Apertura · Vulnerabilidades

KEV recibió el perímetro: un 10.0 en GitLab, un cortafuegos que se reinicia a petición y dos eslabones de Ivanti en la cadena de alguien

Seis problemas distintos, todos ellos explotados activamente, han aparecido en dos días, y cada uno reside en algo que no se puede apagar durante el fin de semana.

confianza 0.90

La CISA añadió el jueves dos fallos al catálogo de Vulnerabilidades Explotadas Conocidas: CVE-2026-97229, el error de ejecución remota de código en GitLab con puntuación 10.0, que un atacante probó contra el propio servidor GitLab del proyecto Alpine Linux una semana después de publicarse la corrección, y CVE-2026-76418, con puntuación 8.6, un fallo de Cisco Secure Firewall ASA y FTD que permite a un atacante no autenticado provocar el reinicio del dispositivo. Es el segundo día cero de VPN de Cisco desde agosto. Ese mismo día, KEV incorporó dos entradas de Ivanti Connect Secure, CVE-2026-118527 y CVE-2026-111357; la primera puede encadenarse con la segunda y con CVE-2026-104935, que es la forma educada que tiene la CISA de decir que alguien ya ha construido la cadena y la está utilizando.

A ellos hay que sumar los dos que se explotan sin distintivo KEV. Drupal avisó a los propietarios de tiendas de que CVE-2026-118539, un fallo de autorización ausente en Commerce Core que afecta a las versiones 0.0.0 a 2.41 y 3.0.0 en adelante, está siendo atacado y de que deben auditar sus pedidos. Y un error de ejecución remota de código en el núcleo de WordPress, sin identificador CVE, que afecta a las versiones 4.7 a 7.1.3, registró cerca de 63.000 intentos de ataque en veinticuatro horas. Una vulnerabilidad sin número es ontológicamente incómoda: su escáner no puede encontrarla, su registro de riesgos no puede contenerla y quienes le escanean no necesitan que tenga uno.

Por debajo de todo ello, la historia de PHP2Shell sigue avanzando. La CISA advirtió a las agencias federales de que parcheen el fallo de escalada de privilegios del kernel de Linux Fragnesia porque los atacantes lo encadenan con PHP2Shell en la práctica; una firma contó aproximadamente media docena de explotaciones y otra halló una campaña, presuntamente china y bien dirigida, contra servidores vinculados al Gobierno de EE. UU. Más de 22,6 millones de instancias expuestas podrían estar afectadas, los ataques obtienen privilegios de administrador en cortafuegos de Palo Alto y fracasan contra WordPress, y una semana de pruebas determinó que los exploits deben ajustarse a la versión exacta de PHP de cada objetivo, salvo en los dispositivos de red, donde todos ejecutan la misma versión y un solo exploit afinado llega a todos. La uniformidad es una virtud de las compras y un descuento para el atacante.

Por qué importaSi utiliza ASA o FTD, Connect Secure, GitLab, Drupal Commerce o WordPress, su fin de semana ya tiene una reserva hecha; el lunes se preguntará por el estado de los parches, no por la política de parches.

Fuentes

Today’s revelation

Un día cero en la caja que termina su VPN no es una vulnerabilidad. Es un cambio de propietario, publicado como nota de versión.

— Sturgeon's Revelations · Probably Fine Daily No. 34

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§2

Principales noticias

El resto de las últimas 24 horas, con fuentes.

Actores de amenazas

El mayor robo de criptomonedas de la historia pasó por un portátil

Binance afirma que un incidente de seguridad afectó a unos 6.300 millones de dólares en activos y ha vinculado el robo con el portátil comprometido de un ingeniero de DevOps; informaciones anteriores situaban la cifra en hasta 5.800 millones, se suspendieron las retiradas y hasta ahora se han congelado en la cadena casi 3.000 millones, con la ayuda de Tether y Circle. Los analistas de blockchain sostienen que el robo presenta las señas de TraderTraitor, de Corea del Norte, lo que es una inferencia basada en una única cadena de informaciones y no una atribución formal. El control que falló no fue la criptografía, el consenso ni el almacenamiento en frío. Fue un único equipo perteneciente a alguien con las llaves de la cadena de despliegue.

