Güvenlik Araştırması · 6 Eylül 2026

Crusader Worker 1.0 Araştırması: 91 IP, 20 Google Cloud Bölgesi ve Dağıtık Bir İnternet Tarayıcısının İzleri

91 kaynak IP, 674 Fail2Ban eşleşmesi ve yüzlerce saldırı kaydı üzerinden Crusader'ın çalışma modelinin analizi.

Atıf uyarısı: Google LLC / Google Cloud ağ sahipliği, Crusader'ın Google tarafından işletildiği anlamına gelmez. Ağ sahibi ile gerçek operatör aynı şey değildir.

Özet

ProfesyonelWeb altyapısında crusader-worker/1.0 User-Agent'i kullanan dağıtık bir tarama kampanyası gözlemledik. 6 Eylül 2026 snapshot'ında özel pweb-crusader-worker-v1 jail'i 674 eşleşme ve 91 yasaklı kaynak IP gösteriyordu. İlk 90 IP'nin tamamı Google'ın resmi cloud.json müşteri-kaynak aralıklarıyla eşleşti ve 20 farklı Google Cloud scope/bölgesine dağıldı. 91'inci IP 34.34.191.23, aynı gün devam eden kampanyada yakalandı; WHOIS Google LLC'yi gösterdi. Bu 91'inci IP için region/scope bilgisini ayrıca doğrulanmış gibi sunmuyoruz.

Crusader Worker 1.0 nedir?

Mevcut kanıtlarla en doğru davranışsal tanım, dağıtık web exposure ve vulnerability discovery scanner. Operatörü veya resmi proje sahibi bilinmiyor. Bu nedenle Censys, Shodan, Google ya da başka bir kuruma atıf yapmıyoruz.

“Crusader Worker” adı nereden geliyor? Bu adı araştırmacılar olarak biz vermedik. Gözlenen HTTP istemcileri kendilerini literal olarak User-Agent: crusader-worker/1.0 değeriyle tanıtıyor. Bunun aracın gerçek ürün/proje adı mı, operatör tarafından seçilmiş bir worker etiketi mi, yoksa yalnızca bir tarama imzası mı olduğu mevcut kanıtlarla bilinmiyor.

İlk belirgin imza

En kolay korelasyon noktası User-Agent: crusader-worker/1.0. Buna aynı hassas path sözlüğü ve özel /crusader-404-probe yolu eşlik ediyor.

Birinci probe ailesi: Secret / Framework Exposure Discovery

Yerel ve bağımsız gözlemlerde şu yollar tekrarlandı: /.env, /env, /wp-config.php.bak, /wp-config.php.swp, /wp-config.php~, /storage/logs/laravel.log, /_ignition/health-check, /actuator/env ve /actuator/configprops. Bunlar bir web uygulamasında yanlışlıkla internete açık bırakılmış secret, backup veya framework tanılama yüzeylerini bulmaya yönelik tipik exposure kontrolleridir.

İkinci probe ailesi: Git Repository Exposure Discovery

Bağımsız kamu kayıtlarında /.git/config yalnız root altında değil; /api, /backend, /src, /app, /site, /wordpress, /htdocs, /var/www, /www, /public ve /html gibi çok sayıda olası deployment root altında aranıyor. Bu, ayrı bir Git exposure görev ailesini güçlü biçimde gösteriyor.

/crusader-404-probe ne olabilir?

Bu özel yol kampanyanın en ayırt edici davranışsal imzalarından biri. Bazı sistemlerde Ignition ve bu probe birbirine çok yakın body boylarıyla 200 dönerken, başka bağımsız loglarda açıkça 404 dönüyor. Bu nedenle yolun normal 404/soft-404 davranışını ölçen bir kontrol isteği olması güçlü bir hipotezdir; operatör dokümantasyonu olmadığı için kesin gerçek olarak sunmuyoruz.

Aynı saniyede burst scanning

Birçok worker aynı saniyede farklı hassas yolları denedi. Örneğin yerel kayıtlarda bazı IP'ler 9-12 farklı isteği aynı saniye içinde üretti. Bu insan eliyle yapılan manuel taramaya değil otomatik paralel/asenkron yürütmeye işaret eder. Merkezi controller, queue veya serverless scheduler kullanıldığı ise teknik çıkarımdır, kanıt değildir.

Google Cloud dağılımı — ilk 90 IP

İlk 90 IP için Google'ın resmi cloud prefix verisiyle yapılan eşlemede 90/90 sonuç alındı. 62 IP ABD scope'larında (%68,9), 28 IP ABD dışındaydı.

Google Cloud scopeIP sayısı
us-east121
us-central118
us-east411
us-west15
europe-west34
us-west34
europe-west43
us-west23
asia-northeast33
europe-west13
europe-southwest13
asia-southeast23
southamerica-east12
asia-south11
asia-southeast11
europe-west61
europe-north11
northamerica-northeast11
asia-east21
australia-southeast11

Network fingerprint bulguları

ELLIO üzerindeki iki bağımsız Crusader GCP IP gözleminde aynı User-Agent, örtüşen probe sözlüğü ve aynı TCP/MuonFP değeri 65320:2-4-8-1-3:1420:10 görüldü. 35.236.75.211 için ayrıca JA4 t13i1010h1_61a7ad8aa9b6_3a8073edd8ef raporlandı. Bu JA4 değerini tüm filoya genellemiyoruz; ikinci gözlemde kamuya açık JA4 kanıtı yok.

