A Daily Field Report on Things That Are Probably Fine
No. 22·Lunes 19 Octubre 2026·Publicado a las 06:00 UK·Indicador Fine 3/5: No especialmente bien
Apertura · Cadena de suministro
Una credencial, 173 inquilinos: ConnectWise desconecta Cloud Backup
ConnectWise ha cortado el acceso de los clientes a su servicio Cloud Backup, antes SkyKick, y ha deshabilitado siete identidades de aplicación después de que una credencial comprometida de Microsoft 365 se utilizara para iniciar sesión en 173 inquilinos de clientes.
confianza0.85
Esta no es la historia de 173 brechas. Es la historia de una sola relación de confianza, repetida 173 veces, a velocidad de máquina, por alguien que no tuvo que forzar nada tras la primera puerta. Los investigadores describen una campaña activa que abusa de una credencial comprometida de M365 perteneciente a ConnectWise Cloud Backup para acceder a los entornos de los clientes; ConnectWise indicó el sábado que había deshabilitado siete identidades de aplicación de ConnectWise mientras investiga, y que ha cortado por completo el acceso de los clientes al servicio.
Tres fuentes independientes lo recogieron en menos de nueve horas, lo que indica que los hechos son sólidos, pero no dice nada sobre si su inquilino era uno de los 173. La posición honesta para la mayoría de los defensores esta mañana es que no lo saben, y la única manera de averiguarlo es revisar los registros de inicio de sesión de las entidades de servicio en lugar de los de las personas, que es la parte de Entra a la que nadie ha dedicado nunca tiempo para aprender.
El nuevo enfoque que conviene llevar a su reunión de equipo: el producto de copia de seguridad no es un producto de copia de seguridad, sino un administrador permanente, privilegiado e invisible en cada sede de cliente, adquirido a partir de una ficha técnica que usaba la palabra «transparente». «Transparente» es correcto. Eso es exactamente lo que ocurrió. No había costuras.
Por qué importaSi utiliza ConnectWise Cloud Backup o SkyKick, trate la entidad de servicio como comprometida y revise los registros de inicio de sesión de M365 y de auditoría de buzones en busca de actividad de aplicaciones no interactiva, no de inicios de sesión de usuarios.
Una credencial que funciona en 173 organizaciones no es una credencial. Es un sistema meteorológico, y el tiempo no se parchea.
— Sturgeon's Revelations · Probably Fine Daily No. 22
Cada mañana06:00 UK
Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.
Un correo al día. El periódico completo. Cancela la suscripción con un clic.
§2
Principales noticias
El resto de las últimas 24 horas, con fuentes.
Vulnerabilidades
El cortafuegos de aplicaciones web es ahora la cabeza de puente
Los atacantes están explotando activamente un fallo de inyección de comandos del sistema operativo en SiteGuard Server Edition que les permite ejecutar comandos como root o SYSTEM en los servidores afectados, es decir, todo el sistema operativo, entregado por el producto comprado para impedir precisamente eso. Por separado, Drupal ha corregido dos fallos críticos de ejecución remota de código que afectan a todas las versiones compatibles y ha advertido de que podrían aparecer exploits con rapidez. JetBrains ha publicado tres CVE de TeamCity —CVE-2026-111094 con 8,1, una RCE autenticada mediante la elusión de una lista blanca de mensajes de compilación, además de XSS almacenado con 8,0 y 6,7—, con correcciones para instalaciones locales en 2026.2, 2026.1.4 y 2025.11.8, sin prueba de concepto pública ni explotación activa notificada.
Por qué importaOrden de parcheo esta mañana: primero SiteGuard, porque se está explotando ahora; Drupal en segundo lugar, porque la ventana es corta; TeamCity en tercero, porque es un servidor de compilación y los servidores de compilación firman cosas.
