倫布；另一款則放在維吉尼亞州羅斯希爾。它們屬於同一個分配區段。
三筆相鄰的紀錄各自獨立。7 月 20 日 email.usfhp.net 上的一個行銷頁面是真正的美國家庭健康計畫（US Family Health Plan）資產，帶有普通的 HubSpot 等級追蹤。一封日期為 9 月 18 日的檔案分享信件描述了從 2025 年 10 月到 2026 年 7 月 16 日的未加密存取，於 7 月 16 日被發現，而文章並未將其與此 From 欄位連結。9 月 4 日的 IDScan 通知涉及客戶雲端帳號。文章中約四百萬筆與六千萬筆紀錄的數字作為受害者總數被否決。https://x.com/i/article/2104388574397554688
十七分鐘的丟棄封包——10 月 3 日
10 月 3 日 05:55 至 06:12 匯出的一份住宅丟棄（discard）記錄包含 234 列、110 個外國位址和 166 次命中增量。每一列都是一次丟棄，且匯出資料中沒有目的連接埠。稍後一份將時間窗口平移約五小時的讀取結果，只是不同時鐘下的同一事件。57 次掃描器命中中有 51 次屬於具名的全網調查專案：Infrawatch、Cortex Xpanse、Censys、Shadowserver、Stretchoid、Nokia Deepfield 及其鄰近專案。有 10 個精確位址與 8 月重複，包括 4vendeta 79.124.49.90、SS-Net 80.94.95.226、Ghosty 43.228.157.10 和 Amarutu 89.42.231.200。QNAX 和 Recyber 在此窗口中缺席。已知網路的新成員包括 Pfcloud 204.76.203.4 和 Stormcloud 94.154.43.203。Stormcloud /24 上的惡意軟體名稱落在兄弟位址上。觸及日誌的位址就是丟棄封包的來源，而家族名稱仍留在實際歸檔的兄弟位址上。
8 次 UDP 策略丟棄是 9 月 20 日代理清單檢查的尾聲，這些是被監控網路所發送的封包。兩列 Amazon 無效封包未帶有任何威脅清單命中。同一天早上另一次獨立的線路擴充分析顯示的是普通營運商與內容路徑：Verizon、Comcast、Lumen、Cogent、Google 和 Cloudflare。唯一無法自我解釋的連線階段是 87.250.250.108，名稱為 cloud.yandex.ru。在新清單比對中，唯一的 Spamhaus DROP 命中是 140.222.0.0/16 內的 140.222.19.75 和 140.222.19.77，即 SBL693942，被解讀為舊 NSFNET 空間上的劫持模式，並被排除在主機阻擋清單之外。將測量專案、防彈掃描器和營運商自己的工具全部合併到同一個指標清單中，等於是在捏造一起事件。https://x.com/i/article/2106513298426597376
Yandex Compute，與公開紀錄相悖——10 月 4 日
流傳中的一項開頭主張稱，俄羅斯國家透過結合金鑰保管、hypervisor 存取、靜默磁碟複製、固定核心映射、自訂儲存常駐程式，以及排程器上的合法攔截饋送，來讀取 Yandex Cloud 的客體。文章將該主張與 Yandex 自己的運算文件，以及本主機上已有的資訊進行比對。預設磁碟加密使用平台金鑰。客戶金鑰仍存在於 Yandex 的金鑰服務中，停用它就等同於終止開關。客體記憶體就是 QEMU 程序的普通記憶體，因此主機營運商與正在執行的客體處於信任邊界的同一側。這裡沒有 libvirt。即時遷移、專屬主機，以及在同一主機上切換 QEMU 版本，都是已發布的產品行為。host-id 固定會停用即時遷移，並且由已經可以更新執行個體的主体透過運算 API 寫入。客體介面並不承載該寫入操作。所引用的頁面並未顯示對 hypervisor 控制插槽、排程器選擇或主機親和性規則的合法攔截訂閱，也沒有在更長的文章中展示靜默複製、固定核心映射、自訂常駐程式或隧道化路徑。