Kanıt / Çıkarım / Bilinmiyor

KANITLANDI

91 kaynak IP özel Crusader jail'inde; crusader-worker/1.0 imzası; tekrarlanan secret/framework probe'ları; ilk 90 IP resmi Google Cloud aralıklarıyla eşleşti.

GÜÇLÜ DAVRANIŞSAL BULGU

Aynı saniye burst'leri, IP'ler arasında tekrarlanan görev dizileri ve özel 404 probe'u koordineli otomasyonla uyumlu.

BİLİNMİYOR

Gerçek operatör kimliği, resmi proje sahibi, controller mimarisi ve tüm worker'ların aynı TLS fingerprint'ini kullanıp kullanmadığı.

ProfesyonelWeb First-Party IOC Dataset — 6 Eylül 2026

Aşağıdaki 91 IP, ProfesyonelWeb altyapısında pweb-crusader-worker-v1 tarafından bu kampanya kapsamında yakalanan kaynak adreslerdir. Bunlar kişi/şirket kimliği değil, gözlenen ağ IOC'leridir.

IOC yaşam döngüsü uyarısı: Bu IP adresleri 6 Eylül 2026 araştırma snapshot'ında crusader-worker/1.0 ile ilişkilendirilmiş gözlemsel IOC'lerdir. Bulut altyapılarındaki IP adresleri zaman içinde yeniden tahsis edilebilir; dolayısıyla bu liste kalıcı veya süresiz bir engelleme listesi olarak kullanılmamalıdır. Gelecekteki engelleme kararları güncel User-Agent, istek davranışı, hedeflenen yollar, zaman korelasyonu ve diğer telemetriyle yeniden doğrulanmalıdır.
Kaynak IPİmzaKaynak
34.73.126.230crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.159.204.144crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.26.203.248crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
35.188.94.210crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.85.179.64crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.59.21.111crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
104.198.56.247crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.24.59.51crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
35.188.7.174crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.171.230.203crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.70.161.3crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.63.245.57crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
35.237.69.213crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
35.185.73.65crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
35.245.146.204crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
8.34.219.127crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.12.8.212crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
136.114.140.138crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.138.81.27crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.42.49.156crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.24.165.179crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.20.225.161crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.47.99.51crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.182.153.4crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
136.70.92.192crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
136.70.64.27crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.148.223.6crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.20.168.239crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
8.231.78.19crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.23.241.158crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
8.234.239.54crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.48.118.123crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
35.243.136.237crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.86.81.18crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.138.148.25crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.79.114.166crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
8.228.241.247crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
35.230.115.27crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
136.85.72.46crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.65.122.177crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
35.196.69.53crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.88.75.40crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.44.113.134crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.106.72.61crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
35.229.18.104crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.185.231.221crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.75.27.14crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.26.183.3crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.41.241.201crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
136.118.193.212crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
104.196.1.67crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
35.234.122.138crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.74.13.50crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.118.173.99crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.175.253.53crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.52.218.172crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.175.91.18crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.44.189.55crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
35.203.143.148crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.90.212.195crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
35.220.159.6crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.39.214.130crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.32.163.117crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.171.193.51crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.106.38.212crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
35.188.33.158crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.50.105.82crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.55.254.111crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.186.144.127crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.175.183.75crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.148.10.27crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.101.232.28crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
8.234.161.192crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
104.196.17.155crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
35.244.69.211crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.64.99.234crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
35.255.237.118crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.106.91.172crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.14.111.10crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.185.239.175crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.47.82.185crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.128.82.22crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.95.228.141crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.11.183.85crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.74.93.223crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
35.190.179.122crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.45.252.177crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.48.88.185crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.145.72.43crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.21.67.240crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi
34.34.191.23crusader-worker/1.0ProfesyonelWeb birinci taraf telemetrisi

Savunma

En önemli savunma scanner'ı yalnız engellemek değil, scanner başarılı olsa bile çalabileceği secret bırakmamaktır. .env, backup config dosyaları, repository metadata, framework debug ve actuator uçları web root'ta erişilebilir olmamalıdır. Fail2Ban, Nginx deny ve WAF ikincil savunma katmanlarıdır. Cloudflare arkasında yalnız origin iptables filtresi yeterli olmayabilir; gerçek istemci IP'sini bilen Nginx/WAF katmanı gerekir.

Bağımsız kamu gözlemleri

Sonuç

Crusader Worker 1.0'ın davranışı standartlaştırılmış, otomatik ve dağıtık exposure/vulnerability discovery taramasıyla uyumlu. Kampanyanın operatörünü bilmiyoruz. Araştırma yeni IP'ler, yeni probe aileleri, yeni fingerprint'ler veya güvenilir atıf kanıtı çıktıkça güncellenecektir.

Araştırma notu: IP sayısı VM sayısı değildir. Google Cloud adres alanı Google'ın Crusader'ı işlettiğini göstermez. HTTP 200 tek başına hassas kaynağın gerçekten açık olduğunu kanıtlamaz; soft-404 ve fallback routing dikkate alınmalıdır.