Inside Cairn: Open Vensters naar Massale AI-Aangedreven Cyberoperaties
01 Samenvatting (TL;DR)
Een onderzoek door NorForge naar publiekelijk blootgestelde, AI-aangedreven controlepanelen voor penetratietesten heeft onthuld hoe deze uitgebreid worden gebruikt in kwaadaardige cyberoperaties. Een van deze systemen is Cairn.
In deze context is Cairn een AI-gestuurd hackingsysteem. Wanneer men een doelwit en een doelwitdoel invoert, kan het AI-agenten coördineren om het doelwit te onderzoeken, te zoeken naar beveiligingslekken en te proberen in te breken.
Er zijn meer dan 20 blootgestelde Cairn-panels geïdentificeerd die waarschijnlijk geassocieerd zijn met kwaadaardige activiteiten. Deze bieden een uitzonderlijk gedetailleerd inzicht in hoe dreigingsactoren doelen selecteren, autonome agenten aansturen, kwetsbaarheden exploiteren en persistente toegang tot gecompromitteerde systemen vestigen.
Daarnaast zijn er een aanzienlijk aantal schijnbaar legitieme red team-operaties op deze manier blootgesteld, wat klanten mogelijk in gevaar brengt.
02 De Opening
In september 2026 rapporteerde Gambit Security over een criminele intrusiecampagne gericht op online marktplaatsen. Zij herstelden een staging-server van een aanvaller en vonden het gebruik van AI-harnesses, zoals Hermes, Strix en Cairn. Dergelijke tools hebben vaak webgebaseerde gebruikersinterfaces die onbeveiligd op het open internet worden achtergelaten.
Inderdaad: snelle zoekopdrachten via de zoekmachines Shodan en Censys onthullen hosts die draaien op wat lijkt op AI-harnesses van verschillende soorten. De meeste hiervan vereisen autorisatie voor toegang. De meeste, maar niet alle.
Er zijn namelijk een flink aantal van deze interfaces open gelaten door hun operators. En blijkbaar is Cairn een van de meest verwaarloosde platforms.
Ons onderzoek bracht aanvankelijk een handvol open Cairn-panels aan het licht. Voortgezette scans onthulden nieuwe panels die kort daarna online kwamen; informatie over targeting, taal en instructies toonden aan dat velen van hen toebehoorden aan dezelfde dreigingsactoren.
In dit artikel zullen we enkele van deze panels in detail bespreken. Vanwege de aard van deze panels onthullen ze echter veel gevoelige informatie over de doelwitten, waaronder wie ze zijn, welke zwakheden zijn ontdekt, accountgeheimen en API-sleutels, en of ze zijn gecompromitteerd of niet. Dit betekent dat we geëxtraheerde data agressief moeten anonimiseren en de panel-adressen niet zullen onthullen totdat ze offline kunnen worden gehaald.
03 De Machine
Sommigen beschrijven Cairn als een autonome motor voor penetratietesten. Dit is niet geheel accuraat; het kan weliswaar op die manier worden gebruikt, maar de use case is generieker: het is een state-based probleemoplossende motor die stap voor stap beweegt in de algemene richting van een gedefinieerde oplossing.
In ons geval wordt het echter wel gebruikt voor penetratietesten.
In Cairn wordt elke afzonderlijke taak beschouwd als een project. Elk project heeft een startpunt, genaamd de origin, en een vooraf gedefinieerd einddoel. Het agent-framework vordert vervolgens vanuit de origin naar het doel in een state-based organische groei.
Tussen start en eind bevinden zich cycli van intents (intenties) en facts (feiten). Een feit is iets dat de agent heeft ontdekt, en een intentie is wat de agent heeft besloten als volgende stap te doen. De agent plaatst elk feit op een project-intern blackboard. Een menselijke operator kan ook eigen hints toevoegen aan hetzelfde blackboard. Feiten en hints zijn op deze manier gegevens die beschikbaar zijn voor elke agent-worker op het pad naar de gedefinieerde oplossing. Dit kan grafisch worden gevisualiseerd, wat Cairn ook doet.
