Apertura · Vulnerabilidades

El plazo era el jueves. Hoy es jueves.

La CISA ha incluido los dos fallos de uso tras liberación de PHP2Shell en la lista de vulnerabilidades explotadas y ha ordenado a las agencias federales que los corrijan hoy, mientras un presunto operador vinculado a China ya ha comprometido con privilegios de root 25 servidores y ha alcanzado una red afiliada al Gobierno de EE. UU.

confianza 0.85

CVE-2026-109618 y CVE-2026-109619 tienen ambas una puntuación de 9.2, ambas residen en el tratamiento de session.upload_progress del motor de PHP y ambas se desencadenan durante el procesamiento de peticiones multipart, es decir, durante el acto cotidiano de alguien que sube un archivo a un sitio web. La CISA confirmó la explotación activa, las añadió al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) y dio a las agencias federales hasta el jueves. Usted está leyendo esto en jueves.

La explotación no es teórica, pero tampoco es uniforme. El 25 de octubre, los investigadores observaron lo que describen como un ataque asistido por IA de un presunto actor vinculado a China que comprometió 25 servidores y vulneró una red afiliada al Gobierno de EE. UU., encadenando PHP2Shell con un segundo exploit llamado Fragnesia para obtener privilegios de root en cortafuegos y tomando dos servidores en esa misma organización. Por separado, un servidor de preparación expuesto en 96.126.130.81 mostró a un operador que pasó del 9 al 11 de octubre extorsionando sitios web inmobiliarios japoneses y que después recogió herramientas de PHP2Shell, porque estaban allí tiradas. Wiz, que lleva vigilando desde la divulgación pública del 21 de octubre, afirma haber visto intentos pero ningún ataque exitoso en su propia telemetría.

Y ayer por la mañana, en Mastodon, una analista de malware en activo preguntó públicamente si ya se había confirmado la explotación real de PHP2Shell, porque había oído versiones contradictorias. Hace bien en preguntar y los proveedores hacen bien en informar. Ambas frases son ciertas a la vez, que es la condición normal de un jueves. Entretanto, un informe de infraestructura señala que los fallos alcanzan las interfaces web de gestión de cortafuegos, VPN y controladores de entrega de aplicaciones, que es justo donde se coloca lo que se supone que no debe ser accesible.

Por qué importaSi PHP es accesible desde alguna interfaz de gestión en cualquier punto de su infraestructura, la ventana para descubrirlo se cerró antes que el café.

Fuentes

Today’s revelation

Una vulnerabilidad con nombre comercial se parchea antes que una que solo tiene número, lo que demuestra que nuestro motor de priorización es, y siempre ha sido, marketing.

— Sturgeon's Revelations · Probably Fine Daily No. 32

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§2

Principales noticias

El resto de las últimas 24 horas, con fuentes.

Vulnerabilidades

Un fallo de Brotli, tres nombres y al menos un atacante cuyo exploit no funciona

La CISA añadió el martes CVE-2026-111497 al catálogo de explotadas: un valor de retorno sin comprobar y una escritura fuera de límites en el decodificador Brotli de Google, que se incluye en Node.js y en una larga cola de otros paquetes, y al que internet ha decidido llamar Node2Shell, Broccoli2Shell y HTTP2Shell según quién esté tuiteando. Dos operadores de honeypots registraron intentos, uno de ellos con un exploit que simplemente estaba roto. En la misma ventana, los atacantes empezaron a sondear el fallo de Oracle E-Business Suite CVE-2026-101767, con puntuación 9.8, recién corregido, pocos días después de que llegara el parche.

Por qué importaBrotli es una dependencia que usted no eligió y que no puede ver en un inventario de activos; búsquela por el manifiesto de compilación, no por el nombre del producto.

confianza 0.80

Fuentes

Vulnerabilidades

La CISA ha añadido una vulnerabilidad cuyo único impacto es que usted no se enterará

Junto a los fallos de primera plana, KEV incorporó discretamente CVE-2026-41709 en Broadcom VMware ESX: una vulnerabilidad de registro insuficiente que permite a un actor con acceso de administrador realizar ciertas operaciones sin que queden registradas, con un EPSS de 0.00297. También incluyó CVE-2026-46300, una falta de inicialización de variable en el kernel de Linux con un EPSS de 0.10192, y CVE-2026-48356, una subida de archivos sin restricciones en Adobe Commerce y Magento que puede derivar en ejecución arbitraria de código. Una de ellas le da código. Otra le da un silencio en la cronología allí donde debería estar la prueba.