N0n publicó 29 veces el sábado, y lo peor corresponde a clientes de otros
N0n pasó de prácticamente nada a 29 publicaciones en su sitio de filtraciones en un día, y el patrón es de terceros: SQA Services, descrito como un laboratorio de pruebas de Wolters Kluwer/CCH Axcess, publicado con credenciales de acceso VPN de las 64 cuentas de empleados y la configuración del controlador de dominio, incluidas directivas de grupo, zonas DNS y mapas de red; All Business Technologies, un despacho de contabilidad y fiscalidad de Massachusetts, publicado con archivos contables activos de más de 60 empresas clientes y copias de seguridad de 2014 a 2026. ECO USA apareció con 217.186 registros de producción y de control y 33 cuentas de empresas y socios con contraseñas en texto plano, Solid Trading B.V. con datos de pedidos y ejecución de clientes, y SMIC US y Telecom Egypt, ambas marcadas como NOT PAID — EXPOSED. Cuatro víctimas permanecieron en el sitio como Company #88 a #91 desde primera hora de la mañana hasta que se las nombró a las 15:26. Atlas califica la racha de N0n en EE. UU. como en escalada, con 0,82.
Por qué importaSi su contable, su laboratorio de pruebas o su asesor externo de contabilidad figura en esa lista, sus datos están en la filtración aunque su nombre no aparezca.
Helix ha descubierto la cuenta atrás, y corre en GoFile
Helix publicó cuatro grandes organizaciones estadounidenses en unas cuatro horas el sábado por la noche —Smith Douglas Homes, Bay Alarm, Personify Health y, más tarde, Quikrete—, cada una con enlaces de GoFile y contraseñas anunciadas como desbloqueables en 12 horas, luego en 6, antes de añadir a Southwire con unos ingresos anuales declarados de en torno a 9.000 millones de dólares. Las publicaciones citan cifras de ingresos como una presentación comercial cita el mercado potencial: Smith Douglas Homes en torno a 971 millones de dólares, Personify Health en torno a 500 millones, Bay Alarm en torno a 256 millones. Atlas puntúa a Helix como en escalada en la manufactura estadounidense, con la racha ponderada por velocidad del país en 0,82, aunque la señal llegó unas 18,5 horas después de las publicaciones en bruto.
Por qué importaLos desbloqueos públicos temporizados comprimen deliberadamente la toma de decisiones de la víctima; si trabaja en la manufactura estadounidense, asuma que su reloj de incidente lo marca la página web del atacante, no su contrato de respuesta.
Qilin publicó 37 veces en un día, y una marca llamada Storm apareció con tres víctimas en una hora
El volumen del sitio de filtraciones de Qilin el 18 de octubre alcanzó 37 publicaciones frente a una mediana de una en otros días, con Mastelli S.r.l., Pergande, Pengurusan Aset Air Berhad, BRUTRA Logistek, Llano Independent School District y Belcorp entre los nombres; los dos rastreadores discrepan sobre el sector de Mastelli, uno lo califica de Manufactura y el otro de Servicios sanitarios, el tipo de detalle que acaba en la diapositiva de un consejo como un hecho. Por separado, un grupo que se hace llamar Storm apareció con Patriot Maritime, Merit Financial Group y Baltimore Tank Lines, detectado primero en Mastodon y confirmado en ransomlook unas 1,1 horas después: marítimo, gestión patrimonial y transporte de combustible, en aproximadamente una hora. Conviene tratar con cautela la ráfaga de Qilin: Atlas se adelantó a las publicaciones en bruto entre 39 y 53 horas, en la dirección equivocada, lo que suele significar ingesta por lotes y no un repentino aumento de competencia.
Por qué importaLos recuentos de víctimas que se leen un lunes son la vista de un rastreador sobre un fin de semana, no una medida del ritmo de los atacantes; utilice las víctimas nombradas, no los totales.
