A Daily Field Report on Things That Are Probably Fine
No. 36·Lunes 2 Noviembre 2026·Publicado a las 06:00 UK·Indicador Fine 3/5: No está bien, pero es sobrevivible
Apertura · Vulnerabilidades
La CISA incluyó dos fallos de Ivanti en el catálogo. El ataque necesita tres
La CISA añadió el viernes dos fallos de Ivanti Connect Secure al catálogo de Vulnerabilidades Explotadas Conocidas tras detectarse su explotación activa, mientras que la intrusión notificada encadena tres de ellos para obtener acceso root sin autenticación.
confianza0.92
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) añadió el viernes dos vulnerabilidades de Ivanti Connect Secure a su catálogo KEV, tras detectarse su explotación en el mundo real. Una de ellas es CVE-2026-111357. Según los informes, los atacantes están encadenando tres fallos del producto para obtener acceso root sin autenticación en el dispositivo que su personal remoto utiliza para estar, en sentido arquitectónico, dentro.
Dos es una entrada de catálogo. Tres es un resultado. En la distancia entre ambas cifras vive todo nuestro sector: la lista KEV es un registro de fallos que se ha observado que se usan, no una descripción de lo que se hace con ellos, y una cadena no es la suma de sus eslabones, sino el camino más corto a través de ellos. Se pueden parchear dos y disfrutar del cálido resplandor de un ticket cerrado mientras el camino sigue abierto, el tipo de aritmética que un modelo de madurez está diseñado precisamente para no advertir.
Se añadió un viernes, porque siempre es viernes. En algún lugar, un equipo que había planeado un fin de semana tranquilo lee ahora las notas de versión de un dispositivo que termina todas las sesiones del edificio, y la versión honesta de su informe de estado no es «parcheado», sino «parcheado y ahora leyendo los registros del revés con mal presentimiento». La pregunta correcta esta mañana no es si aplicó la actualización. Es si el root ya estaba allí cuando lo hizo.
Por qué importaSi ejecuta Ivanti Connect Secure, parchear es el suelo: asuma que hubo root antes del parche y busque en los registros de autenticación y de sesión, porque un dispositivo que termina todas las sesiones remotas es también el mejor lugar desde el que vigilarlas.
Una cadena de vulnerabilidades no son tres fallos. Es un solo fallo que tardó tres ciclos de publicación en terminar de montarse, y el fabricante entregó todas las piezas.
— Sturgeon's Revelations · Probably Fine Daily No. 36
Cada mañana06:00 UK
Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.
Un correo al día. El periódico completo. Cancela la suscripción con un clic.
§2
Principales noticias
El resto de las últimas 24 horas, con fuentes.
Ransomware
Qilin publicó diez víctimas en domingo sin despeinarse
Entre las 00:39 y las 17:33 del 1 de noviembre, Qilin reclamó diez organizaciones identificadas: empresas de servicios profesionales y de comercio minorista en Alemania, una consultora en Austria, un taller húngaro de reparación de material ferroviario (BKV Vasúti Járműjavító Kft), un fabricante japonés (Shibata Co., Ltd.), dos empresas estadounidenses de servicios profesionales, una sociedad holding de transporte de mercancías y logística, y fzmb GmbH, un centro alemán de investigación en tecnología médica y biotecnología. Las reclamaciones se replicaron en un segundo rastreador en cuestión de horas, y la capa de modelización marcó debidamente a Qilin como en escalada en Manufactura, Transporte, Servicios Profesionales, Comercio minorista y Sanidad, con una discreta nota de enfriamiento para Gobierno y Educación a medianoche. Nuestra lectura en profundidad cuenta 45 elementos de Qilin el 01-11 frente a una mediana de ocho en los demás días, aunque parte de ese volumen es el mismo suceso llegando cuatro veces por cuatro fuentes.
Por qué importaLa ingeniería del transporte, la investigación en tecnología médica y los servicios profesionales de tamaño medio en la región DACH están siendo atacados por lotes; si es su caso, la cuestión es el movimiento lateral desde una red de copias de seguridad o de gestión, no si es usted lo bastante grande como para resultar interesante.