04 De Actoren
Cairn-panels zijn reguliere web-frontends en kunnen gemakkelijk worden geprofileerd met behulp van commerciële internet-scanplatforms. Over een periode van enkele dagen vonden we talloze panels. Sommige waren leeg, sommige waren beveiligd tegen ongeautoriseerde toegang, en sommige leken legitieme demo's of geldige pentesting-bedrijven te zijn. We zullen hier geen legitieme red teams aan de schandpaal nagelen, maar het is duidelijk dat het plaatsen van echte klant-penetratietests op een onbeveiligd panel zeer problematisch is.
Zelfs na het filteren hiervan werden meer dan 20 panels geïdentificeerd als waarschijnlijk kwaadaardig. Voor zover we konden zien, leken ze allemaal financieel gemotiveerd te zijn; er was geen duidelijke staatgesponsorde intrusie-activiteit. Dat wil niet zeggen dat dit niet gebeurt, maar men gaat ervan uit dat dit type actor weet hoe hij dashboards moet beveiligen.
Veel van de geobserveerde activiteit leek samen te komen rond een handvol clusters, waarbij de blootgestelde panels informatie bevatten die hen aan elkaar banden. We duiden elk activiteitscluster aan met een serienummer beginnend met het prefix "AIA", wat staat voor "AI Activity".
Cluster AIA0001
- Taal: Chinees
- Panels: 14
- Hosting: AS56594
- Betrouwbaarheid: Hoog
Dit activiteitscluster gebruikt de Chinese taal en is veruit de meest actieve van de actoren die hun panels blootstellen. De operatie is massaal, met meer dan 1100 aanvalsprojecten verspreid over de 14 dashboards die waarschijnlijk bij deze groep horen.
AIA0001 richt zich op een breed scala aan organisaties, voornamelijk in de VS, Japan en Australië. Het doel lijkt te zijn om persistente toegang te krijgen tot e-commerce- en betalingsinfrastructuren voor latere monetisatie. Deze groep geeft momenteel de voorkeur aan hosting via AS56594, Cgi Global Limited.
Deze actor lijkt uitgebreide automatisering te gebruiken in zijn task-feeding pipeline. Een typische taak ziet er als volgt uit:
Vertaling:
Dit zijn bevestigde echte shopping/e-commerce websites in vier landen (VS/CA/JP/AU), met verkeer van 200.000–1,5 miljoen. Playwright heeft geverifieerd dat er bestellingen kunnen worden geplaatst.
Doel: Vind ongeauthenticeerde RCE (Remote Code Execution / code-injectie / deserialisatie / file-upload webshell / SQL-injectie leidend tot RCE / SSTI / SSRF leidend tot RCE).
Prioriteiten: Login SQL-injectie, ongeauthenticeerde endpoints, bestandsuploads, deserialisatie, omzeiling van authenticatie, accountovername.
Payload: Uploader shell (HTML upload-formulier + moveuploadedfile om bestanden op te slaan), expliciet geen command-executing webshell.
De feeding-pipeline bevat geautomatiseerde validatie van doelwitsites. Ze worden niet alleen gerangschikt op verkeer, maar zijn ook getest met Playwright, het browser-automatiseringsframework van Microsoft, voordat ze naar Cairn worden gestuurd voor exploitatie.
Er zijn ook andere hints naar automatisering, waarvan sommige vrij slordig zijn. Zo is bij veel doelwitsites over meerdere panels de beginletter "w" verwijderd. 'Wholesale' wordt 'holesale' en "winter" wordt "inter". Dit suggereert dat er een gemeenschappelijke, foutieve domein-normalizer is die een "w" te veel verwijdert van de www. Dit maakt het spotten van gerelateerde panels zeer eenvoudig.
Af en toe openen deze aanvallers een webserver op een hoge poort voor out-of-band testen. In deze kortstondige tijdvensters is de werkmap van een van deze AI-workers beschikbaar voor browsen. Dit gebeurde minstens één keer bij een van de AIA0001-hosts, wat ons de kans gaf om dichter bij de tooling van de agent te kijken.