Por qué importaUn hueco de registro en ESX no es un problema de detección el martes, sino un problema de informe de incidente en marzo; corríjalo y compruebe su política de retención ya que está en ello.

confianza 0.82

Fuentes

Ransomware

GMO ordenó apagarse a 26,739 servidores, rechazó ¥8bn y ahora paga por nombres

GMO Internet instó a los clientes de Onamae Desktop Cloud a desconectarse de internet y apagar sus servidores antes de que se activara una carga de ransomware plantada durante la intrusión; hasta 26,739 servidores de clientes podrían estar afectados, se rechazó la exigencia de ¥8bn (unos $50m) y los datos robados se publicaron de todos modos. El 28 de octubre el grupo abrió un programa de recompensas que paga hasta $1m en total por información que conduzca a una detención o a una acusación formal. Es una quincena movida en Japón: Japan Airlines ha advertido de que se sustrajeron números de pasaporte, números de viajero frecuente, direcciones de correo electrónico y teléfonos de unos 2,000 clientes, Sony Network Communications ha confirmado unos 2.5 millones de registros, y los investigadores describen tres ataques contra objetivos japoneses en los que una operación empleó 44 agentes de IA para automatizar el trabajo.

Por qué importaSi aloja cargas de trabajo de clientes, deje por escrito ahora quién tiene autoridad para ordenar a cada inquilino que se apague, porque esa decisión hay que tomarla en minutos y no la tomará un panel de control.

confianza 0.75

Fuentes

Ransomware

La caída del hospital llegó a los feeds diecisiete horas antes que el comunicado

El lunes por la tarde, una publicación en un sitio de filtraciones de un actor identificado como byod reivindicó 36,000 máquinas de la Universidad de Nuevo México, los dos bosques de Active Directory que cubren el campus principal y el sector hospitalario, objetos de directiva de grupo, dos bases de datos Oracle y datos personales de estudiantes y empleados, incluidos números de la seguridad social. A la tarde siguiente, UNM Health confirmó un ciberataque con interrupciones de sistemas: ambulancias desviadas durante unas dos horas el lunes hacia sistemas sanitarios de Albuquerque y Santa Fe, y cirugías ambulatorias y citas suspendidas durante el resto del día. La reivindicación precedió a la información pública en unas 17.6 horas.

Por qué importaLa vigilancia de sitios de filtraciones no es teatro de inteligencia; para sus homólogos del sector suele ser la señal más temprana de que un proveedor compartido o un vecino ha caído.

confianza 0.80

Fuentes

Ransomware

The Gentlemen no dirigen una campaña de ataques, dirigen un calendario editorial

El 26 de octubre el grupo publicó 31 entradas frente a una mediana de 4.5 en otros días, unas 22 víctimas en cerca de dos horas, cada una acompañada de una pulcra biografía corporativa: Vietnam Airlines, una reivindicación contra la filial de SAP para América Latina y el Caribe, FPT Software, la firma de tecnología del agua WABAG, Cherry Bekaert, SK Capital Partners, el municipio sueco de Svedala y la localidad bávara de Eichstätt. Ransomlook recogió el lote unas 27 horas antes de que Atlas lo reflejara, de modo que la mayor parte de la aparente corroboración entre rastreadores es un efecto espejo, no una confirmación. En el conjunto del tablero, el ritmo de la semana muestra 192 reivindicaciones en sitios de filtraciones de 38 de los 267 grupos rastreados, con Booba Project disparándose hasta 10 reivindicaciones frente a las 2.38 esperadas según su ritmo previo, rhysida con 6 frente a 1.29 y qilin con 39.