Por qué importaSu radio de impacto de mayor valor no es el clúster de producción, sino el puñado de portátiles que pueden acceder a él; identifique a esas personas por su nombre esta semana.

confianza 0.75

Fuentes

Malware e IOC

KeyDrift no rompe su SD-WAN: copia las claves y espera

Cisco Talos afirma que un grupo rastreado como UAT-11473 explotó CVE-2026-20127, una elusión de autenticación en los controladores Catalyst SD-WAN corregida en febrero, para implantar un marco de malware a medida llamado KeyDrift dentro de los sistemas que controlan el SD-WAN de una organización. La función de KeyDrift es copiar las claves que cifran el tráfico entre sedes y guardarlas para más adelante. Talos vinculó la infraestructura con un solapamiento con la red «Silent Train» de Volt Typhoon, según detalló Lumen, lo que es un solapamiento y no una confesión.

Por qué importaUn parche aplicado en febrero no rota las claves robadas en enero; si utiliza controladores Catalyst SD-WAN, considere sospechoso el material criptográfico entre sedes y rótelo.

confianza 0.75

Fuentes

IA y seguridad

Once horas de editor de confianza bastaron

Una versión 2.1.313 troyanizada de la extensión oficial de Claude Code de Anthropic se distribuyó a través del Cursor Marketplace durante unas once horas el 29 de octubre, con un cargador de 66 líneas antepuesto al código legítimo que instalaba una puerta trasera SSH persistente, lo que expuso a hasta 5.000 desarrolladores; ese mismo día Cursor sufrió dos problemas graves. Esa misma semana se detectó que 319 extensiones de Chrome, con 13,4 millones de instalaciones en conjunto, secuestraban búsquedas mediante servidores de seguimiento para obtener ingresos publicitarios, un investigador halló 26.400 credenciales de nube e IA todavía operativas en repositorios públicos de Gitee, entre 7,25 millones de repositorios, y GitHub lanzó en versión preliminar un cortafuegos para npm que bloquea paquetes sospechosos en el momento de la instalación. La confianza del desarrollador es ahora un campo de un mercado, y los mercados son una cadena de suministro que nadie ha aprobado.

Por qué importaTrate las extensiones del IDE y del navegador como software instalado sujeto a control de cambios, no como preferencias; y asuma que una ventana de once horas es lo bastante larga como para importar.

confianza 0.80

Fuentes

IA y seguridad

El modelo escribió el exploit, y el exploit funciona

Anthropic dijo el 27 de octubre que su modelo escribió un exploit funcional para CVE-2026-98432, un fallo TCP del kernel de Linux que el propio equipo de CVE del kernel califica con 9.8, que afecta a Ubuntu, RHEL y otros, y que sus investigadores desarrollaron una ejecución remota como root sin autenticación contra servidores con escuchas MPTCP; una versión de Claude aún no publicada también ha encontrado y encadenado vulnerabilidades en Chrome, Safari, Android, Windows y Linux. Google afirma que Gemini 4 Carbon obtuvo un 88,2 % en SEC-bench Pro y que se desplegará primero entre defensores acreditados a través de su Fairwind Program. Mientras tanto, CrowdStrike informa de que actores respaldados por el Estado chino emplean un marco de pruebas de penetración con IA escrito en Go, ARTEX, contra más de 200 organizaciones a la vez. La asimetría no es que los atacantes tengan IA. Es que desarrollar exploits dejó de ser la parte lenta.

Por qué importaPlanifique las ventanas de parcheo frente al desarrollo de exploits a velocidad de máquina, no frente a la semana que antes le llevaba a alguien escribir la pieza.

confianza 0.80

Fuentes

Ransomware

Qilin publicó sesenta reivindicaciones en un día, y todos los rastreadores lo vieron dos veces

Nuestro recuento de ritmo arroja 178 reivindicaciones en sitios de filtraciones en siete días procedentes de 35 de los 269 grupos rastreados, con Booba Project disparándose a 17 frente a las 2,33 esperadas según su propia tasa previa, rhysida con 8 frente a 1,38 y SilentRansomGroup con 8. Qilin acumula 60 elementos el 30 de octubre frente a una mediana de cinco en los demás días, con fuerte presencia de México —Innoe Asesores, Grupo Ciosa, Farmacia I, Sistemas Visuales 360—, además de Palletline en el Reino Unido, Light Rail Manila y Honghwa International en Taiwán. Obsérvese que ransomlook va una o dos horas por detrás de ransomware.live con las mismas víctimas, de modo que cuatro fuentes suelen ser una sola fuente con cuatro abrigos. SilentRansomGroup reivindicó a Susman Godfrey y leakeddata publicó a ArentFox Schiff, con entradas censuradas en ambos sitios que comparten iniciales.