In dit specifieke geval vonden we het volgende:
Tools gevonden in agent worker folder
| Software / package / tool | Use case |
|---|---|
| Playwright | Browser-automatisering en webtesten; de profielmappen bevatten Chromium-browserstatus in plaats van bronpakketten. |
| Chromium | Browserengine gebruikt door Playwright en gerelateerde browser-automatisering. |
| PHPGGC (PHP Generic Gadget Chains) | Genereert PHP unserialize() gadget-chain payloads voor geautoriseerde validatie van kwetsbaarheden en exploit-onderzoek. |
| StyleSmuggler HTTP PoC | Onderzoek naar proof-of-concept voor de StyleSmuggler / CVE-2026-75650 Magento report-poisoning-to-code-execution chain. |
| Magento Open Source 2.4.9 validation lab | Docker-gebaseerd, revision-pinned kwetsbaar/gepatcht Magento-lab voor veilige validatie van CVE-2026-75650 / VULN-39341. |
| MarkShust PolyShellPatch | Verouderde Magento-module bedoeld om het uploaden van uitvoerbare bestanden via cart custom-option uploads te blokkeren. |
| Docker | Container build/runtime tooling gebruikt voor geïsoleerde validatieomgevingen. |
| PHP | Runtime en scripttaal voor PHP-payloadgeneratie en het testen van PHP-webapplicaties. |
| Composer | PHP dependency/package manager; het manifest identificeert het Magento PolyShellPatch-pakket. |
| Python 3 | Belangrijkste scripttaal voor reconnaissance, HTTP-testen, parsers, proof-of-concept code en automatisering. |
| Node.js | JavaScript runtime/tooling gebruikt door web-probes, browser-automatiseringsondersteuning en doelwitspecifieke scripts. |
| Vosk | Offline spraakherkennings-toolkit/model. |
| OpenSSL | TLS/cryptografische command-line en configuratietooling. |
| Xvfb | X virtual framebuffer voor het draaien van GUI/browserapplicaties zonder fysiek display. |
| tmux | Terminal multiplexer/runtime state, typisch gebruikt om langlopende sessies en listeners actief te houden. |
| OWASP Amass | Ontdekking van extern attack-surface en subdomain enumeratie. |
| dnsrecon | DNS enumeratie en reconnaissance. |
| ffuf | Snelle web-fuzzer voor directory-, parameter-, virtual-host- en content-ontdekking. |
| Nmap | Netwerk/poort/servicesscan. |
| rockyou wordlist | Grote wachtwoordenlijst gemeengoed voor geautoriseerde wachtwoord-audits en credential-testing workflows. |
| Odoo framework artifacts | Geëxtraheerde Odoo server/module bronnen of probes gebruikt om Odoo web, ORM, QWeb en action execution gedrag te begrijpen. |
| Diverse custom utilities | Projectspecifieke proxying, payload-validatie, traffic capture, patching en proof-of-concept utilities. |
Nog belangrijker is dat een van de agent-task updates deze tekst bevatte:
Agent task update:
De lokale omgeving is een Kali-container, behorend tot het tsec CTF/intelligent penetration test competition framework (er is een beschrijving van de flag-submission interface in/home/kali/workspace/.claude/skills/tsec-actions/SKILL.md, waarbij het flag-formaatflag{...}is), maar de omgevingsvariabeleTSECSERVERHOSTis leeg enTSECAGENTTOKENis niet daadwerkelijk geïnjecteerd, dus de competition submission interface kan niet worden benaderd.
Dit lijkt erop te wijzen dat de agent-setup is hergebruikt van een eerdere Tencent CTF challenge-configuratie. Dit zijn vrijwel zeker criminelen die bestaande tools hergebruiken; er is geen reden om aan te nemen dat Tencent iets met deze operatie te maken heeft.
Voor zover we hebben gezien, werden alle taken uitgevoerd door een worker genaamd claudecode_deepseek-v4.1-flash, wat zou kunnen betekenen dat er een Claude Code harness wordt gebruikt met het Chinese DeepSeek 4.1 Flash-model dat in september is uitgebracht.
We hebben geen exacte cijfers over token-gebruik, maar op basis van de onderliggende data is een schatting mogelijk. DeepSeek 4.1 Flash is een goedkoop model, maar de kosten variëren tussen piek- en daluren, en afhankelijk van of tokens gecached zijn. We schatten de gemiddelde kosten van een taak op ongeveer $5, inclusief onsuccesvolle projecten die vroegtijdig stopten. Langer lopende projecten kunnen duurder uitvallen; er zijn projecten met meer dan 1000 intents en facts, die meer dan $100 kunnen kosten. De onzekerheid hier is echter aanzienlijk. Desondanks is er geen twijfel dat dit relatief goedkoop is.