Por qué importaVarias de las víctimas nombradas son proveedores de TI y software, por lo que las divulgaciones que le importen podrían llegar a través de un proveedor dentro de dos semanas y no desde esta lista hoy.

confianza 0.70

IA y seguridad

Los modelos están ahora en ambos bandos del combate, y alguien está atacando a los robots de ataque

Anthropic informó de que un modelo no publicado encontró fallos en Chrome, Safari, Android, Windows y Linux y los encadenó en pruebas de concepto de exploits funcionales, construidas en laboratorio tras recibir instrucciones y no observadas en circulación. Investigadores que analizaron tres entornos de servidores expuestos describieron una operación centrada en Japón que empleaba 44 agentes de IA para automatizar tareas de intrusión, y otro servidor de preparación expuesto mostraba el espacio de trabajo de extorsión asistida por IA de un operador de ransomware n0n al completo, con el código fuente del cifrador incluido. Mientras tanto, actores desconocidos comprometen sistemáticamente desde aproximadamente el 20 de octubre arneses de intrusión de IA Cairn sin protección, y otro atacante ha estado buscando credenciales sin descanso suplantando a rastreadores de OpenAI, Anthropic y Meta.

Por qué importaTrate su infraestructura de agentes como superficie de ataque en producción: guarda credenciales, actúa, y la automatización ajena ya la está buscando.

confianza 0.72

Fuentes

Política

Una buena semana para el otro lado del libro de cuentas, que conviene anotar antes de que se nos olvide

El FBI se incautó de virtualine[.]net el 27 de octubre en el marco de la Operación Omegaline, arrebatando el dominio principal de un proveedor de alojamiento a prueba de balas que también operaba como Omegatech en AS202412 y se anunciaba en foros delictivos. La Dirección de Señales Australiana (ASD) accedió al backend de una operación de Amadey y cortó al operador el acceso a 180,000 ordenadores infectados en todo el mundo. La tercera Operación Serengeti de Interpol se saldó con 1,462 detenciones en 20 países africanos y en Estados Unidos y la recuperación de $105m, y Artem Stryzhak, de 36 años, fue condenado a 70 meses por su papel en ataques de Nefilim y Hive contra hospitales, organismos públicos y grandes empresas entre 2018 y 2021.

Por qué importaLas incautaciones de infraestructura desplazan indicadores y rotan el alojamiento; espere que sus listas de bloqueo vinculadas a Virtualine queden obsoletas y que sus actores reaparezcan en algún lugar más barato.

confianza 0.85

Fuentes

Rarezas

Keystone destruye 18,835 monederos físicos porque lo que demuestra que son auténticos dejó de demostrarlo

Un atacante que obtuvo acceso al sitio web de Keystone se hizo con la clave que sus monederos físicos usan para demostrar que son genuinos, lo que significa que alguien podría fabricar dispositivos falsificados que superen la comprobación en línea que un propietario utiliza para verificar un Keystone; la compañía anunció el 26 de octubre que destruirá 18,835 dispositivos. En otro capítulo del departamento de arqueología, resulta que el difunto actualizador de Popcorn Time se ejecutaba al arrancar el sistema, consultaba periódicamente su dominio de actualización y ejecutaba lo que le sirvieran, con todos los privilegios, en millones de ordenadores.

Por qué importaLa atestación es tan sólida como el secreto que la respalda; si depende de la comprobación de autenticidad de un proveedor, pregunte dónde reside esa clave y quién puede alcanzarla desde un servidor web.

confianza 0.78

Fuentes

§3

Oculto

La lectura en profundidad del día: lo que hay bajo los titulares, no encima de ellos.

Buena parte de la aparente confirmación cruzada de hoy son tres rastreadores leyendo la misma publicación de filtración a distintas velocidades.