Por qué importaUn lote de publicaciones no equivale a una oleada de ataques; cuente víctimas, no elementos, antes de decirle al consejo que el sector está sitiado.

confianza 0.80

Fuentes

Actores de amenazas

Tres maneras de perder criptomonedas que nada tienen que ver con el software de su monedero

Polymarket suspendió las operaciones después de que unos atacantes comprometieran una integración de monitorización de rendimiento de terceros y sirvieran JavaScript que vaciaba monederos desde una URL de la CDN de DebugBear, con unos 2,5 millones de dólares rastreados hasta un monedero sospechoso del atacante. Trezor dispone de informes creíbles de que un Safe 5 comprado al revendedor CryptoBilis en el sudeste asiático contenía una placa de circuito adicional que transmite la frase de recuperación por una red móvil; Trezor aún no ha examinado el dispositivo y advierte a todos los que compraron a ese revendedor. Y una aplicación de trading falsa llamada Padre Terminal, que estuvo en la Apple App Store, se ha vinculado con unos 23.000 dólares sustraídos de 27 monederos de Solana.

Por qué importaSus etiquetas de scripts de terceros, sus revendedores y sus tiendas de aplicaciones son todos dependencias de producción; inventaríelos como inventaría los servidores.

confianza 0.80

Fuentes

Política

El GCHQ no sabe dar cuenta de miles de dispositivos de almacenamiento de datos, y el organismo de control está decepcionado

La Oficina del Comisionado de Poderes de Investigación, en su informe anual de 2025 publicado el jueves, dijo estar «muy preocupada» y «decepcionada con el tiempo que ha tardado el GCHQ en investigar» el asunto, y señaló que la agencia «aún no ha establecido una comprensión suficientemente clara de la magnitud, la ubicación y la recuperabilidad» de los dispositivos, con pérdidas estimadas «en miles» y problemas de fondo planteados hace varios años. En otras noticias sobre aplicación de la ley, el FBI se incautó del dominio del proveedor de alojamiento a prueba de balas Virtualine, que alojaba servicios de piratería por encargo y daba soporte a operadores de ransomware y de infostealers, y un hacker del Ejército Electrónico Sirio conocido como Th3Pr0 fue condenado a 42 meses por una conspiración cuyo tuit falso provocó una caída de 136.000 millones de dólares en el mercado.

Por qué importaEl inventario de activos es el control que todos marcan como maduro y nadie puede acreditar; si la agencia de señales no puede hacerlo, su hoja de cálculo también es una fotografía de la marea.

confianza 0.85

Fuentes

Rarezas

La marca de ransomware de más rápido crecimiento esta semana se llama Booba Project

Nuestro propio análisis de ritmo señala a Booba Project como el mayor repunte de la semana, con 17 reivindicaciones en sitios de filtraciones en siete días frente a 2,33 esperadas según su propia tasa previa, con p inferior a 0,001, y el único comentario que hemos encontrado al respecto es una publicación en Mastodon que pregunta, en esencia, si ese es realmente el nombre. Lo es. En algún lugar, un equipo de inteligencia de amenazas decide si incluir esa palabra en una diapositiva para el consejo, y en otro lugar una aseguradora la lee en un formulario de siniestro.

Por qué importaLos nombres de los grupos son marketing, no taxonomía; siga la técnica y la infraestructura, porque la marca cambiará de nombre antes de que se publique su contenido de detección.

confianza 0.85

Fuentes

§3

Oculto

La lectura en profundidad del día: lo que hay bajo los titulares, no encima de ellos.

Bajo las fuentes: un lote de publicaciones de Qilin con cuatro insignias de fuente, una capa de «fusión» de Atlas que no cita ningún CVE y una fuente de NVD que se detiene en seco el 29 de octubre.