Cluster AIA0002
- Taal: Engels
- Panels: 10
- Hosting: AS20473
- Betrouwbaarheid: Hoog
Dit cluster gebruikt de Engelse taal en is gericht op financiële diefstal. We vonden 10 panels die waarschijnlijk bij deze groep horen, hoewel sommige minder zeker gekoppeld zijn. Velen hiervan zijn sinds het begin van dit onderzoek offline gegaan.
Ze spreken vaak direct over het stelen van creditcards en cryptocurrencies, en het uploaden van gestolen data naar aparte hosts onder hun controle. Ze stellen — ongelooflijk genoeg! — de SSH-login naar backend staging-hosts openbaar in hun taken. (Nee, we zijn niet ingelogd op hun servers, hoewel we wel sterk in temptation waren). Het is interessant om te zien dat veel projecten geen technische startinstructies lijken te hebben, verder dan "haal creditcards op" of "haal crypto op". De agenten gaan vanaf daar zelf verder.
Deze groep geeft de voorkeur aan hosting via AS20473, The Constant Company (in de meeste gevallen betekent dit VULTR VPS-instanties). We schatten dit cluster met hoge betrouwbaarheid als kwaadaardig in.
De doelwitten in deze panels zijn voornamelijk gericht op merchant payment services, payment sites in de grijze markt en farmaceutische sites; zelfs een overduidelijk criminele carding-site. Er zijn aanwijzingen dat ze enkele hiervan succesvol hebben binnengedrongen. Van de doelwitten die niet in deze categorieën passen, zijn er verschillende Afrikaanse commerciële sites, wat suggereert dat deze actor een basis op dat continent heeft.
De projecten van deze actor geven aan dat ze workers gebruiken genaamd piopenrouterdeepseek, wat wijst op een configuratie waarbij het Pi coding-agent framework DeepSeek-taalmodellen gebruikt via OpenRouter, een third-party AI-model API gateway.
Cluster AIA0003
- Taal: Engels
- Panels: 1
- Hosting: AS200019
- Betrouwbaarheid: Laag
Deze entiteit stelt slechts één panel openbaar, met 59 vermelde projecten. De doelwitten zijn een mix van kleinere e-commerce sites en zeer grote commerciële platforms in de VS. De gebruikte taal is uitsluitend Engels. Het panel is gehost op AS200019, AlexHost.
De projecten op dit panel beginnen met de claim dat het gaat om geautoriseerde assessments van diverse sites, maar worden geleidelijk explicieter over het exploiteren van de doelwitten, inclusief het verkrijgen van shell-toegang, toegang tot het admin-paneel of database-toegang. Deze actor lijkt zich meer in de verkennende fase te bevinden. We schatten deze actor met een lage betrouwbaarheid als kwaadaardig in.
05 De Exploitatie
Of een taak succesvol zijn doel heeft bereikt, en of dit een echt beveiligingsprobleem vormt, hangt sterk af van hoe agressief het doel is. In sommige gevallen stoppen taken zodra is vastgesteld of er een kwetsbaarheid is. De dreigingsactoren in dit artikel gaan echter doorgaans verder.
Eerder publiceerden we een van de taken die door AIA0001 werden gebruikt. Die taak eiste expliciet dat er een webshell werd geïnstalleerd om het doel te bereiken. Om dit te testen, controleerden we of een van de geclaimde intrusies werkelijk had plaatsgevonden door de shell-URL op te vragen die werd genoemd in een voltooid project tegen een grote leverancier van hardwareonderdelen. De URL serveerde inderdaad een uploader webshell. Aanvallers kunnen dit op elk moment veranderen in iets kwaadaardigers.
Deze specifieke intrusie werd — volgens de uitleg van de agent zelf — mogelijk gemaakt door ongeautoriseerde schrijftoegang tot een memcached session store, gecombineerd met onveilige PHP-object deserialisatie en een exploiteerbare gadget chain in verouderde Zend Framework-componenten. Alle exploitatiepaden zijn echter verschillend, en de payload kan er ook anders uitzien.
AIA0001 lijkt zich uitsluitend te richten op toegang, om er zeker van te zijn dat ze op een later moment meer kunnen doen. Andere actoren hebben andere doelen, maar deze dreigingsactor lijkt veruit de meest bekwame en effectieve te zijn in het bereiken van hun doel. De AIA0002 actor gebruikt Cairn op een meer generieke manier; niet alleen om binnen te dringen, maar ook als algemene service-engine, bijvoorbeeld om fondsen tussen cryptowallets te verplaatsen.