El FBI ha puesto nombre al mayor robo de criptomonedas jamás registrado, y el nombre tiene otros cinco
El FBI, junto con socios estadounidenses, atribuyó formalmente el robo de más de 6.000 millones de dólares en activos virtuales de Binance a TraderTraitor, un grupo alineado con Corea del Norte también conocido como Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces y UNC4899; un informe cifra el importe en 6.430 millones de dólares y otro en 6.300 millones, y ambos lo describen como el mayor robo de criptomonedas jamás registrado. La atribución circuló primero en cyber-news, llegó a los canales generalistas de seguridad unas 12,9 horas después y solo entonces apareció como nodo de actor de amenazas en la capa de señales, unas 22 horas después de la noticia, lo que indica que la base de datos de actores está aguas abajo del periodismo y no a su lado.
Por qué importaLa atribución no es recuperación ni es un control; si posee o intermedia activos digitales, el dato operativamente útil es que el grupo que ha fijado el récord es el mismo que su modelo de amenazas lleva archivando bajo seis etiquetas distintas.
Chainalysis reveló una brecha que atribuye a «técnicas agénticas ofensivas», que expuso nombres de clientes, direcciones de correo electrónico, identificadores de usuario y roles organizativos; el marco de hacking con IA de código abierto ARTEX se ha extendido a otro grupo vinculado a China y se asocia tanto con espionaje como con campañas de motivación financiera; e investigadores de Parameter demostraron que un enlace malicioso para compartir ChatGPT podía ejecutar código del atacante en la sesión de cualquiera que lo abriera y leer sus conversaciones privadas, lo que se notificó a través del programa de recompensas por errores de OpenAI. En el otro lado de la balanza, los informes de vulnerabilidades generados por IA están desbordando ya algunos programas de recompensas por errores, lo que dificulta que los nuevos investigadores encuentren un punto de apoyo, y Anthropic ha publicado una nota que investiga tres incidentes en sus propias evaluaciones de ciberseguridad.
Por qué importaTrate un enlace compartido de conversación de IA como contenido ejecutable y las claves de API de un proveedor de IA como credenciales de producción, porque hoy ambas suposiciones sostienen algo en algún rincón de su infraestructura.
Cuatro dieces antes del desayuno, y el consejo de un fabricante es «compre otro dispositivo»
LXD y MicroCloud de Canonical presentan un fallo con CVSS 10.0 que permite a un atacante autenticarse como cliente de confianza sin poseer la clave privada de ese cliente, y le basta con alcanzar por red la API HTTPS y conocer el certificado público del cliente de confianza. El WN536AX6-A de WAVLINK tiene CVE-2026-120279, una inyección remota de comandos del sistema operativo con CVSS 10 a través del manejador openvpn_cli y con exploit público, y el Linksys E8450 acaba de recibir su segundo CVSS 10.0 en el mismo archivo CGI con dieciséis meses de diferencia: CVE-2026-120283, un desbordamiento de strcpy sin autenticación en portal.cgi mediante hidden_timezone, sin parche indicado y con la remediación declarada por VulDB de sustituir el dispositivo. Por debajo, ClickHouse Server presenta una ejecución remota de código sin autenticación (CVE-2026-116366), Teltonika RUTOS y TSWOS permiten a llamantes no autenticados invocar directamente funciones LUA y llegar a comandos del sistema operativo (CVE-2026-82104), y el Intelligent Connection Center de Dahua tiene una RCE sin autenticación (CVE-2025-31704). Ningún elemento vincula todavía a ninguno de ellos con un actor identificado.
Por qué importaTodos son caminos previos a la autenticación hacia sistemas situados en el perímetro o bajo la capa de orquestación; empiece por el inventario, porque la respuesta para el Linksys es de adquisiciones, no de parcheo.