包含 yandex 的本機反向名稱已被清點。45.87.42.74 仍是 8 月的 qloudhost 銷售農場，只是名稱不同。87.250.250.108，即丟棄封包篇中無法解釋的連線階段，並未出現在那張較早的表格中。註冊資訊將負責雲端物件的 Yandex.Cloud LLC 與負責企業網路的 YANDEX LLC 分開。完整的 API 憑證顯示為 Yandex、莫斯科、GlobalSign。有一個廣告名稱仍在 77.88.21.179 留有懸空（dangling）的反向指標。https://x.com/i/article/2106548730942152704
未付款的 Coinbase Card 誘餌——10 月 9 日
兩個 Telegraph 頁面 telegra.ph/NCO-09-27 和 graph.org/UIN-10-05 共用同一個繼續（continue）連結。兩者都位於 149.154.164.13。它們分別發布於 9 月 27 日和 10 月 5 日。該連結是位於 107.189.20.230 的 rss2.sayler.at/go/337413/z274x264，它會重新導向到位於 31.59.121.53 的 97ee1.ralind.at 上的一組 Coinbase Card 工具包。該工具包自身的腳本列出了 22 個步驟，從索引頁一直到快速付款頁面。10 月 6 日的一篇原始貼文說明了這個數量，並印出相同的 22 個檔案名稱。這些頁面顯示餘額為 $39,437.16。腳本最後修改於 2026 年 8 月 26 日。共列出 11 個費用代碼。只有 y2a4u234（$58 的銀行間項目）被追蹤，導向位於 31.57.29.11 的 bitpays.at，串流 4374w2。10 月 9 日 03:45 GMT 的一次模擬提交回傳了重新導向至 BTCPay 發票 6QTpVwNe9CynFTXZFJE8Yk，位於 172.81.177.1 的 btcpay369329.lndyn.com。狀態為 New（新）。五十八美元，0.00070469 BTC，匯率 $82,306.45，位址 bc1qexqsudur4860kva5789qcvkmpdk4j9wrfrsmzy。已付款檢查回傳零。沒有發送任何付款。
ip-api 將工具包定位在巴黎，付款表單在里加。QuantumGuard 和原始註冊庫將 31.57.29.0/24 定位在阿拉伯聯合大公國，AS56971。sayler.at、ralind.at 和 bitpays.at 使用 DNSPod。10 月 6 日的筆記針對帶有 SOA 序號 1789107920 的物件，將該物件置於 Zaandam，隸屬 AS14956、RouterHosting 和 FranTech。10 月 9 日的文章並未重複該定位。Telegraph 的命名伺服器、GoDaddy 用於 graph.org 的命名伺服器，以及 DNSPod 位址，都是共用 DNS。144.31.93.214 不在這條鏈上。8 月 15 日的長文和本誘餌都使用了 Coinbase 一詞。長文中的範例是一個電話冒充團隊。本篇則是一個頁面、一個追蹤器、一組卡片工具包，以及一張未付款的發票。https://x.com/i/article/2108597864108871681
結語立場
本系列以兩份清單作結。第一份是 Quantitative Security 使用的方法。第二份是各篇文章所映射的方法，每項都附上文章賦予它的群組、租戶或類別。長文中的範例仍歸於 8 月 15 日的長文之下。兄弟標籤留在兄弟位址上。調查專案留在測量桶中。當文章未指明群組時，該行就停在租戶、網路或類別上。
使用的方法
- 針對橫幅、憑證和監聽服務進行結構化的外部掃描，並將廢棄資產與生產流量分開。
- 以社交工程開啟的訪客互動，隨後透過開源情報擴充。僅限偵察。
- 反向 IP、WHOIS 與註冊庫拉取、郵件驗證紀錄，以及針對這些紀錄所指定位址進行的封包擷取比對。
