被两轮制裁“消灭”后，这家俄罗斯黑主机商手里的IP反而多了二十倍

白帽子

2026年10月18日 08:49
广东

去阅读

以下文章来源于黑鸟
，作者黑鸟

黑鸟
.

一介草民，深耕威胁情报领域多年，自封威胁分析师，APT狩猎者，战略忽悠分析师。 专注推送一切前沿高科技/人工智能、网络安全分析、敌我战略分析、数据挖掘、情报扩线、网络武器分析、社会工程学、一切开源情报、军事分析忽悠等。

从六千四百个地址到十三万七千个，公司名换了一轮又一轮，互联网资源却一直在接力

Aeza的IP地址像接力赛一样，从一个法人实体平滑传给下一个，全程不掉棒

2022年底，一家叫Aeza的俄罗斯主机商刚开张没多久，它手里的自治系统AS210644对外宣告的IPv4地址只有大约6400个，拆成25个网段。

四年之后的2026年9月22日，研究者做了一次快照，发现Aeza International加上一个叫NetCrafters的新网络，合计宣告了536个IPv4/24网段，对应137216个地址，是原来那个地址池的二十多倍。

这四年里发生了什么？发生了德国CORRECTIV、捷克Investigace.cz、保加利亚VSquare和欧盟DisinfoLab的联合曝光，发生了美国财政部海外资产控制办公室OFAC两轮点名制裁，发生了英国Hypercore、塞尔维亚Smart Digital Ideas、乌兹别克斯坦Datavice被认定为Aeza的front company（前台公司），也发生了俄罗斯本国禁毒部门对创始人的刑事羁押。

但地址池没缩，反而越滚越大。

bulletproof hosting，直译叫“防弹主机”，大白话叫法：耐投诉主机。它指那种被 Abuse 投诉、被商标方投诉、被监管部门发函也不肯下线的服务商，客户通常是诈骗站、木马分发站、暗网市场镜像、虚假信息网站这一类。

ASN，自治系统编号，是一个网络在全球BGP路由表上的身份证。IP prefix（地址前缀）就是一段连续的IP地址块，比如138.124.0.0/17。LIR，本地互联网注册机构，是从RIPE NCC这样的区域注册局手里拿到大块地址、再往下切分分配或转租给客户的中间商。

记住这三个词就够了，后面所有的戏都在它们之间流转。

Aeza这个牌子其实很年轻。俄罗斯法人ООО “Аеза Групп”是2021年6月17日在圣彼得堡注册的，最初叫Enotcloud；同年11月改名Partner LLC；2022年11月才正式叫Aeza Group。

三位创始人里，Arsenii Penzev和Yurii Bozoyan更早做过一家叫MskHost的主机商。2021年9月MskHost被“攻破”并泄露，事后翻账发现那台服务器上跑着好几套非法短信群发和灰产验证码接口，也就是说这拨人从一开始就在暗灰产业里打滚。第三位创始人Igor Knyazev对外更干净，公开记录里他是圣彼得堡一家叫Color Trade涂料贸易公司的独资老板，2025年财报营收约2.65亿卢布，净利润1390万卢布，外人看完全不像机房圈的人。

旁边还有一个长期搭班子的角色：Yevgeniy Marinko，网名dimetr50，他手里的4Services/4server最早给Aeza提供了AS210352，后来又通过Global Internet Solutions(AS207713)和Global Connectivity Solutions(AS215540)这两张网络持续参与Aeza的地址流转。

2021到2026年间Aeza生态相关前缀的流动全景，GIR/GCS、Stark Industries、Hypercore、NetCrafters几条线反复交叉

Aeza周围很快聚起一圈小卫星主机：Shelter LLC运营的AS211409(Galaxy-AS)，关联Zerohost和Areasoft；Chromis IT旗下的SunHost(AS216319)；TNSECURITY手里那个AS216309，先后挂过TNSECURITY-AS、LETHOST-AS、EVILEMPIRE-AS三个牌子，服务叫Lethost。这种结构被研究者称作“防弹层里面再套一层防弹层”，主干出事了，把枝叶砍掉就行，母船不动。

2024年7月11日，Qurium和EU DisinfoLab联合发报告，把Aeza钉在Doppelganger虚假信息行动基础设施枢纽的位置上。接下来十天，Aeza生态的路由表像被人按了快进。

• 7月24日，上游提供商DataPacket切断了对Aeza及其关联网络的连接
• 7月31日，Aeza自己关掉了下游的Lethost和SunHost
• 8月初，Aeza宣布“意外失去”Datacamp/DataPacket，把业务切到一家叫Aurologic的新上游
• 同一周，Lethost和SunHost在Telegram上催用户备份，页面上挂出FBI和执法机构的查封样式页，Aeza方面对外把这波下线包装成“FBI行动”

事后看，那套FBI封网页面更像是自导自演。真正被切断的是上游，不是执法查封。原来挂在AS216309、AS215590、AS215428、AS198981、AS207957、AS216127这一串老ASN上的前线代理，八月份整体搬到了AS44477 Stark Industries、AS48090 PPTechnology、AS214417 Andrii Hrosh(1CENT)、AS399629 BL Networks和AS42624 SWISSNETWORK02。