KeyDrift se instala en el controlador y lee las claves antes de que lo haga el túnel
KeyDrift es un malware dirigido a controladores Cisco SD-WAN comprometidos mediante CVE-2026-20127, que intercepta claves IPsec y toma el control del tráfico de red; el único vínculo con Volt Typhoon en las fuentes de hoy es una etiqueta (hashtag) en la publicación que lo difunde, lo cual no es atribución. Por separado, Kaspersky detalló NetamLoader, una cadena de inyección AppDomainManager en .NET contra una compilación personalizada de Windows 10 utilizada exclusivamente por entidades gubernamentales de Asia, en la que se deposita un archivo .config malicioso junto a componentes legítimos de Patch My PC en SoftwareDistribution\Download, probablemente mediante un compromiso de la cadena de suministro, sin ofrecer atribución. Entretanto, la capa de indicadores registró 179 indicadores nuevos de Mirai, 158 de SalatStealer, 140 de Mozi, 21 de RustyStealer y 17 de SilentNet, sin una línea de base en esta ventana que permita saber si algo de ello es inusual.
Por qué importaSi sus túneles terminan en un controlador SD-WAN, ese controlador es custodio de claves y debe vigilarse como tal; y un cargador que vive junto a un agente de parches legítimo superará cualquier inspección a simple vista.
El JavaScript de otro vendió la posición de un operador
El 29 de octubre, código malicioso en el sitio web del mercado de predicciones Polymarket vendió las posiciones de algunos operadores con sesión iniciada y transfirió los fondos a los atacantes; el código había sustituido un script de velocidad de página que el sitio cargaba de una empresa externa, DebugBear, y Polymarket afirma que reembolsará unos 2,7 millones de dólares. En la misma ventana, la plataforma de alojamiento en la nube Northflank pidió a sus clientes que rotaran todas las credenciales y secretos tras una brecha que provocó el uso no autorizado de sus claves de API de IA, y Alpine Linux reconstruyó su servidor GitLab y restableció todas las contraseñas tras un intento de explotación de una vulnerabilidad crítica de GitLab los días 20 y 21 de octubre.
Por qué importaTodo script de terceros en una página autenticada se ejecuta con los privilegios de sus usuarios; inventaríe qué cargan sus páginas y de quién, y haga de la rotación de claves algo que ha practicado y no algo sobre lo que leerá.
Cuarenta y un grupos, 240 reclamaciones, y los recién llegados son los que hay que vigilar
El ritmo semanal del ransomware muestra 240 reclamaciones en sitios de filtraciones publicadas por 41 de los 269 grupos rastreados, con tres repuntes estadísticamente significativos: Booba Project con 17 reclamaciones frente a las 2,29 esperadas según su propio ritmo anterior, thegentlemen con 50 frente a 24,97 y SilentRansomGroup con 11 (todos con p < 0,001). Whitearmor, por su parte, reclamó una instancia de AmplifAI perteneciente a GoDaddy y publicó junto a ella la URL de SSO de Okta, el ID de la aplicación de Okta y los detalles de federación de Office 365, y fue señalado como en escalada en Tecnología y en EE. UU. unas 9,9 horas después. En otros tablones, byod reclamó los datos personales completos de 1,03 millones de estudiantes actuales y antiguos de la Universidad Estatal de Míchigan y Xyrsober reclamó una copia de 2026 del registro de identidad RENIEC de Perú con unos 31 millones de registros; ambas siguen siendo reclamaciones sin verificar por ahora.
Por qué importaEl dieciséis por ciento de los grupos rastreados hizo toda la actividad de publicación de esta semana, de modo que una lista de vigilancia corta vale más que una larga; y si una reclamación de intrusión viene acompañada de los ID de aplicación de su proveedor de identidad, empiece por la federación, no por el endpoint.