Exception 01
El espejo no es corroboración
Whitearmor, n0n, rhysida, akira, aurora y panzer aparecen como «multifuente» solo porque ransomlook, ransomware.live y Atlas ingieren las mismas publicaciones de filtraciones con desfases de entre 1 y 37 horas aproximadamente. Payload y Aurora muestran además valores de confianza idénticos en Atlas, lo que parece un artefacto de correlación. No los cuente como confirmación independiente.
confianza 0.70
Wrong if
Los sitios que muestren métodos de descubrimiento independientes o contenido sustancialmente distinto para la misma víctima.
Watch
Si el patrón de desfase con ransomlook en primer lugar se mantiene en la próxima ventana.
Fuentes
1. 1RansomLookwhitearmor leaked Gamdom — Gamdom is an unregulated…
Exception 02
Seis complementos de pago de WooCommerce, un mismo agujero
CCAvenue, Eurobank, Mintpay, iK Pay, OPay y un complemento llamado simplemente Payment Gateway no verifican que una devolución de llamada de confirmación de pago proceda del proveedor, en varios casos porque el secreto de verificación está vacío en una instalación por defecto, lo que permite a un atacante no autenticado marcar pedidos arbitrarios como pagados, fallidos o cancelados. El patrón sugiere un único investigador o una única herramienta barriendo el ecosistema de complementos.
confianza 0.55Speculative
Wrong if
Los CVE que remitan a investigadores no relacionados que hallan de forma independiente rutas de código distintas.
Watch
Más complementos de pasarelas divulgados en la próxima quincena y cualquier informe de explotación.
Fuentes
Exception 03
La disputa sobre el alcance de EDK II sigue sin resolverse
SecurityWeek describe CVE-2026-97631 en TianoCore EDK II como un fallo que afecta a las máquinas solo mientras arrancan por red; la publicación derivada de Ars lo describe como un fallo que alcanza a la mayoría de los servidores del planeta sin que Secure Boot ofrezca protección, con gravedad 9.5. El hilo de Mastodon se adelantó unas siete horas a la noticia. Hasta que el texto de configuraciones afectadas del aviso lo aclare, asuma que su flota con arranque por red está dentro del alcance y que el resto no está confirmado.
confianza 0.55
Wrong if
Avisos de firmware de proveedores que indiquen explícitamente las configuraciones afectadas.
Watch
Boletines de firmware de proveedores de servidores y de nube.
Fuentes
Exception 04
OTX se adelantó a KEV en un CVE de PHP2Shell
OTX recogió CVE-2026-109619 unas 7.6 horas antes de que la CISA lo incluyera, mientras que para el fallo de Brotli CVE-2026-111497 el orden se invirtió y KEV se adelantó a OTX en unas 46.4 horas. Ninguna fuente es fiable como primera; si solo vigila una, llega tarde aproximadamente la mitad de las veces.
confianza 0.65
Wrong if
Una muestra más larga que arroje una ventaja consistente de una fuente.
Watch
Relación de adelanto y retraso en las dos próximas incorporaciones a KEV.
Fuentes
Exception 05
Cuatro fuentes se detuvieron en el mismo minuto, lo que es un límite de feed, no un alto el fuego
NVD, Safepay, Everest y Booba Team desaparecen de la ventana después de 2026-10-27T15:56. Un corte compartido al minuto entre una fuente de datos y tres actores no relacionados es un artefacto de ingesta, no cuatro pausas reales coincidentes. Su actividad previa era a ráfagas: Safepay 9, Everest 8 y Booba 8 elementos en un día.
confianza 0.60Speculative
Wrong if
Nuevos elementos de esos actores o de NVD con horas de evento posteriores al corte que aparezcan en la próxima ventana.
Watch
Recuentos por fuente de la próxima ventana para NVD y esos tres actores.
Fuentes

Nothing to seeNo surgieron agrupaciones temporales. No hay pruebas que vinculen el framework Silent Train de Volt Typhoon con PHP2Shell, ni nada más allá de la geografía compartida que conecte los incidentes de GMO, JAL, Sony y CyberStrikeAI en Japón. Las rarezas en la numeración de los CVE son débiles y se explican por la reserva por lotes. Las reivindicaciones sobre bufetes de abogados procedentes de leakeddata son de baja calidad y no están confirmadas.

Deep read: 632 artículos leídos

§4

Previsión

Pronósticos fechados y verificables. Evaluamos nuestro propio trabajo en público.

Today’s calls

DueThu 5 Nov7 days
La CISA añade al menos una vulnerabilidad más al catálogo de Vulnerabilidades Explotadas Conocidas.
Wrong ifNo aparece ninguna nueva entrada KEV en estos feeds entre el 29 de octubre y el 5 de noviembre.
Fuentes
f-2026-10-29-1
Confidence0.90
DueSun 8 Nov10 days
The Gentlemen publican al menos cinco nuevas víctimas con nombre en su sitio de filtraciones en un solo día.
Wrong ifNingún día entre el 29 de octubre y el 8 de noviembre muestra cinco o más publicaciones de víctimas de The Gentlemen en ransomlook o Atlas.
Fuentes
1. 1Ransomware tempo · Ninja Signal graphNinja Signal ransomware tempo for 2026-10-29. In th…
f-2026-10-29-2
Confidence0.55
DueMon 9 Nov11 days
Un informe público de un proveedor o CERT nombra a un tercer operador distinto que usa PHP2Shell, además del presunto actor vinculado a China y el servidor de preparación de la extorsión inmobiliaria japonesa.
Wrong ifNingún informe de ese tipo aparece en estos feeds a fecha de 9 de noviembre.
Fuentes
f-2026-10-29-3
Confidence0.45