El parque de C2 de Vidar son números y dominios cortos, y se puede cazar
El último día de indicadores de Vidar en ThreatFox se agrupa con fuerza en dominios con prefijo numérico y rutas cortas: k3.9nawin.org, tp.988boss.org, luego k9n/tx/xs/cva en 9wing.org, l.9kio.org, j7.88idr.org y f.88qr.org y n.88qr.org. Los mismos indicadores aparecen con y sin barra final, lo que es característico del envío automatizado masivo desde un único panel. Por debajo continúa el volumen de fondo: 209 indicadores nuevos de Mozi y 208 nuevos de Mirai en la ventana, además de infraestructura de ClearFake, AMOS y ValleyRAT.
Por qué importaUna expresión regular sobre los registros DNS para hosts cortos con prefijo numérico y rutas URI de dos caracteres le costará diez minutos y puede ser la detección de Vidar más barata que escriba este trimestre.
confianza0.60
IA y seguridad
Las ofertas de empleo de seguridad en EE. UU. caen un 26 % mientras todos contratan para lo que tiene fugas
El informe de empleo de CyberSN muestra que las ofertas de ciberseguridad en EE. UU. caen un 26 % mientras se dispara la demanda de ingenieros de seguridad de IA, lo que no es una historia de escasez ni de saturación, sino de reasignación, contada con rostro impasible.
Por qué importaSu herramienta de IA es ya una aplicación de escritorio con credenciales en manos de sus desarrolladores; inclúyala en su inventario de activos antes de incluirla en su presentación estratégica.
Un fallo lo bastante viejo como para recordar los teléfonos de disco le da root en OpenBSD 7.9
Un exploit de escalada local de privilegios publicado este fin de semana obtiene root en OpenBSD 7.9 encadenando un desbordamiento de enteros de unos 37 años en la memoria compartida con otro fallo del kernel, eludiendo la aleatorización de direcciones del kernel KARL junto con las protecciones de hardware SMAP y SMEP. La firma de seguridad Calif lo encontró y lo notificó. Las mitigaciones apiladas durante tres décadas fueron sorteadas por un fallo anterior a todas ellas.
Por qué importaLa escalada local de privilegios en sus equipos más reforzados es exactamente la cadena que convierte un web shell contenido en un incidente que abarca todo el parque.
Una pulsera de 75 dólares que convierte a quienes le rodean en contenido
Bee, de Amazon, noticia de este fin de semana, es una pulsera de 75 dólares que convierte las conversaciones en notas y, con una suscripción opcional de pago, en sugerencias de compra. El portador da su consentimiento. Los transeúntes aportan el diálogo y no pueden negarse. Como dijo quien lo señaló, una pequeña cadena de suministro bien ordenada.
Por qué importaCada sala de reuniones de su organización es ahora potencialmente un entorno grabado, sin acuerdo de encargado del tratamiento y sin ningún interesado que sepa que lo es.
La lectura en profundidad del día: lo que hay bajo los titulares, no encima de ellos.
Bajo las fuentes: una credencial haciendo el trabajo de 173, un fin de semana de sitios de filtraciones que es en parte real y en parte un rastreador recobrando el aliento, y dos fuentes que enmudecieron el domingo por la mañana.
Exception 01
El suceso de ConnectWise es un abuso de confianza de un MSP, no 173 intrusiones
Tres fuentes independientes corroboran un único secreto comprometido de una aplicación multiinquilino que inicia sesión en numerosos inquilinos de clientes, con siete identidades de aplicación de ConnectWise deshabilitadas. El radio de impacto son los datos de M365 de los clientes, y el patrón de acceso es la propia integración legítima del proveedor.
confianza0.80
Wrong if
ConnectWise informa de que la cifra de 173 estaba sobreestimada, o de que los inicios de sesión se limitaron al acceso contratado del proveedor sin tocar datos de clientes.
Watch
Seguimientos de ConnectWise o Microsoft y avisos a clientes durante los próximos 1-3 días; si se nombran otras aplicaciones multiinquilino de MSP.