- 將公司自己的網域用外部獵人會使用的相同入口跑一遍，並將自我偵察保留為感測器雜訊。
- 將軟性地理位置與 asname 饋送與 ARIN、RIPE 和 Team Cymru 比對。順序是：先工具，再租戶，最後註冊庫。
- 一份排序過的歷史清單，在與任何公開事件連結之前就已收斂到服務身分。
- 路徑上 DNS 與蜜罐日誌，經解讀後使公司自己的連線階段與遠端命中保持分離。
- 以不變標記（invariant token）縮減郵件、將 HEAD 請求與瀏覽器 GET 比對，並在整個前綴上對一個共用虛擬主機主體進行雜湊。
- 將住宅丟棄封包與 AbuseIPDB、Spamhaus DROP、URLhaus、Feodo、SSLBL、ThreatFox 和 Emerging Threats 比對縮減，並以被動名稱擴充讓命名伺服器不進入阻擋清單。
- 將熱點出口保留為一種關聯，後續測量則與第一次連線階段錯開時間。
- 將註冊商、命名伺服器配對和營運商中介層與原始內容分開。
- 將 SPF、DKIM、DMARC 和 S/MIME 一起解讀，並在未取得已簽署原件時停留在類別層級。
- 將丟棄匯出分桶為調查專案、重複出現的敵對網路、公司自己的封包，以及無法自我解釋的連線階段。
- 將供應商的運算文件與更廣泛的主張比對，並將缺乏支持的子句排除在結論之外。
- 沿著追蹤器、工具包、一個費用代碼和一張模擬未付款發票追蹤誘餌鏈。沒有發送任何付款。
映射的方法，以及各自的標籤
- 殘留雲端服務與短生命週期的已驗證代理。殘留品牌包括 GENIEX、《龍族幻想》（Dragon Raja）等遊戲名稱，以及一組與寮國相關的醫療美容與二手車網站。
- 訪客基礎設施收割。起始位址被地理定位到伊朗，文章就將標籤停在那裡。基線指出安大略省康山（Thornhill）的 GoCodeIT Inc.；rejekibet.com 及圍繞該品牌的詐騙複製站；以及正在收尾的 geniex.com。
- 品牌名稱的健康保險方案銷售，以及一個已被分類為釣魚的網站，位於共用主機上。相關名稱是註冊人。Fabiola Silva Souza 和 Fabiola Silva Souza Seguros Ltda 持有核心組合。Roger Oliveira da Silva 和 Leonildo Quintiliano 位於橋接網站上。Tiago Ferreira Pena 是相鄰的註冊人。Christian von Langermann 是 shelleasternpetroleum.ae 的註冊人，為共同租戶。OpenDNS、Cloudflare 和 DNS4EU 將 vendasbradescosaude.com.br 分類為釣魚。同一節點上的假銀行、賭場和錢包轉換頁面仍是鄰居。
- 可信邊緣模仿：停放在 Squarespace、Cloudflare、Vercel、GitHub Pages 或 AWS Global Accelerator 上的相似外觀或任意名稱。198.49.23.145 上的歷史 Cobalt Strike 和 Mozi URL 是該 anycast 的其他租戶。
- 能力分層，見 8 月 15 日長文。這些名稱是該文的範例。Man hands，又稱 Tiffany M.：硬體錢包與交易所客服冒充、偽造的 BitcoinIRA 郵件。Dritan Kapllani Jr.。John Daghita，綽號 Lick，針對美國法警署（U.S. Marshals Service）扣押的錢包。Greavys、Wiz 和 Box 團隊，針對一名 Genesis 債權人。Lazarus，2025 年 2 月的 Bybit 竊案。UAC-0145，文中連結到 Sandworm / APT44：假面試，以 VPN 設定作為投放方式。Laundry Bear：與俄羅斯相關的憑證，針對政府、國防和關鍵基礎設施。
- 承載於 GitHub 發布主機名稱上的惡意軟體 URL，其 BGP 來源為 Fastly。映射的方法是可信主機名稱上的貨物。阻擋對象是後續的虛擬伺服器。