Scorecard

2 right · 2 partly · 1 open

open
Majinahanashi's pending Jons Civil Engineering Company Ltd. (JCEL) post moves from PENDING to published by the end of 29 October 2026, in line with its stated 28 October schedule.
Called Mon 26 Oct · due Thu 29 Oct
No JCEL listing status (published or still pending) visible in today's feed items; due date is today 29 October.
partly
Qilin will post at least ten further leak-site victim claims to ransomware.live between now and 2 November.
Called Tue 27 Oct · due Mon 2 Nov
Qilin posted at least 2 claims visible in today's feed (Hawaii Law Enforcement FCU, NuVista FCU) but tempo signal notes 39 Qilin claims in last 7 days, strongly suggesting ≥10 new claims since 27 Oct; due date 2 November not yet passed so cannot fully settle.
Fuentes
partly
No named, non-honeypot organisation will be publicly reported in these feeds as successfully compromised via CVE-2026-109618 or CVE-2026-109619 by 4 November.
Called Wed 28 Oct · due Wed 4 Nov
China-linked actors exploited PHP2Shell (CVE-2026-109618/19) and rooted firewalls including breaching a US government-affiliated network, and CISA confirmed active exploitation, but no specific named non-honeypot victim organisation was publicly attributed by name in these feeds; due date 4 November not yet passed.
Fuentes
right
Booba Project will post at least five further leak-site claims across ransomware.live or ransomlook by 4 November.
Called Wed 28 Oct · due Wed 4 Nov
Booba Project posted at least 8 named victim claims on 27 October alone (Hudson River Museum, BASS Medical Group, Kerckstede vzw, RCOA, Charter Township of Commerce, KING FAMILY MEDICAL, City of Big Spring, Aesthetic Specialty Centre), exceeding the threshold of 5 by 28 October.
right
NVD items timestamped after 2026-10-27T01:31 will appear in our feed by 31 October, confirming the silence was an ingestion boundary rather than a halt at the source.
Called Wed 28 Oct · due Sat 31 Oct
NVD items with timestamps from 2026-10-25 and 2026-10-26 appear in today's feed, confirming the silence was an ingestion boundary, not a source halt.
Fuentes

Glosario de términos ante los que se espera que asientas

Registro insuficiente (n.): Una vulnerabilidad en la que no hace falta que ocurra nada malo para que usted no pueda demostrar que no ocurrió. Ahora en la lista federal de explotadas, lo que significa que la ausencia de pruebas tiene fecha de vencimiento.

§5

Desde nuestro perímetro

Ataques en directo contra nuestros propios servidores en las últimas 24 horas. Sí, realmente los nuestros.

Nuestro propio perímetro, entretanto, tuvo un día del todo ordinario, y ese es el punto. El sensor perfiló 65 fuentes hostiles de 4,251 direcciones vistas desde 109 países, 1,412 de ellas nuevas hoy, y esas 65 enviaron 5,866 peticiones entre todas; 32 pasaron del reconocimiento a intentos reales de explotación y 7 grupos compartían una huella de comportamiento. La más activa fue un escáner en 2a06:98c0:3600::103 con hostilidad 6.4, que envió 83 peticiones a tres de nuestros sitios pidiendo educadamente /wp-admin/install.php y /.git/config. Diecisiete direcciones compartían una única huella, DNA 3076742860d3, que es una sola herramienta o un solo operador rotando IP y llamándolo diversidad. Un escáner disparó veinte peticiones en unos 1.4 segundos buscando //xmlrpc.php y wlwmanifest.xml, tres direcciones probaron CVE-2015-2051 contra /hnap1 como si los años intermedios no hubieran pasado, y la coincidencia más segura del sensor en el día fue Mirai o una variante, con un 48 por ciento. Los registros en bruto nunca salieron del servidor. Solo lo hicieron los hallazgos.