Task types
| Activiteit | Typische taakdoelen (letterlijke citaten vertaald) |
|---|---|
| AIA0001 | Dit zijn bevestigde echte shopping/e-commerce sites in vier landen (US/CA/JP/AU) (verkeer 200k-1.5M). Doel: vind ongeauthenticeerde RCE (command execution/code injection/deserialization/file-upload webshell/SQLi → RCE/SSTI/SSRF → RCE). Prioriteit: Login SQLi, ongeauthenticeerde endpoints, file uploads, deserialisatie, auth-bypass, account takeover. Gebruik uploader shell (HTML upload form + moveuploadedfile), absoluut geen command-executing webshell. Doel bereikt wanneer whoami/id output command execution bevestigt. |
| AIA0002 | upload web shell in hidden directory deep inside not on home directory and name it something normal like confirm.php etc and give me link |
| AIA0003 | Verkrijg shell-toegang, toegang tot het admin-paneel of database-toegang op [GEANONYMISEERD]. Probeer alle aanvalsvectoren: SQLi, file upload, authentication bypass, RCE, deserialization, SSTI, SSRF, business logic flaws. Bouw dynamische aanvalsketens. |
06 De Succespercentages
De verschillende activiteitsclusters hebben een verschillende focus, richten zich op verschillende doelen, en wat als succes wordt beschouwd varieert. Ze zijn niet direct vergelijkbaar. Maar het is een redelijke aanname dat voor de harnesses die we in deze campagnes hebben gezien, het gemiddelde succespercentage rond de 10% ligt, waarbij veel van de resterende taken gedeeltelijke doelen bereiken of informatie verzamelen die in latere pogingen kan worden gebruikt.
- Gemiddeld succespercentage: ~10%
- Tijd van start naar doel (AIA0001): < 23 uur
- Feiten per project: 140
Als we ons concentreren op de taken die hun doel wél bereikten, vooral in het AIA0001-cluster, zien we dat de gemiddelde tijd van projectstart tot het behalen van het doel iets minder dan 23 uur was, waarbij gemiddeld 140 feiten per project werden gegenereerd. Er is echter een grote spreiding; één project draaide meer dan vijf dagen. Het is belangrijk om op te merken dat dit een momentopname is; modellen en harnesses evolueren zeer snel.
07 De Blootstelling
Deze panels onthullen niet alleen dat een site wordt getest op zwakheden en wat de conclusies van die tests zijn. Ze detailleren alles wat de agent in het proces heeft ontdekt, en alsof dat niet genoeg was, bevatten ze menselijke input inclusief inloggegevens die elders zijn geoogst.
Met andere woorden: het feit dat je site wordt getest op een open Cairn-instantie is vaak een ernstig beveiligingsprobleem, ongeacht de uitkomst van de test. We hebben de secrets scanner Trufflehog over de data van deze Cairn-instanties gedraaid. Het resultaat was zorgwekkend: letterlijk honderden geheimen van verschillende soorten, van relatief triviaal tot extreem ernstig, waarvan 11% door Trufflehog als geldig werd geverifieerd.
Het wordt erger: deze panels lijken volledig onbeschermd, waardoor de volledige administratieve functionaliteit van de harness bloot komt te liggen. Dit omvat controls voor het starten en stoppen van projecten, het interfereren met lopende operaties, het invoegen van nieuwe data, het omleiden van agenten naar andere doelen en het herstarten van oude projecten.
We hebben niet getest of deze controls daadwerkelijk werken zonder autorisatie, om redenen die vrij duidelijk zouden moeten zijn. Maar overweeg de implicaties: dit zijn autonome offensieve agenten met aanzienlijke capaciteiten, potentieel beschikbaar voor iedereen die op hun controlepanelen stuit. Tokens zouden kunnen verdampen als droogijs op een hete plaat. Wat deze agenten ook overtuigd zouden kunnen worden te doen, het zou hun eigenaren doen huilen. Kortom: ongeacht de offensieve expertise die deze operators bezitten, het beveiligen van hun eigen infrastructuur lijkt niet tot hun sterke punten te behoren.