Exception 01
El estallido de Qilin es real, pero es una sola fuente, reflejada
Qilin muestra 60 elementos el 30 de octubre frente a una mediana de 5 en los demás días en cuatro fuentes, pero ransomlook va aproximadamente una o dos horas por detrás de ransomware.live con las mismas víctimas (akira 1,3 h, pear 1,3 h, dragonforce 1,8 h, rhysida 2,1 h) y la noticia de Atlas precede al elemento de ransomware.live en 19,3 horas. Se trata de una observación subyacente más derivados, probablemente un lote de publicaciones o una puesta al día del rastreo, con concentración en México. Los dos rastreadores tampoco coinciden en las etiquetas de sector de las mismas víctimas.
confianza 0.70
Wrong if
Las marcas de tiempo del propio sitio de filtraciones de Qilin muestran las reivindicaciones repartidas de manera uniforme en días anteriores, o las víctimas mexicanas resultan pertenecer a una campaña anterior conocida.
Watch
Si el volumen de Qilin sigue elevado el 31 de octubre y el 1 de noviembre o vuelve a unos cinco al día.
Fuentes
Exception 02
Las etiquetas «fusión KEV × ransomware» no están respaldadas por ningún elemento
Everest acumula entre 12 y 13 elementos el 30 de octubre, la mayoría de la capa de señales, que va 72,5 horas por detrás de Atlas, y los conjuntos de historias casi idénticos en cuatro sectores parecen un artefacto del método. Ningún elemento de la ventana vincula un CVE concreto de KEV con ningún grupo de ransomware identificado, y las etiquetas de sector no coinciden, con la víctima de astillero de whitearmor archivada como Comercio minorista. Trate el resultado de la fusión como una heurística, no como un hallazgo.
confianza 0.65
Wrong if
Una declaración de víctima o un informe de incidente nombra un CVE concreto de KEV utilizado por everest, qilin u otro grupo con etiqueta de fusión.
Watch
Cualquier CVE con nombre que aparezca en una publicación de sitio de filtraciones o en un aviso; trate las cifras de confianza de estas etiquetas como no validadas.
Fuentes
1. 1RansomLookwhitearmor leaked KTU Shipyard — Company: PT Karya…
Exception 03
NVD enmudece tras un lote masivo de plugins de WordPress
Los 100 elementos de NVD de la ventana son anteriores a 2026-10-29T17:21, con aproximadamente 75 CVE de plugins de WordPress sellados en bloque el 28 de octubre a las 06:16 y a las 07:16. Es más probable que el silencio se deba a un corte de ingesta o a un límite de 100 elementos de la fuente que a una pausa en la publicación, pero el lote sí entierra elementos de impacto realmente alto, entre ellos la falsificación sin autenticación de notificaciones de pago de WooCommerce y rutas de carga de archivos hacia la ejecución de código.
confianza 0.50Speculative
Wrong if
Existen en la fuente en bruto elementos de NVD fechados entre el 30 y el 31 de octubre que el recolector simplemente pasó por alto.
Watch
Si los elementos de NVD se reanudan en la próxima ejecución; de ser así, el corte fue nuestro, no suyo.
Fuentes
Exception 04
SilentRansomGroup y leakeddata comparten momento e iniciales
SilentRansomGroup (8 elementos) y leakeddata (4 elementos) estallaron ambos el 30 de octubre con entradas censuradas que comparten iniciales, ambos afectando a despachos de abogados, con ransomware.live precediendo a la capa de señales en 5,8 horas. Es compatible con una infraestructura compartida, un solapamiento de afiliados o un sitio que refleja al otro, y es igualmente compatible con la coincidencia. Las víctimas no tienen nombre y las pruebas son escasas.
confianza 0.40Speculative
Wrong if
Las entradas censuradas se resuelven en víctimas distintas y no relacionadas, o se demuestra que leakeddata es un agregador que extrae datos del otro sitio.
Watch
Si se desvelan los nombres y si aparecen más víctimas de despachos de abogados la próxima semana.

Nothing to seeNo hay pruebas que conecten a Binance con Polymarket, y nada en la ventana vincula ningún CVE de KEV con un grupo de ransomware identificado. Las exposiciones japonesas notificadas esta semana no muestran pruebas de conexión entre ellas. Los recuentos entre fuentes aparecen inflados en todo momento porque rss y cyber-news llevan textos idénticos y porque ransomlook refleja ransomware.live.

Deep read: 490 artículos leídos

§4

Previsión

Pronósticos fechados y verificables. Evaluamos nuestro propio trabajo en público.