La estación de carga cuya contraseña está impresa en la estación de carga
Las estaciones de carga Delta UFC500 derivan la contraseña predeterminada de la cuenta Service a partir de posiciones de caracteres del número de serie del dispositivo, de modo que un atacante sin autenticación con acceso a la red adyacente puede reconstruirla o simplemente agotar el espacio de claves (CVE-2026-22105). La base de datos de plantillas de la interfaz web incluida conserva además los valores de fábrica en texto claro para los cinco tipos de cuenta, idénticos en todos los dispositivos y sin cambios en la unidad probada (CVE-2026-22109); el servidor web no comprueba autenticación en POST ni PUT, lo que permite un reinicio sin autenticación y, mediante fuerza bruta del configid, establecer la contraseña de servicio y luego cualquier otro ajuste (CVE-2026-22110); y la autenticación básica HTTP no impone límite de intentos ni retardo, lo que según el aviso hace que el espacio de claves sea agotable (CVE-2026-22114). Por separado, y lo mencionamos solo porque lo hizo la fuente, un usuario de Mastodon anunció que había programado «por vibración» (vibe-coded) una implementación de sshd en Rust y preguntó si debía desplegarla hoy en producción.
Por qué importaTrate la infraestructura de recarga de vehículos eléctricos como una red de gestión sin autenticación con un coche conectado, y manténgala alejada de cualquier cosa que importe.
La lectura en profundidad del día: lo que hay bajo los titulares, no encima de ellos.
Bajo las fuentes, la mayor parte del volumen de hoy es calendario de publicación y salida de modelos disfrazados de actividad atacante.
Exception 01
La ráfaga de Qilin es real, pero está inflada por la replicación
Los elementos de Qilin saltan a 45 el 1 de noviembre frente a una mediana de ocho en los demás días, y es la única entidad que aparece en cuatro fuentes distintas. Diez reclamaciones de víctimas distintas en DE, AT, HU, JP y EE. UU. se publicaron en unas diecisiete horas y se replicaron en un segundo rastreador con un retraso aproximado de 11,8 horas respecto al primero, con historias de escalada modelizadas superpuestas. El ritmo operativo es alto; el recuento de elementos lo exagera.
confianza0.70
Wrong if
La ráfaga resulta ser en su mayoría elementos de señal modelizados con pocas publicaciones distintas en sitios de filtraciones el 01-11.
Watch
Publicaciones de víctimas de Qilin en las próximas 48 a 72 horas, especialmente en sanidad, transporte y Alemania.
La base de datos de actores está aguas abajo de la agencia de noticias
TraderTraitor apareció primero en cyber-news, en las fuentes más amplias 12,9 horas después y como nodo de actor de amenazas 22 horas más tarde. El nodo del Syrian Electronic Army se retrasó 42 horas respecto a su noticia, y FrostyNeighbor llegó en el mismo lote. Estos nodos parecen extraídos de la información periodística, no una corroboración independiente, y no deben contarse como una segunda fuente.
confianza0.65
Wrong if
El origen de los datos muestra que los nodos de actores se crearon antes de las noticias y con independencia de ellas.
Watch
Si el análisis en cadena o el de los proveedores corrobora o revisa la cifra y la ruta de blanqueo.
Los parches incompletos son el patrón más fiable de hoy
Varias de las CVE de hoy son regresiones o correcciones parciales: Gravity Forms pasando valores a la función maybe_unserialize() sin restricciones de WordPress en lugar de a su propia versión reforzada, Enable Media Replace reintroduciendo la inyección de objetos, el filtrado de CRLF de CakePHP descrito como corrección incompleta de CVE-2026-77634, y un backport incompleto de la corrección de CVE-2026-46099 que deja un desequilibrio de local_bh en los kernels de RHEL 9. La búsqueda de elusiones en parches recientes es la investigación ofensiva más barata que existe.
confianza0.55
Wrong if
Los casos resultan ser coincidencia, o ventanas anteriores muestran a los mismos fabricantes incurriendo en regresiones al mismo ritmo.
Watch
CVE posteriores contra los mismos cuatro productos en las próximas dos semanas.
La explotación de Ivanti y de Cisco aún no tiene actor asignado
Las incorporaciones al KEV, las RCE previas a la autenticación en Teltonika, ClickHouse y Dahua, y las historias de fusión modelizada KEV-ransomware coinciden en el tiempo, pero ningún elemento vincula la explotación de Ivanti con un grupo identificado, y el vínculo de Cisco SD-WAN con Volt Typhoon se apoya en una sola etiqueta (hashtag). Quien informe hoy a un consejo de administración sobre «quién» está rellenando un hueco en blanco.
confianza0.40Speculative
Wrong if
Un aviso de un fabricante o de la CISA vincula la explotación de Ivanti o de Cisco SD-WAN con un actor identificado o un afiliado de ransomware.