El sábado de N0n es sobre todo exposición posterior de servicios fiscales y contables
N0n pasó de casi cero a 29 publicaciones en un día, y las dos de mayor trascendencia son proveedores de servicios: un laboratorio de pruebas de CCH Axcess y un despacho de contabilidad con archivos contables activos de más de 60 empresas clientes. Las víctimas nombradas no son la lista completa de víctimas.
confianza0.65
Wrong if
Pruebas de que las 29 publicaciones son un único rastreo retroactivo de anuncios fechados originalmente a lo largo de varias semanas.
Watch
Si N0n sigue publicando el 19-20 de octubre, y si Wolters Kluwer o CCH dicen algo sobre el laboratorio de pruebas.
Exception 03
La ráfaga de Qilin puede ser ingesta, no ritmo
37 publicaciones de Qilin el 18 de octubre frente a una mediana de una, con Atlas adelantándose a las publicaciones en bruto del sitio de filtraciones entre 39 y 53 horas —lo contrario de la dirección habitual—, lo que apunta a fechas retroactivas o rastreo por lotes más que a un aumento genuino.
confianza0.50Speculative
Wrong if
Las marcas de tiempo del sitio de filtraciones muestran que las publicaciones de víctimas se emitieron realmente a lo largo del 18 de octubre y no se ingirieron en un solo lote.
Watch
Si el volumen de Qilin se mantiene elevado el 19-20 de octubre y si la historia de la manufactura obtiene nuevas víctimas corroborantes.
NVD y OTX se detienen a las 00:04 del 18 de octubre
Ambas fuentes carecen de datos posteriores a 2026-10-18T00:04, y el conjunto de NVD es en gran parte un único lote con fecha del 16 de octubre, por lo que cualquier CVE o actividad de OTX del 18 y 19 es invisible en esta lectura. Lo más probable es un comportamiento de ingesta por lotes, no una caída real de las notificaciones.
confianza0.60
Wrong if
Comprobaciones directas de NVD y OTX muestran una publicación continua durante el 18-19 de octubre que esta cadena de procesamiento no logró recopilar.
Watch
Si la próxima ingesta restablece ambas; si no, lo que está roto son los recolectores, no el mundo.
Nothing to seeLa ráfaga de puntuaciones de maldad de extensiones de Chrome, las historias de Atlas sobre una «crisis compuesta que converge en un país» con una confianza de 0,43 a 0,51, el lote de avisos de WordPress del fin de semana sin pruebas de explotación, y un largo y apasionado hilo del fediverso sobre una película de terror de los años setenta. Nada de ello mostró estructura entre fuentes, y uno trataba de un órgano que también es un ascensor.
Deep read: 483 artículos leídos
§4
Previsión
Pronósticos fechados y verificables. Evaluamos nuestro propio trabajo en público.
Today’s calls
DueCallConfidence
DueMon 26 Oct7d
ConnectWise o Microsoft publica otra actualización pública sobre el incidente de Cloud Backup / SkyKick —cifras revisadas de inquilinos, alcance del acceso a los datos u orientaciones para clientes— antes del 26 de octubre.
Wrong ifNo aparece en estas fuentes ninguna nueva declaración de ConnectWise o Microsoft sobre este incidente antes de que acabe el 26 de octubre.
No official T-Mobile breach notification or verified data sample corroborating BYOD's claim appears in these feeds.
Called Fri 9 Oct · due Fri 16 Oct
Past due. No T-Mobile statement, filing or verified sample appears in any of today's items.
open
None of KFC, MoneyGram, Confluent, BigID or Placer AI publicly confirms a breach in these feeds by 18 October.
Called Tue 13 Oct · due Sun 18 Oct
Due 18 Oct passed. No confirmation from KFC, MoneyGram, Confluent, BigID or Placer AI appears in any item.
right
Qilin will not sustain yesterday's volume: at least one day between 17 and 21 October will show fewer than ten Qilin leak-site items on ransomware.live.
Called Fri 16 Oct · due Wed 21 Oct
On 18 Oct, ransomware.live shows only 5 Qilin claims (Mastelli, Pergande, Pengurusan, BRUTRA, Llano). On 17 Oct it shows 1. Both are under ten, though the feed may be a sample.