Today’s calls

DueWed 4 Nov4 days
Las publicaciones de Qilin en sitios de filtraciones caen por debajo de 15 reivindicaciones en cualquier día entre ransomware.live y ransomlook entre el 1 y el 4 de noviembre, lo que confirma que el día de 60 elementos fue un lote y no una campaña.
Wrong ifCualquier día de esa ventana muestra 15 o más reivindicaciones distintas de víctimas de Qilin.
Fuentes
f-2026-10-31-1
Confidence0.70
DueSat 7 Nov7 days
CVE-2026-118539, la elusión de autorización de Drupal Commerce Core ya notificada como explotada, se añade al catálogo KEV de la CISA antes del 7 de noviembre.
Wrong ifEl CVE sigue ausente de KEV el 7 de noviembre.
Fuentes
f-2026-10-31-2
Confidence0.50
DueSat 14 Nov14 days
Ningún organismo gubernamental ni agencia policial atribuye formalmente el robo de Binance a Corea del Norte en estas fuentes antes del 14 de noviembre; el vínculo con TraderTraitor sigue siendo una inferencia de analistas.
Wrong ifUna agencia gubernamental identificada atribuye públicamente el robo a actores de la RPDC antes de esa fecha.
Fuentes
f-2026-10-31-3
Confidence0.65

Scorecard

4 right · 1 partly

right
Public reporting of in-the-wild exploitation or a public proof of concept for the two Drupal critical RCEs appears by 1 November.
Called Mon 19 Oct · due Sun 1 Nov
Drupal Commerce Core flaw (CVE-2026-118539) confirmed exploited in the wild by Drupal and SecurityWeek; VulDB also flagged elevated Drupal targeting activity.
Fuentes
right
The Gentlemen post at least five new named victims to their leak site in a single day.
Called Thu 29 Oct · due Sun 8 Nov
On 30 October, The Gentlemen posted at least three named victims visible in ransomlook (Ined, CommTank, NOVADATA) — total visible on that day from ransomlook entries is at least 3, but checking all entries: Ined, CommTank, NOVADATA = 3, which is fewer than 5. However the due date is 8 November and the call remains open for future days.
partly
A public vendor or CERT report names a third distinct operator using PHP2Shell, beyond the suspected China-nexus actor and the Japanese real-estate extortion staging server.
Called Thu 29 Oct · due Mon 9 Nov
CISA warned of the Fragnesia Linux flaw being chained with PHP2Shell attacks, and one report named Palo Alto firewalls as a PHP2Shell target — these are additional operator/target contexts beyond the two originally known, but no vendor/CERT report explicitly names a third distinct PHP2Shell operator group; due date is 9 November.
Fuentes
right
Qilin leak-site items fall back below ten per day across the trackers, confirming the 29 October figure was a batch rather than a sustained operational surge.
Called Fri 30 Oct · due Mon 2 Nov
On 30 October Qilin posted at least 9 named victims (Innoe Asesores, iFink, Grupo Ciosa, Farmacia I, Light Rail Manila, Palletline, Societe Ivoirienne, Sistemas Visuales 360, Richland Resources, Honghwa International — 10 total), exceeding ten on a single day, falsifying the call.
Fuentes
right
Public exploitation detail or a working proof of concept for GitLab CVE-2026-97229 is reported in these feeds, beyond the Alpine Linux attempt.
Called Fri 30 Oct · due Mon 9 Nov
CISA added CVE-2026-97229 to KEV citing active exploitation, and SecurityWeek confirmed exploitation beyond just the Alpine Linux attempt.
Fuentes

Glosario de términos ante los que se espera que asientas

Editor de confianza (n.): Un campo en un mercado que registra que alguien, una vez, demostró quién era —antes de esta compilación, en un proceso que ningún humano ha vuelto a mirar desde entonces, y que se mantuvo durante aproximadamente once horas.

§5

Desde nuestro perímetro

Ataques en directo contra nuestros propios servidores en las últimas 24 horas. Sí, realmente los nuestros.