65fuentes hostiles perfiladas

5,866peticiones de estas

32llegaron a la explotación

7grupos con ADN compartido

7.7/10máxima hostilidad

4,251direcciones en nuestro perímetro

1,412vistas por primera vez hoy

109países

La lista WTF

WTF #1
El visitante más tenaz
2a06:98c0:3600::103, un escáner (hostilidad 6.4/10), envió 83 peticiones a 3 de nuestros sitios, sondeando /wp-admin/install.php, /.git/config.
Por qué es llamativoLa mayor hostilidad del tablero; su cadena de ataque llegó a la fase de armamentización.
attribution: desconocidoThu 29 Oct, 03:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · DNA c0f8c6b5a5ea
```
WTF #2
Mismo ADN, distintas direcciones
185.191.171.15, un rastreador bot (hostilidad 0.4/10), envió 96 peticiones a 2 de nuestros sitios, sondeando /threat-check/PsExec.
Por qué es llamativo17 IP comparten una misma huella de comportamiento (DNA 3076742860d3): una sola herramienta o un solo operador que rota direcciones: 85.208.96.202, 185.191.171.5, 185.191.171.2, 85.208.96.196, 85.208.96.210 y más.
attribution: desconocidoThu 29 Oct, 03:00 UTC
Detail
```
cadena de ataque: reconocimiento → explotación · DNA 3076742860d3
```
WTF #3
Probando CVE-2015-2051 con nosotros
3 direcciones enviaron 4 peticiones con la forma de una explotación de CVE-2015-2051 (/hnap1), entre ellas 218.13.149.41, 157.230.24.130, 172.234.162.56.
Por qué es llamativoUn exploit conocido y con nombre que aún se rocía por internet; nuestro perímetro lo vio hoy, digan lo que digan las notas de parche sobre el año.
attribution: desconocido
Detail
```
familia de sondeo: dlink-hnap
```
WTF #4
La lista de la compra más extraña
85.204.70.116, un escáner (hostilidad 6.3/10), envió 20 peticiones a uno de nuestros sitios, sondeando //wp-includes/wlwmanifest.xml, //xmlrpc.php, //blog/wp-includes/wlwmanifest.xml, //web/wp-includes/wlwmanifest.xml.
Por qué es llamativoPidió archivos que casi nadie más pide: //wp-includes/wlwmanifest.xml, //xmlrpc.php, //blog/wp-includes/wlwmanifest.xml, //web/wp-includes/wlwmanifest.xml, //wordpress/wp-includes/wlwmanifest.xml.
attribution: desconocidoThu 29 Oct, 03:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · DNA dfef4501b216
```
WTF #5
Con prisa
82.102.18.126, un escáner (hostilidad 6.3/10), envió 20 peticiones a uno de nuestros sitios, sondeando //wp-includes/wlwmanifest.xml, //xmlrpc.php, //blog/wp-includes/wlwmanifest.xml, //web/wp-includes/wlwmanifest.xml.
Por qué es llamativoDisparó 20 peticiones en unos 1.4 segundos.
attribution: desconocidoThu 29 Oct, 03:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · DNA dfef4501b216
```
WTF #6
Alguien a quien quizá conocemos
139.59.240.56, un escáner (hostilidad 5.8/10), envió 24 peticiones a 2 de nuestros sitios, sondeando //images/images/cache.php, //cgi-bin/cgi-bin/cgi-bin/cgi-bin/cache.php, //images/images/images/images/images/images/images/images/cache.php, //images/images/images/images/images/images/images/cache.php.
Por qué es llamativoLa coincidencia de campaña más segura del sensor en el día: Mirai o variante (linaje Omni/Gafgyt) con un 48%.
attribution: Mirai o variante (linaje Omni/Gafgyt) (mejor coincidencia del sensor, 48%)Thu 29 Oct, 03:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · DNA bccc30d19899
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

192claims, 7 days

38of 267 groups active

qilin39 this week · surging

N0n18 this week

Whitearmor15 this week · new

SurgingBooba Project — 10 claims in 7 days against 2.4 expected from its own prior rate (p < 0.001)
Surgingrhysida — 6 claims in 7 days against 1.3 expected from its own prior rate (p = 0.002)
Surgingqilin — 39 claims in 7 days against 25.4 expected from its own prior rate (p = 0.007)
Surgingeverest — 8 claims in 7 days against 2.8 expected from its own prior rate (p = 0.007)
SurgingFalcon — 3 claims in 7 days against 0.4 expected from its own prior rate (p = 0.007)
Surgingemperador — 10 claims in 7 days against 4.5 expected from its own prior rate (p = 0.017)