- 雪鞋式（Snowshoe）名單生成。偽裝身份包括 Policy Plug、Easy Insurance Match、Endurance，以及 Indigo 和 Destiny Mastercard。LendingTree 是被盜用 NMLS 頁尾的受害者。郵件和點擊位於 NForce，AS43350。未刪減的 WHOIS 將 Robert Carpino 指為樞紐。CAKE 報價 2701 背後的買家尚未確認。
住宅掃描與敵對託管。
- QNAX。銷售 VPS、RDP 和控制台 VNC。在 45.140.193.187 上映射的方法是 tcp/5900 上的 RFB 暴力破解。
- Pfcloud。位於一個 Spamhaus DROP 前綴內，該網路上出現了 n8n 和 authentik。6 月 25 日的一份帳號將 UniFi OS 漏洞利用定位在同一 /22 的 176.65.148.183。CISA 6 月 23 日的條目列出 CVE-2026-34908、CVE-2026-34909 和 CVE-2026-34910，文中描述為 Mirai 級別的載入器。
- Tamatiya 和 4vendeta。橫跨客戶與營運區塊的噴灑攻擊。TopDNS 仍是轉發器。Recyber 出現在 8 月的卡片上，但在 10 月 3 日的窗口中缺席。
- Ghosty 43.228.157.0/24 和 Stormcloud 94.154.43.0/24。URLhaus 上指出的 Mirai 街區。在 Stormcloud /24 上，包括 ApexBot 和 LummaStealer 在內的進一步標籤落在兄弟位址上。94.154.43.203 是觸及 10 月日誌的位址。
- Stealc、MooBot、Vidar 和 XWorm。出現在其他 193.233 主機上，與位於 193.233.198.28 的掃描器屬於不同的自治系統。
- 46.146.238.1。一個精確的 URLhaus 主機，用於高連接埠投放器，telnet 開放。
- 195.252.206.160 上的 UniFi OS。與 SAB-067、CVE-2026-77550 的服務類別匹配。
- EMBNEX。八個傾印來源。embnex.com 是 CloudFront。
- 同一日誌中的調查專案：Infrawatch、Cortex Xpanse、Censys、Shadowserver、Stretchoid 和 Nokia Deepfield。該測量集中重複出現的網路名稱包括 SS-Net 和 Amarutu。
- 單一位址上面向互聯網的管理服務：MikroTik RouterOS、Nginx Proxy Manager、MeshCentral 和 UniFi。
- 一個受隱私代理保護的 Dynadot 名稱上的一天等待清單。文章未指明群組。Mystic Stealer 出現在 2023 年 6 月的附錄中，該附錄列出了相同的 Cloudflare anycast 位址。FanPartners 和「A little chicken」登陸頁使用不同的命名伺服器配對。
- 在國防網路資訊中心主機上通過 SPF、DKIM 和 DMARC 的郵件，但 From 欄位與 S/MIME 簽署者不同。文章中的計畫是 DMDC 身分驗證缺口。映射的類別是在簽署者處或之前引入的主體。9 月的檔案分享信件仍依其自身日期處理。
- 關於讀取 Yandex Cloud 客體的更廣泛主張。文件支持平台加密金鑰、仍在 Yandex 自家金鑰服務內作為終止開關的客戶金鑰，以及作為 QEMU 程序普通記憶體的客體記憶體。87.250.250.108，名稱為 cloud.yandex.ru，仍是丟棄封包篇無法解釋的連線階段。
- 多步驟卡片誘餌：兩個 Telegraph 頁面、一個追蹤器、一套 22 步工具包、一個費用代碼付款表單，以及一張未付款的 BTCPay 發票。8 月 15 日的 Coinbase 範例仍是該長文中的電話冒充團隊 Man hands。本篇則是那個頁面、追蹤器、工具包和未付款發票。