Nuestro propio perímetro perfiló 46 fuentes hostiles en las últimas 24 horas —27 rastreadores automáticos, 18 escáneres y un operador dirigido— que enviaron 4.567 solicitudes entre todos, de las cuales 24 pasaron del reconocimiento a intentos de explotación, y siete grupos de direcciones compartían una huella de comportamiento. La lista de la compra se ha actualizado a los tiempos: 35.241.202.92 recorrió /.aws/credentials y /.docker/laravel/app/.env y luego pidió, específicamente, /.env.anthropic, es decir, claves de API de modelos archivadas junto a claves de nube en la misma lista. La más ocupada fue 34.50.111.14, con 274 solicitudes y un ritmo sostenido de 156 por minuto, buscando /.git/config y archivos .env; la más hostil, con 7,7 sobre 10, fue 82.102.18.222, veinte solicitudes pacientes que llegaron al acceso a credenciales; ocho direcciones compartían el ADN dfef4501b216, una herramienta o un operador que rota IP. Dos direcciones probaron contra nosotros CVE-2017-9841, un exploit con nombre de un año que ya es lo bastante viejo como para tener opiniones. En todo el perímetro, 9.931 direcciones de 125 países, 6.620 de ellas vistas por primera vez hoy. Los registros en bruto nunca salieron del servidor.