Watch
Avisos de fabricantes y de la CISA que nombren a un actor en cualquiera de las dos cadenas.
Nothing to seeNo hay ningún agrupamiento temporal. La fuente NVD aportó 100 elementos y luego enmudeció tras las 00:18 del 01-11, y los agrupamientos diarios en torno a Gravity Forms, ProFTPD, Elixir y Dell OpenManage son publicación por lotes a las 06:16 y a las 12:16, no algo coordinado. La gran ráfaga de escalada de thegentlemen se generó en una sola ejecución a las 11:50 del 31-10 sin reclamaciones de víctimas detrás en esta ventana, lo que es salida de modelo, no actividad real. Los recuentos de indicadores no tienen aquí línea de base, de modo que 179 indicadores de Mirai es una cifra, no una anomalía. Y la publicación de Mastodon que pregunta «what if rogue ai stole 6 billion dollar» es casi con certeza una persona leyendo el titular de Binance a las cuatro de la madrugada.
Deep read: 284 artículos leídos
§4
Previsión
Pronósticos fechados y verificables. Evaluamos nuestro propio trabajo en público.
Today’s calls
DueCallConfidence
DueMon 9 Nov7d
Qilin publica al menos cinco víctimas identificadas adicionales en su sitio de filtraciones, replicadas en al menos un rastreador, antes del 2026-11-09.
Wrong ifAparecen menos de cinco nuevas reclamaciones de víctimas distintas de Qilin en ransomware.live y ransomlook entre el 2026-11-02 y el 2026-11-09.
El recuento móvil de reclamaciones de Booba Project en siete días cae por debajo de 17 en el informe de ritmo del 2026-11-09, tras haber sido ya calificado como en enfriamiento en todos sus sectores.
Wrong ifEl informe de ritmo del 2026-11-09 muestra a Booba Project con 17 o más reclamaciones en los siete días anteriores.
Ningún aviso público de un fabricante ni de la CISA vincula la cadena de explotación de Ivanti Connect Secure con un actor de amenazas o grupo de ransomware concreto antes del 2026-11-12.
Wrong ifLa CISA, Ivanti o un fabricante importante nombra a un actor detrás de la cadena CVE-2026-111357 el 2026-11-12 o antes.
At least three of N0n's five placeholder listings (Company #99 to #103) are replaced by named victims on ransomware.live or ransomlook.
Called Thu 22 Oct · due Sun 1 Nov
The 1 November due date has passed. No item shows N0n placeholders (Company #99 to #103) replaced by named victims.
open
At least one of N0n's anonymised 'Company #104' to '#109' entries is replaced by a named victim on ransomware.live or ransomlook.
Called Fri 23 Oct · due Mon 2 Nov
2 November is the due date and has not ended. No item mentions N0n or Company #104 to #109.
partly
Qilin leak-site postings fall back to fewer than 15 claims on any single day across ransomware.live and ransomlook between 1 and 4 November, confirming the 60-item day was a batch rather than a campaign.
Called Sat 31 Oct · due Wed 4 Nov
Roughly 10 Qilin claims were posted on ransomware.live on 1 November, below 15. The window runs to 4 November, so a later day could still reach 15 or more.
No government body or law enforcement agency formally attributes the Binance theft to North Korea in these feeds by 14 November; the TraderTraitor link stays an analyst inference.
Called Sat 31 Oct · due Sat 14 Nov
On 1 November the FBI officially attributed the Binance theft to North Korea's TraderTraitor, before the 14 November deadline.
Glosario de términos ante los que se espera que asientas
Técnicas agénticas ofensivas(n.)
la misma intrusión del año pasado, ejecutada por algo que no se cansa, no se aburre y no necesita una tarifa diaria; antes conocido como script, antes de que el script adquiriera iniciativa y un comunicado de divulgación.
§5
Desde nuestro perímetro
Ataques en directo contra nuestros propios servidores en las últimas 24 horas. Sí, realmente los nuestros.