08 Conclusie
Het is duidelijk dat AI-gestuurde frameworks worden gebruikt om kwaadaardige acties uit te voeren. Dat was al vastgesteld vóór dit onderzoek. Echter, dit onderzoek heeft iets anders aangetoond: de aanvallers zijn zelf ook niet goed voorbereid op deze technologie. In de haast om snelle resultaten te boeken, zijn velen basisbeveiligingsmaatregelen vergeten, waardoor ze hun eigen operationele beveiliging (OPSEC) in gevaar brengen en hun doelwitten onbedoeld blootstellen aan een veel groter aanvalsoppervlak dan bedoeld was. Dit is ook een probleem gebleken voor legitieme red teams; het verzamelen van geheimen van je klant om ze vervolgens op het internet te publiceren is een nachtmer scenario.
Maar het biedt een interessant venster in de methodologie en hoe autonome en semi-autonome agenten echte intrusietaken oplossen. Dit zou en moet onze verdediging in de toekomst informeren.
We werken samen met Reuters om slachtoffers te informeren, in het bijzonder hen die gecompromitteerd lijken te zijn. We proberen ook de betreffende Cairn-panels offline te krijgen. Dit is niet gegarandeerd; het hangt sterk af van hoe de hosters reageren op takedown-verzoeken.
A Casestudies
- Case 1: Australische e-commerce site. De Cairn backend gaf aan dat het doel was bereikt en inderdaad was er een shell die command execution mogelijk maakte op de webserver.
- Case 2: Restaurant POS compromis. Compromis van een Point-of-Sale systeem in een restaurant.
- Case 3: Webapplicatie-intrusie bij Amerikaanse retailer. Inbraak in de webapplicatie van een Amerikaanse retailer.
- Case 4: Andere Amerikaanse retailer. Deze keer via onveilige foutafhandeling (error handling).
- Case 5: Japanse retailer. Inbraak bij een Japanse retailer.
- Case 6: Zeer grote Amerikaanse retailer. Deze compromis-keten is door ons gevalideerd. De agent slaagde erin de enige cookie-instelling te vinden die de kwetsbare backend-server selecteerde.
B Indicatoren van Compromis (IOC's)
We kunnen geen ongeanonimiseerde data verstrekken over waar deze panels zich bevinden, aangezien velen nog live zijn en gevoelige data bevatten. Geverifieerde beveiligingsonderzoekers kunnen contact opnemen voor de volledige lijst.
Panels en staging servers
| IOC | Notities |
|---|---|
| 199.247.25.25 | AIA0002 staging server |
| 199.247.27.2 | AIA0002 staging server |
| 46.8.xxx.xx9:8000 | AIA0001 panel |
| 95.182.xxx.x42:8000 | AIA0001 panel |
| 31.56.xxx.xx7:8000 | AIA0001 panel |
| 31.57.xxx.xx9:8000 | AIA0001 panel |
| 46.8.xxx.xx3:8000 | AIA0001 panel |
| 94.183.xxx.xx3:8000 | AIA0001 panel |
| 94.183.xxx.x34:8000 | AIA0001 panel |
| 31.59.xxx.xx5:8000 | AIA0001 panel |
| 95.182.xxx.x12:8000 | AIA0001 panel |
| 31.59.xxx.xx7:8000 | AIA0001 panel |
| 94.183.xxx.x54:8000 | AIA0001 panel |
| 95.182.xxx.xx5:8000 | AIA0001 panel |
| 94.183.xxx.xx8:8000 | AIA0001 panel |
| 31.59.xxx.xx3:8000 | AIA0001 panel |
| 108.61.xxx.xx6:8000 | AIA0002 panel |
| 66.42.xxx.xx9:8000 | AIA0002 panel |
| 95.179.xxx.xx3:8000 | AIA0002 panel |
| 45.63.xxx.xx7:8000 | AIA0002 panel |
| 136.244.xxx.xx6:8000 | AIA0002 panel and staging |
| 45.76.xxx.xx0:8000 | AIA0002 panel |
| 209.250.xxx.xx8:8000 | AIA0002 panel |
| 95.85.xxx.xx9:8000 | AIA0002 panel and staging |
| 136.244.xxx.x86:8000 | AIA0002 panel |
| 64.176.xxx.xx3:8000 | AIA0002 panel |
| 143.246.xxx.xx1:8000 | AIA0003 panel |
Groetjes,