N0n posts at least one further numbered anonymised victim above #88 on its leak site.
Called Sun 18 Oct · due Fri 23 Oct
N0n posted Company #89 and #90 (5:52–5:53 UTC) and #91 (8:54 UTC) on 18 Oct. ransomlook shows the same listings.
Glosario de términos ante los que se espera que asientas
Aplicación multiinquilino(n.)
Un secreto que funciona en todos sus clientes a la vez, vendido como una integración, descrito en el aviso del incidente como siete identidades de aplicación, y deshabilitado un sábado.
§5
Desde nuestro perímetro
Ataques en directo contra nuestros propios servidores en las últimas 24 horas. Sí, realmente los nuestros.
Nuestro propio perímetro perfiló 53 fuentes hostiles en 24 horas —42 escáneres, 9 rastreadores automáticos, 2 operadores dirigidos— que enviaron 6.394 solicitudes entre todas, de las cuales 7 pasaron del reconocimiento a verdaderos intentos de explotación, desde 4.919 direcciones de 92 países, con 1.040 vistas por primera vez hoy. El dato que debería interesarle: 34.53.212.113 recorrió /.env-example, /.aws/config y /.env.aws y después pidió /.env.anthropic, lo que significa que las claves de API de modelos figuran ya en la lista de la compra habitual junto a las claves de la nube. Por otra parte, 35.240.58.49 lanzó 118 solicitudes en unos 0,4 segundos buscando archivos .env de Laravel y Docker, once direcciones compartieron una misma huella de comportamiento (DNA dfef4501b216) mientras rotaban de host, 20.196.193.222 envió 470 solicitudes a un ritmo constante de una por minuto buscando un gestor de archivos WordPress HelloPress, y dos direcciones seguían rociándonos con CVE-2017-9841, lo que dice mucho de lo que internet cree realmente sobre el parcheo. La mayor hostilidad del panel, 7,7 sobre 10, fue la de 84.17.60.236, que envió solo 20 solicitudes, alcanzó el acceso a credenciales y buscaba xmlrpc.php. Los registros en bruto nunca salieron del servidor. Solo los hallazgos.
53fuentes hostiles perfiladas
6.394solicitudes de estas fuentes
7llegaron a la explotación
6clústeres de ADN compartido
7,7/10hostilidad máxima
4.919direcciones en nuestro perímetro
1.040vistas por primera vez hoy
92países
La lista WTF
WTF #1
Buscando sus claves de IA
34.53.212.113, un escáner (hostilidad 5,7/10), envió 234 solicitudes a 2 de nuestros sitios, buscando /.env-example, /.aws/config, /.env.aws, /.aws/.env.
Por qué es llamativoFue directo a las credenciales de IA: /.env.anthropic. Las claves de API de modelos figuran ya en la lista de la compra de los escáneres junto a las claves de la nube.
attribution: escáner personalizado de recolección de credenciales (mejor coincidencia del sensor, 45 %)Sun 18 Oct, 05:00 UTC
Detail
cadena de ataque: reconocimiento → armamentización · DNA 9427f6c77bf1
WTF #2
El visitante más tenaz
84.17.60.236, un operador dirigido (hostilidad 7,7/10), envió 20 solicitudes a uno de nuestros sitios, buscando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Por qué es llamativoMayor hostilidad del panel; su cadena de ataque llegó al acceso a credenciales.
attribution: desconocidoSun 18 Oct, 05:00 UTC
Detail
cadena de ataque: reconocimiento → armamentización → explotación → acceso a credenciales · DNA 82a939927b85
WTF #3
Probando CVE-2017-9841 con nosotros
2 direcciones enviaron 16 solicitudes con la forma de una explotación de CVE-2017-9841 (/vendor/phpunit/phpunit/…), entre ellas 170.64.211.230, 94.26.0.103.