单个前缀78.153.144.0/24在不同ASN之间的接力轨迹，公司名字变了，地址块还在原地跑

2025年7月1日，OFAC把俄罗斯的Aeza Group LLC、英国的Aeza International Ltd，以及Aeza Logistic LLC和Cloud Solutions LLC一起列管。11月19日第二轮，OFAC点名英国Hypercore Ltd是Aeza前台公司，塞尔维亚Smart Digital Ideas DOO和乌兹别克斯坦Datavice MCHJ被认定用来转移资产、搭建与Aeza品牌脱钩的新基础设施。

这套操作在法人层面很干净，但在路由层面没意义。研究者做了一件很朴素的事：不看公司登记簿，直接追IP资源本身。ASN在哪个公司名下、prefix从谁手里宣告、上游是谁、LIR原始分配记录怎么写，这些东西不会因为你在英国新注册一家有限公司就消失。

结果是AS210644今天还注册在Aeza International Limited名下，照常宣告几百个前缀；AS30823 Aurologic还是它的上游之一，通过法兰克福Equinix和赫尔辛基Hetzner把BGP通告喂出去；NetCrafters OÜ在爱沙尼亚注册，承接了原本挂在Hypercore名下的那批地址。

最讽刺的是上游厂商的公开表态。Aurologic的Joseph Hofmann在Hosting论坛LowEndTalk上反复强调“我们签约的客户不是Aeza Group LLC”，11月又进一步说“我们没有一个活跃客户叫'Aeza'”。言下之意很清楚：只要合同上的法人名字不在制裁清单上，哪怕那个ASN整段都是受制裁实体在用，我也不算协助规避。

这次研究者把2026年9月22日三个ASN(AS210644、AS216246、AS203273)对外宣告的全部IPv4地址摘下来，然后沿注册层级往上追三层：当前宣告这个网段的ASN是谁、这个子网被分配给了哪个组织、原始父级分配是落在哪个LIR手里。

三个网络背后一共挂着42个经过核实的LIR账户。其中10家地址提供商合计掌握了92000多个IPv4，占三个网络全部地址的三分之二以上。再往上收口，11家LIR就占了92928个地址，超过全部137216个地址的三分之二。

三个核心ASN在2026年9月22日的IPv4宣告规模快照

十一家LIR撑起三分之二地址池，七家藏在离岸结构里

七家离岸LIR，七条换壳路径

Plant Holding GmbH：瑞士老牌地址遗产

这是Aeza手里最大的一块非现代RIPE分配，来源是瑞士Buchs的Plant Holding GmbH，实控人是荷兰人Willem William van Strij de Regt。他同时还管着英国的IPv4 Exchange International，运营IPv4XI这个做IPv4地址买卖和租赁的经纪平台，WHOIS里ipv4xi.com的注册人直接就是Plant Holding本人。Plant Holding手里握着legacy网段138.124.0.0/17，截至快照，其中44个/24已经被切给Aeza Group、Aeza International或NetCrafters宣告。

Plant Holding legacy 138.124.0.0/17在Aeza和NetCrafters之间的切分结构

Axiom Asia Services：Infobox旧资产的新加坡马甲

这家公司展示了为什么必须沿分配链往上追，而不能停在当前宣告方。最早的新加坡公司Axiom Services Pte. Ltd.在RIPE里用sg.axiom-asia标识符，后来被除名；2023年10月另起一家Axiom Asia Services Pte. Ltd.(UEN 202341201H)，2024年1月成为RIPE LIR。它承接的其实是俄罗斯Infobox主机业务的旧地址遗产，Infobox背后是National Telecommunications，2020到2021年被Rusonyx收购，法律上直到2024年6月才完成合并，但地址在2024年2月就已经流到Axiom名下，3月开始切给Aeza。

Prostie Reshenia：亚美尼亚注册的俄罗斯老牌

Mikhail Mayorov这个名字在ENOG会议名册上代表Megalink和PG-19 Taganrog已经很多年。如今AS49037挂在亚美尼亚注册的Prostie Reshenia LLC名下，RIPE标识符am.webrocket，官网却还是pg19.ru。父级分配46.226.160.0/21、92.246.132.0段、89.169.52.0/22都从这里往下切，Aeza的分配记录从2024年1月起陆续出现。它一家就供应Aeza/NetCrafters总盘子的近6%。

Prostie Reshenia(am.webrocket)与Aeza Group之间的父子分配关系

RapidSeedbox：用俄罗斯和以色列幽灵公司拼出来的池子

RapidSeedbox走的是LIR圈里很常见的套路：收编一堆小LIR，拼成一个大地址池，背后用俄罗斯和以色列的空壳公司当马甲。实际操盘人是以色列人Yuli Azarch和Eliran Mukdasi，公司层注册在香港，运营在塞舌尔，员工在塞尔维亚。它从2022年1月就开始给Aeza供地址，快照时点至少有17个IPv4/24和1个IPv6/29被Aeza的两个ASN宣告。