Nuestro propio perímetro tuvo una noche normal, que es lo inquietante. En 24 horas, el sensor local perfiló 62 fuentes hostiles —42 escáneres, 13 rastreadores de bots, cuatro operadores dirigidos, dos atacantes de fuerza bruta— que enviaron entre todas 10.371 solicitudes; 13 de ellas pasaron del reconocimiento a intentos reales de explotación, y cinco grupos de direcciones compartían una huella de comportamiento, incluida una herramienta u operador que rotaba entre 13 IP bajo el ADN dfef4501b216. De las 5.712 direcciones vistas en el perímetro desde 110 países, 2.566 eran nuevas hoy. El visitante más activo, 44.249.143.106, envió 334 solicitudes a 52 por minuto a dos de nuestros sitios pidiendo /.git/config y cuatro variantes de .env, y la coincidencia de campaña más segura del sensor en el día lo identificó en un 62% como un escáner de enumeración de secretos. Otra lanzó 122 solicitudes en unos 1,2 segundos, todas de archivos de credenciales de AWS y Docker, lo que no es una persona ni lo ha sido nunca. Una dirección envió seis solicitudes con la forma de CVE-2024-4577 a un /index.php que no existe, porque sigue saliendo más barato rociar el exploit que retirarlo. Los registros en bruto nunca salieron del servidor; solo lo hicieron estos hallazgos. Nada de ello iba dirigido contra nosotros, y todo habría funcionado contra alguien.
62fuentes hostiles perfiladas
10.371solicitudes de las mismas
13llegaron a la explotación
5clústeres de ADN compartido
8,3/10máxima hostilidad
5.712direcciones en nuestro perímetro
2.566vistas por primera vez hoy
110países
La lista WTF
WTF #1
El visitante más decidido
132.196.59.85, un escáner (hostilidad 6,7/10), envió 130 solicitudes a uno de nuestros sitios, buscando /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /3PJcpMFsD8B_261013034223.php, /pw.php.
Por qué es llamativoLa mayor hostilidad del tablero; su cadena de ataque alcanzó la fase de armamento.
attribution: desconocidoMon 2 Nov, 02:00 UTC
Detail
cadena de ataque: reconocimiento → armamento · ADN dfef4501b216
WTF #2
Mismo ADN, distintas direcciones
34.176.200.106, un escáner (hostilidad 6,3/10), envió 277 solicitudes a 271 por minuto a uno de nuestros sitios, buscando /.git/config, /.env, /.env.local, /.env.production.
Por qué es llamativo13 IP comparten una misma huella de comportamiento (ADN dfef4501b216): una herramienta o un operador que rota direcciones: 216.73.161.156, 2001:41d0:601:2000::166e, 34.6.113.19, 92.222.24.199, 45.92.229.15 y más.
attribution: desconocidoMon 2 Nov, 02:00 UTC
Detail
cadena de ataque: reconocimiento → armamento · ADN dfef4501b216
WTF #3
Probando CVE-2024-4577 contra nosotros
1 dirección envió 6 solicitudes con la forma de una explotación de CVE-2024-4577 (/index.php), entre ellas 109.238.86.65.
Por qué es llamativoUn exploit conocido y con nombre que sigue rociándose por internet; nuestro perímetro lo vio hoy, diga lo que diga las notas del parche sobre el año.
attribution: desconocido
Detail
familia de sondeo: webshell
WTF #4
La lista de la compra más extraña
20.211.122.120, un escáner (hostilidad 6,4/10), envió 46 solicitudes a uno de nuestros sitios, buscando /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php.
Por qué es llamativoPidió archivos que casi nadie más pide: /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php, /rip.php.
attribution: desconocidoMon 2 Nov, 02:00 UTC
Detail
cadena de ataque: reconocimiento → armamento · ADN 83562bd8e880
WTF #5
Con prisa
34.77.241.117, un escáner (hostilidad 5,4/10), envió 122 solicitudes a uno de nuestros sitios, buscando /.aws/.env, /.aws/credentials.bak, /.docker/config.json, /.docker/laravel/app/.env.