Por qué es llamativoUn exploit conocido y con nombre que se sigue rociando por internet; nuestro perímetro lo vio hoy, diga lo que diga el boletín de parches sobre el año.
attribution: desconocido
Detail
familia de sondeo: phpunit-rce
WTF #4
Mismo ADN, distintas direcciones
34.131.254.38, un escáner (hostilidad 6,3/10), envió 277 solicitudes a uno de nuestros sitios, buscando /.git/config, /.env, /.env.local, /.env.production.
Por qué es llamativo11 IP comparten una misma huella de comportamiento (DNA dfef4501b216): una herramienta o un operador rotando direcciones: 20.194.96.223, 20.207.202.183, 74.225.146.100, 2001:41d0:601:2000::166e, 20.214.147.109 y más.
attribution: desconocidoSun 18 Oct, 20:00 UTC
Detail
cadena de ataque: reconocimiento → armamentización · DNA dfef4501b216
WTF #5
La lista de la compra más extraña
20.196.193.222, un escáner (hostilidad 6,5/10), envió 470 solicitudes a un ritmo de 1 por minuto a 3 de nuestros sitios, buscando /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /3PJcpMFsD8B.php, /sm.php.
Por qué es llamativoPidió archivos que casi nadie más pide: /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /3PJcpMFsD8B.php, /sm.php, /ebkid.php.
attribution: escáner de RCE del gestor de archivos HelloPress de WordPress (mejor coincidencia del sensor, 55 %)Sun 18 Oct, 05:00 UTC
Detail
cadena de ataque: reconocimiento → armamentización · DNA 8e306493632a
WTF #6
Con prisa
35.240.58.49, un escáner (hostilidad 5,5/10), envió 118 solicitudes a uno de nuestros sitios, buscando /.aws/.env, /.env, /.docker/.env, /.docker/laravel/app/.env.
Por qué es llamativoLanzó 118 solicitudes en unos 0,4 segundos.
attribution: Recolector automatizado de credenciales y secretos (mejor coincidencia del sensor, 55 %)Sun 18 Oct, 05:00 UTC
Detail
cadena de ataque: reconocimiento → armamentización · DNA 18e39c4b41fb
§6
Acompañamientos
Herramientas gratuitas en directo. Sin registro, sin llamadas comerciales.
Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.
Un correo al día. El periódico completo. Cancela la suscripción con un clic.
§7
Colofón
Cómo se elaboró esta edición, sin rodeos.
La edición 22 fue elaborada por una máquina y revisada por código. Se leyó íntegramente cada elemento publicado por 12 fuentes públicas de amenazas en las 24 horas previas a las 05:05 (hora del Reino Unido) (483 elementos): las estadísticas se calcularon mediante código, cada porción fue leída por Claude Sonnet y la estructura fue sintetizada por Claude Opus. Después, Claude Opus editó el periódico. Cada historia cita los elementos en los que se apoya; las historias cuyas referencias no se resolvían, o cuyas cifras no figuraban en sus fuentes, se descartaron antes de publicar (0 hoy). Los pronósticos se evalúan públicamente en ediciones posteriores. «Desde nuestro perímetro» son datos de ataque en directo de nuestros propios servidores. Costee de esta edición: 0,74 $. Está escrita por una máquina con la voz de ScottG, autor de Everything Is Probably Fine, y nadie la editó a mano, lo cual es o bien el objetivo o bien el problema.
483items read
24hour window
$0.74cost of this edition
04:05 UTCgenerated
Fuentes de esta mañana
ThreatFox150ok
NVD100ok
infosec.exchange77ok
Signal Atlas56ok
ransomware.live26ok
RansomLook26ok
atlas20ok
Security news10ok
signal:ioc-family6ok
signal:actor6ok
RSS3ok
AlienVault OTX3ok
ITEMS READ: 483|SOURCES: 12|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.74|STATUS: NO ESPECIALMENTE BIEN
OWNER: la máquina|EDITOR: las normas|CALLS OPEN: 3|NEXT REVIEW: mañana 06:00 UK