Gone quiet: lynx (61 days), AiLock (64 days), abyss (64 days), blackwater (66 days).

Sector pressure, 30 days

UpTransportation — 2.2× its own prior share (71 claims, 33 expected)
UpEducation — 1.9× its own prior share (51 claims, 26 expected)
UpEnergy & Utilities — 1.6× its own prior share (38 claims, 25 expected)
UpHealthcare — 1.4× its own prior share (114 claims, 81 expected)

22% of claims carry no sector label.

Brand churn

Of the 229 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 212 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 9 — newest: Whitearmor (2026-10-23, 15 claims), Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 34% of its claims on Germany (6.6× every other brand's share); N0n put 34% of its claims on Transportation (7.5× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: nightspire across 10.4 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 64% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 196 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 36% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Acompañamientos

Herramientas gratuitas en directo. Sin registro, sin llamadas comerciales.

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§8

Colofón

Cómo se elaboró esta edición, sin rodeos.

La edición 32 la hizo una máquina y la comprobó código. Se leyó íntegramente cada elemento publicado por 13 feeds públicos de amenazas en las 24 horas hasta las 05:05 (hora del Reino Unido) (632 elementos): estadísticas calculadas por código, cada porción leída por Claude Sonnet, la estructura sintetizada por Claude Opus. Después, Claude Opus editó el periódico. Cada historia cita los elementos en los que se apoya; las historias cuyos justificantes no se resolvían, o cuyas cifras no figuraban en sus fuentes, se descartaron antes de publicar (0 hoy). Las previsiones se califican públicamente en ediciones posteriores. «Desde nuestro perímetro» son datos de ataque en vivo de nuestros propios servidores. Costee de esta edición: $1.26. Está escrita por una máquina con la voz de ScottG, autor de Everything Is Probably Fine, y nadie la editó a mano, lo cual es o bien el objetivo o bien el problema.

632items read

24hour window

$1.26cost of this edition

05:05 UTCgenerated

Fuentes de esta mañana

NVD191ok
RansomLook107ok
Security news100ok
infosec.exchange84ok
Signal Atlas42ok
atlas27ok
AlienVault OTX24ok
RSS21ok
ransomware.live21ok
signal:ioc-family8ok
CISA KEV4ok
signal:kev2ok
Ransomware tempo · Ninja Signal graph1ok

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un fallo de Brotli, tres nombres y al menos un atacante cuyo exploit no funciona

La CISA ha añadido una vulnerabilidad cuyo único impacto es que usted no se enterará

GMO ordenó apagarse a 26,739 servidores, rechazó ¥8bn y ahora paga por nombres

La caída del hospital llegó a los feeds diecisiete horas antes que el comunicado

The Gentlemen no dirigen una campaña de ataques, dirigen un calendario editorial

Los modelos están ahora en ambos bandos del combate, y alguien está atacando a los robots de ataque

Una buena semana para el otro lado del libro de cuentas, que conviene anotar antes de que se nos olvide

Keystone destruye 18,835 monederos físicos porque lo que demuestra que son auténticos dejó de demostrarlo

El espejo no es corroboración

Seis complementos de pago de WooCommerce, un mismo agujero

La disputa sobre el alcance de EDK II sigue sin resolverse

OTX se adelantó a KEV en un CVE de PHP2Shell

Cuatro fuentes se detuvieron en el mismo minuto, lo que es un límite de feed, no un alto el fuego

Today’s calls

Scorecard

Glosario de términos ante los que se espera que asientas

La lista WTF

El visitante más tenaz

Mismo ADN, distintas direcciones

Probando CVE-2015-2051 con nosotros

La lista de la compra más extraña

Con prisa

Alguien a quien quizá conocemos

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Fuentes de esta mañana