Stretchoid — einen anonymen Azure-Scanner ohne offizielle Liste verifizierbar machen
von Shopbetreibern für Shopbetreiber.
Wie der PARC-Feed für Stretchoid entstand: ein undurchsichtiger Recon-Scanner ohne offizielle Liste, auf rotierenden Azure-IPs. Die aktiven IPs leiten wir aus zwei Quellen ab (CINS-Blacklist + OTX) und verifizieren sie per FCrDNS gegen *.stretchoid.com — 1.909 bestätigte IPs.
Stretchoid ist ein internet-weiter Recon-/Port-Scanner mit anonymem Betreiber. Kein SEO-Tool. Es gibt keine offizielle IP-Liste und keine eigene Range — die Scanner laufen auf rotierenden Microsoft-Azure-IPs (AS8075). Trotzdem fassbar, weil Stretchoid einen selbstidentifizierenden Reverse-DNS *.stretchoid.com setzt, der FCrDNS-verifizierbar ist. Die aktiven IPs leiten wir aus zwei Quellen ab und bestätigen jede einzeln: 1.909 verifizierte IPs. Teil unseres PARC-Security-Feeds.
stretchoid.json — Feed ansehen stretchoid.com (Opt-out-Falle — bewusst nicht verlinkt)
Woher die IPs kommen — zwei Quellen, ein Filter
Stretchoid publiziert nichts. Es gibt keine offizielle Range-Liste und kein eigenes ASN — die Scanner laufen auf gemieteten Azure-IPs, die rotieren. Ein klassischer Range-Block wie bei Censys oder ONYPHE ist damit unmöglich. Wir nutzen stattdessen zwei Beobachtungs-Quellen und denselben Filter:
- CINS Army List (
ci-badguys, ~15.000 IPs, führen wir ohnehin im Katalog): jede IP per Reverse-DNS auflösen, auf PTR *.stretchoid.com filtern → 1.782 Treffer, alle FCrDNS-bestätigt. - OTX (AlienVault) Passive-Records: 2.399 historische *.stretchoid.com-Hostnamen, jeden vorwärts auflösen.
Beide münden in denselben Test: löst der Name auf eine echte Azure-IP auf → Kandidat; alles andere fliegt raus.
Das 127.0.0.1-Signal: retired
Beim Auflösen der 2.399 OTX-Namen zeigen zwei Drittel ins Leere — aber nicht zufällig:
2.399 OTX-Hostnamen:
1.176 → echte Azure-IP (live)
697 → 127.0.0.1 (retired)
526 → NXDOMAIN (tot)
127.0.0.1 ist kein Artefakt, sondern Stretchoids eigener Record: abgelaufene Scanner-Namen werden bewusst auf localhost null-geroutet. Belegt über vier unabhängige Resolver und den autoritativen Nameserver (Stretchoid fährt sein DNS auf Azure DNS):
azpdws76.stretchoid.com (retired):
1.1.1.1 / 8.8.8.8 / 9.9.9.9 / OpenDNS → 127.0.0.1
autoritativ ns1-37.azure-dns.com → 127.0.0.1
Damit ist 127.0.0.1 ein sauberes Negativ-Kriterium — solche Namen kommen nicht in den Feed.
FCrDNS-Verifikation — 1.909 bestätigt
Ein PTR allein beweist nichts — einen Reverse-Eintrag auf stretchoid.com kann jeder setzen. Deshalb prüfen wir bidirektional (FCrDNS): der Hostname muss vorwärts wieder auf dieselbe IP zeigen.
128.203.200.175 → azpdcgu5b3zl.stretchoid.com → 128.203.200.175 ✓
- CINS: 1.782 von 1.782 bestätigt (100 %).
- OTX-Delta: 138 neue Kandidaten (nicht in CINS) → 127 FCrDNS-bestätigt, 11 verworfen (kein Reverse-Record — darunter korrekt
172.183.248.136, die Website selbst). - Summe: 1.909 FCrDNS-verifizierte IPs.
Reverse-DNS-Muster
<zufallsstring>.stretchoid.com (z. B. azpdcgu5b3zl, azpdcsqscjc2, azpdcgme7i2s)
Kein offizieller Block — verteilt über halb Azure
Die IPs streuen über zahlreiche Microsoft-Azure-Prefixe (20.64.0.0/10, 20.160.0.0/12, 135.236.0.0/15, 40.124.0.0/16, 13.64.0.0/11 …) — geteilt mit Millionen anderer Azure-Mieter. Ein Whitelisting per Subnetz ist ausgeschlossen; das einzige verlässliche Merkmal ist der FCrDNS-bestätigte Hostname.
Der Opt-out ist eine Falle
Das Formular auf stretchoid.com gibt sich als Opt-out — gilt in der Security-Community aber als unzuverlässig bis irreführend: Die Scans laufen danach weiter, das Formular sammelt lediglich Name, E-Mail und den angegebenen CIDR-Block. Wer dahinter steht, ist nicht ausgewiesen. Analysen (Hacker Factor, SANS ISC) ordnen die Scans gezielt dem Aufspüren verwundbarer Admin-Interfaces zu — Recon mit Angriffscharakter, kein harmloser Service-Index.
Warum der Feed rollierend ist
Azure-IPs rotieren. Der PARC-Feed ist daher ein rollierend FCrDNS-verifizierter Snapshot der aktuell beobachteten Stretchoid-IPs — kein statischer Bereich. Quellen: CINS-Blacklist, OTX und unsere eigenen Server-Logs, jeweils gegen *.stretchoid.com gefiltert und bestätigt.