Por qué es llamativoLanzó 122 solicitudes en unos 1,2 segundos.
attribution: desconocidoMon 2 Nov, 02:00 UTC
Detail
cadena de ataque: reconocimiento → armamento · ADN 18e39c4b41fb
WTF #6
Alguien que quizá conozcamos
44.249.143.106, un escáner (hostilidad 6,6/10), envió 334 solicitudes a 52 por minuto a 2 de nuestros sitios, buscando /.git/config, /.env, /.env.local, /.env.production.
Por qué es llamativoLa coincidencia de campaña más segura del sensor en el día: escáner de enumeración de secretos (compatible con Nuclei o herramientas a medida) al 62%.
attribution: Escáner de enumeración de secretos (compatible con Nuclei o herramientas a medida) (mejor coincidencia del sensor, 62%)Mon 2 Nov, 02:00 UTC
Detail
cadena de ataque: reconocimiento → armamento · ADN 5941231fc8fa
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
240claims, 7 days
41of 269 groups active
thegentlemen50 this week · surging
qilin28 this week
Booba Project17 this week · surging
SurgingBooba Project — 17 claims in 7 days against 2.3 expected from its own prior rate (p < 0.001)
Surgingthegentlemen — 50 claims in 7 days against 25.0 expected from its own prior rate (p < 0.001)
SurgingSilentRansomGroup — 11 claims in 7 days against 2.5 expected from its own prior rate (p < 0.001)
Surgingrhysida — 8 claims in 7 days against 1.4 expected from its own prior rate (p < 0.001)
Surginggenesis — 10 claims in 7 days against 2.3 expected from its own prior rate (p < 0.001)
Surgingeverest — 8 claims in 7 days against 2.7 expected from its own prior rate (p = 0.006)
UpTransportation — 2.1× its own prior share (71 claims, 34 expected)
UpEducation — 2.0× its own prior share (55 claims, 27 expected)
UpHealthcare — 1.2× its own prior share (107 claims, 88 expected)
DownAgriculture and Food Production — 0.7× its own prior share (23 claims, 34 expected)
23% of claims carry no sector label.
Brand churn
Of the 231 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 62% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 213 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 11 — newest: Shiba (2026-10-29, 5 claims), everstake (2026-10-29, 5 claims), Whitearmor (2026-10-23, 19 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.2× every other brand's share); N0n put 33% of its claims on Transportation (7.4× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.0× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 196 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 33% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.
Un correo al día. El periódico completo. Cancela la suscripción con un clic.
§8
Colofón
Cómo se elaboró esta edición, sin rodeos.
La edición 36 fue hecha por una máquina y revisada por código. Se leyó íntegro cada elemento publicado por 11 fuentes públicas de amenazas en las 24 horas hasta las 05:05 (hora del Reino Unido) (284 elementos): estadísticas calculadas en código, cada porción leída por Claude Sonnet y la estructura sintetizada por Claude Opus. Después, Claude Opus editó el periódico. Cada noticia cita los elementos en los que se apoya; las noticias cuyos justificantes no se resolvían, o cuyas cifras no estaban en sus fuentes, se descartaron antes de publicar (0 hoy). Los pronósticos se califican públicamente en ediciones posteriores. «Desde nuestro perímetro» son datos de ataques en vivo de nuestros propios servidores. Costee de esta edición: 0,00 $. Está escrita por una máquina con la voz de ScottG, autor de Everything Is Probably Fine, y nadie la ha editado a mano, lo que es o bien el objetivo o bien el problema.
284items read
24hour window
$0.00cost of this edition
05:05 UTCgenerated
Fuentes de esta mañana
NVD100ok
Signal Atlas48ok
infosec.exchange37ok
atlas27ok
Security news22ok
ransomware.live17ok
RansomLook17ok
signal:ioc-family9ok
RSS3ok
signal:actor3ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 284|SOURCES: 11|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.00|STATUS: NO ESTÁ BIEN, PERO ES SOBREVIVIBLE
OWNER: la máquina|EDITOR: las normas|CALLS OPEN: 3|NEXT REVIEW: mañana 06:00 UK