RapidSeedbox地址池及其在Aeza ASN上的宣告分布

Technology Enriched Company FZCO：黎巴嫩legacy段的阿联酋下家

这是七家里最隐蔽的一个。主块77.110.64.0/18最早2007年6月分配给黎巴嫩P-Group S.A.L.(OffShore)，2024年底整段转到阿联酋FZCO公司Technology Enriched，RIPE后台由Mohd Shiraz通过lir-ae-technology-1-MNT管理。它把/18切成两个/19，下半段77.110.64.0/19先给了怀俄明州的CloudIPdenLLC做经纪转手，2025年7月改挂香港HGC；上半段77.110.96.0/19从2025年5月开始被切成一个个/24，其中一部分直接切给Aeza。

P-Group legacy /18在Technology Enriched手下一分为二后的走向

Oner Investments：2015年就被RIPE社区盯上的“囤号者”

Ivan Bulavkin的Oner Investments注册在塞浦路斯，公开身份还包括SeoPult、Click.ru、PromoNavi、TrustLink、Webartex这一整套俄罗斯SEO外链平台的老板或独家权利人。RIPE邮件列表里2015年就有一串帖子标题直白地写着“Hoarding /22 out of 185/8”，讨论的就是他反复拿/22大块地址的做法。当年囤下的地址大部分去了PROXY6和INHOST，后来躲在GIR和GCS后面，今天还有一小部分直接挂在NetCrafters和Aeza名下。Oner现在还把三个前缀租给NetCrafters，另一些分配给Proxy6 LLC和Inhost MCHJ，由SIA GOOD(AS212496，又名GOODTEC)宣告。

Oner Investments背后的SEO平台矩阵与GIR/GCS地址流向

Andwase Limited：BVI新壳，承接Bogdanov的老盘子

Qurium在2024年就见过这家供应商，只是当时用的是另一个名字。2025年6月，英属维尔京群岛LIR Andwase Limited(vg.andwase)出现在RIPE数据库；7月4日，原本挂在Network Management Ltd(sc.netman)名下的大块IPv4开始迁入新壳，到2026年Andwase手里已经攥着将近9万个地址、82项分配。这些地址的源头指向Iurii Bogdanov，一个惯用一堆空壳公司作业的业内老手，早期通过MediaServicePlus/NTX的LIR身份(ru.ntx、ru.msp2018)操作。历史上至少有4864个经Andwase供应的地址出现在Aeza及其关联网络里，2026年3月他又在西班牙阿利坎特注册了First Server, SL作为新落脚点。

Iurii Bogdanov名下LIR身份(ru.ntx → ru.msp2018 → sc.netman → vg.andwase)的迁移轨迹

这台机器上还跑着什么

Aeza的意义从来不止于Doppelganger那一批仿冒欧洲媒体的网站。同一批地址、同一家公司、同一张网络，反复出现在木马分发、infostealer（窃密木马）、流量分发与cloaking（隐身代理）服务、网络诈骗，以及后来被捣毁的俄罗斯暗网毒品市场BlackSprut上。

几个具体的交叉点：185.106.93.0/24先是Shelter/Galaxy的地盘，后来同时被Doppelganger、BlackSprut和StealC窃密木马使用；Lethost(AS216309)那台机器上跑过Doppelganger私有的Kehr cloaking代理，同一套代理还在推加密货币诈骗和交友诈骗，顺着追踪链接往上挖，最后接到了Infoblox早就标记过的VexTrio流量分发生态。

2025年4月，俄罗斯禁毒部门对Penzev、Gast、Lavrukhin、Orel、Bozoyan、Zubova等人采取羁押措施；2025年9月和2026年3月、7月、8月，莫斯科方面多次延长羁押，案件编号一路从3/2-0699/2025走到402k-1088/2026。与此同时，OFAC两轮制裁落地后的几周内，Smart Digital、Hypercore、Datavice三张新ASN立刻开始承接Aeza的地址；2026年2月，原本Hypercore名下的地址又开始迁往NetCrafters OÜ，Record Future后来给出中等偏高置信度判断：NetCrafters就是Aeza自己运营的新马甲。

Aeza、Doppelganger与犯罪基础设施的完整时间线(2021-2026)

一家主机公司改名只要几分钟。在英国、塞尔维亚、乌兹别克斯坦、爱沙尼亚注册一家新公司也只要几天。一个自治系统可以转让，可以改名，可以在RIPE数据库里换一个org-id。

但几百个network prefix的迁移记录、BGP宣告历史、LIR父子分配关系，这些东西叠在一起，就是一条删不掉的供应链指纹。

黑鸟认为，这次调查真正提的问题是：

当支撑黑产运营的技术资源可以换一家公司、换一个ASN、换一个法域继续在线时，针对法人实体的制裁到底还能起多大作用？而上游厂商那句“我们的客户不叫Aeza”，在法律字面和技术现实之间留出的那道缝，恐怕才是接下来整个互联网治理圈要补的东西。

往期：你刷到的一条广告，可能正在给手机装间谍软件