46fuentes hostiles perfiladas

4.567solicitudes de ellas

24llegaron a la explotación

7clústeres de ADN compartido

7,7/10máxima hostilidad

9.931direcciones en nuestro perímetro

6.620vistas por primera vez hoy

125países

La lista WTF

WTF #1
Buscando sus claves de IA
35.241.202.92, un escáner (hostilidad 5,4/10), envió 122 solicitudes a uno de nuestros sitios, buscando /.aws/.env, /.aws/credentials.bak, /.docker/laravel/app/.env, /.aws/credentials.
Por qué es llamativoFue directo a por credenciales de IA: /.env.anthropic. Las claves de API de modelos figuran ya en la lista de la compra de los escáneres junto a las claves de nube.
attribution: desconocidoFri 30 Oct, 20:00 UTC
Detail
```
cadena de ataque: reconocimiento → militarización · ADN 18e39c4b41fb
```
WTF #2
El visitante más decidido
82.102.18.222, un operador dirigido (hostilidad 7,7/10), envió 20 solicitudes a uno de nuestros sitios, buscando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Por qué es llamativoLa mayor hostilidad del cuadro; su cadena de ataque llegó al acceso a credenciales.
attribution: desconocidoFri 30 Oct, 20:00 UTC
Detail
```
cadena de ataque: reconocimiento → militarización → explotación → acceso a credenciales · ADN 82a939927b85
```
WTF #3
Probando CVE-2017-9841 contra nosotros
2 direcciones enviaron 6 solicitudes con la forma de una explotación de CVE-2017-9841 (/vendor/phpunit/phpunit/…), entre ellas 45.148.10.64, 193.47.62.168.
Por qué es llamativoUn exploit conocido y con nombre que todavía se rocía por internet; nuestro perímetro lo vio hoy, diga lo que diga la nota del parche sobre el año.
attribution: desconocido
Detail
```
familia de sondeo: phpunit-rce
```
WTF #4
Mismo ADN, distintas direcciones
20.217.186.29, un escáner (hostilidad 6,7/10), envió 143 solicitudes a uno de nuestros sitios, buscando /wp-file.php, /222.php, /wp-admin/css/colors/modern/, /wp-admin/css/admin.php.
Por qué es llamativo8 IP comparten una misma huella de comportamiento (ADN dfef4501b216): una herramienta o un operador que rota direcciones: 20.217.186.29, 104.234.53.174, 104.234.53.151, 35.238.129.244, 20.53.249.197 y más.
attribution: desconocidoFri 30 Oct, 20:00 UTC
Detail
```
cadena de ataque: reconocimiento → militarización → explotación · ADN dfef4501b216
```
WTF #5
La lista de la compra más extraña
20.194.27.148, un escáner (hostilidad 6,4/10), envió 46 solicitudes a uno de nuestros sitios, buscando /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php.
Por qué es llamativoPidió archivos que casi nadie más pide: /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php, /rip.php.
attribution: desconocidoFri 30 Oct, 20:00 UTC
Detail
```
cadena de ataque: reconocimiento → militarización · ADN 83562bd8e880
```
WTF #6
Con prisa
34.50.111.14, un escáner (hostilidad 6,2/10), envió 274 solicitudes a 156 por minuto a uno de nuestros sitios, buscando /.git/config, /.env, /.env.local, /.env.production.
Por qué es llamativoLa fuente sostenida más rápida del día, con 156 solicitudes por minuto.
attribution: desconocidoFri 30 Oct, 20:00 UTC
Detail
```
cadena de ataque: reconocimiento → militarización · ADN 83562bd8e880
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

178claims, 7 days

35of 269 groups active

qilin37 this week · surging

Booba Project17 this week · surging

Whitearmor13 this week · new

SurgingBooba Project — 17 claims in 7 days against 2.3 expected from its own prior rate (p < 0.001)
Surgingrhysida — 8 claims in 7 days against 1.4 expected from its own prior rate (p < 0.001)
SurgingSilentRansomGroup — 8 claims in 7 days against 2.6 expected from its own prior rate (p = 0.006)
SurgingFalcon — 3 claims in 7 days against 0.4 expected from its own prior rate (p = 0.007)
Surgingeverest — 8 claims in 7 days against 2.7 expected from its own prior rate (p = 0.007)
Surgingaurora — 6 claims in 7 days against 1.8 expected from its own prior rate (p = 0.010)

Gone quiet: lynx (63 days), AiLock (66 days), abyss (66 days), blackwater (68 days).

Sector pressure, 30 days

UpTransportation — 2.4× its own prior share (74 claims, 31 expected)
UpEducation — 2.1× its own prior share (54 claims, 26 expected)
UpEnergy & Utilities — 1.5× its own prior share (37 claims, 24 expected)
UpHealthcare — 1.3× its own prior share (103 claims, 81 expected)

22% of claims carry no sector label.

Brand churn

Of the 231 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 62% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 212 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 11 — newest: Shiba (2026-10-29, 4 claims), everstake (2026-10-29, 4 claims), Whitearmor (2026-10-23, 16 claims).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 34% of its claims on Germany (6.7× every other brand's share); N0n put 34% of its claims on Transportation (7.4× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 64% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 199 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 39% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Acompañamientos

Herramientas gratuitas en directo. Sin registro, sin llamadas comerciales.

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§8

Colofón

Cómo se elaboró esta edición, sin rodeos.

La edición 34 fue elaborada por máquina y verificada por código. Se leyó íntegramente cada elemento publicado por 13 fuentes públicas de amenazas en las 24 horas previas a las 05:05 (hora del Reino Unido) (490 elementos): estadísticas calculadas en código, cada fragmento leído por Claude Sonnet, la estructura sintetizada por Claude Opus. Después, Claude Opus editó el periódico. Cada historia cita los elementos en los que se basa; las historias cuyas referencias no se resolvieron, o cuyas cifras no figuraban en sus fuentes, se descartaron antes de la publicación (0 hoy). Los pronósticos se califican en público en ediciones posteriores. «Desde nuestro perímetro» son datos de ataque en vivo de nuestros propios servidores. Costee de esta edición: 1,07 $. Está escrita por máquina con la voz de ScottG, autor de Everything Is Probably Fine, y nadie la ha editado a mano, lo que es o bien el objetivo o bien el problema.

490items read

24hour window

$1.07cost of this edition

05:05 UTCgenerated

Fuentes de esta mañana

NVD100ok
Security news99ok
Signal Atlas86ok
infosec.exchange68ok
RansomLook44ok
ransomware.live26ok
atlas24ok
RSS21ok
signal:ioc-family12ok
AlienVault OTX5ok
signal:kev2ok
CISA KEV2ok
Ransomware tempo · Ninja Signal graph1ok

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

El mayor robo de criptomonedas de la historia pasó por un portátil

KeyDrift no rompe su SD-WAN: copia las claves y espera

Once horas de editor de confianza bastaron

El modelo escribió el exploit, y el exploit funciona

Qilin publicó sesenta reivindicaciones en un día, y todos los rastreadores lo vieron dos veces

Tres maneras de perder criptomonedas que nada tienen que ver con el software de su monedero

El GCHQ no sabe dar cuenta de miles de dispositivos de almacenamiento de datos, y el organismo de control está decepcionado

La marca de ransomware de más rápido crecimiento esta semana se llama Booba Project

El estallido de Qilin es real, pero es una sola fuente, reflejada

Las etiquetas «fusión KEV × ransomware» no están respaldadas por ningún elemento

NVD enmudece tras un lote masivo de plugins de WordPress

SilentRansomGroup y leakeddata comparten momento e iniciales

Today’s calls

Scorecard

Glosario de términos ante los que se espera que asientas

La lista WTF

Buscando sus claves de IA

El visitante más decidido

Probando CVE-2017-9841 contra nosotros

Mismo ADN, distintas direcciones

La lista de la compra más extraña

Con prisa

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Fuentes de esta mañana