Apertura · Vulnerabilidades

Los dos extremos del cable de soporte remoto fallaron el mismo día

ConnectWise desactivó cinco extensiones de ScreenConnect después de que clientes fraudulentos llegaran a 288 equipos de 48 organizaciones y, en cuestión de aproximadamente un día, N-able retiró de línea el N-central alojado por más de 30 vulnerabilidades de día cero publicadas abiertamente.

confianza 0.88

Así están las cosas. ConnectWise investiga una campaña activa en la que se utilizaron entornos de ScreenConnect comprometidos para enviar clientes de acceso remoto fraudulentos a los dispositivos de sus clientes, con una carga que Huntress denomina SCKit; la cifra hasta ahora es de al menos 288 equipos en 48 organizaciones, y ConnectWise ha desactivado cinco extensiones de terceros en los entornos de sus socios, al tiempo que afirma que no hay indicios de que su propia infraestructura haya sido comprometida. Por separado, y con apenas un día de diferencia, N-able retiró de línea entornos de N-central alojados y distribuyó parches urgentes después de que un investigador publicara durante el fin de semana vulnerabilidades de día cero —más de treinta, treinta y tres según el recuento de Dark Reading—, aptas para la ejecución remota de código, el robo de credenciales y la creación de cuentas de administrador.

Los mecanismos no son los mismos. Uno es el abuso de un modelo de extensiones que funcionaba exactamente como estaba diseñado; el otro es un cúmulo de vulnerabilidades que no lo hacían. Así que no voy a decirles que se trata de una única oleada coordinada, porque desde aquí no puedo verlo. Lo que sí les diré es que ambos productos existen por la misma razón: alguien, en algún lugar, necesita llegar a mil máquinas que nunca ha tocado físicamente, y eso es una capacidad, no una categoría de producto. La capacidad es el objetivo. Siempre lo fue.

Existe una versión de este incidente en la que no es culpa de nadie: software con soporte, herramientas legítimas, una relación con el proveedor contractual, asegurada y con un logotipo en su página web. Esa versión es la ontológicamente incómoda, porque significa que en la cronología no hay ningún momento de negligencia que señalar. Ustedes compraron la capacidad de ejecutar comandos en todo. Ahora otro la está ejerciendo.

Por qué importaSi tienen un MSP, su radio de impacto hoy es el historial de sesiones de este: busquen clientes y extensiones de ScreenConnect inesperados, y traten cualquier equipo N-central expuesto a internet durante el fin de semana como comprometido mientras no se demuestre lo contrario.

Fuentes

Today’s revelation

La gestión remota es una puerta que uno instala por su cuenta en su propio muro y cuya llave entrega luego a una cadena de suministro cuya política de contratación nunca ha leído.

— Sturgeon's Revelations · Probably Fine Daily No. 46

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§2

Principales noticias

El resto de las últimas 24 horas, con fuentes.

Vulnerabilidades

La CISA añade a su catálogo KEV Cisco BroadWorks y un transcodificador de Openwave, ambos ya parcheados

La CISA añadió el martes dos fallos al catálogo de vulnerabilidades explotadas conocidas (KEV): CVE-2026-20320 en Cisco BroadWorks, una restricción indebida de referencias a entidades externas XML con una puntuación CVSS de 7.5, y CVE-2026-111793 en Openwave Messaging Webtop Media Transcoder; ambos se utilizan para filtrar información sensible, incluidos datos de configuración. Existen parches para los dos. Junto a ellos, la CISA incluye como explotado el fallo de Outlook CVE-2026-124194, añadido el 10 de noviembre, con CVSS 6.5, accesible a través de la red, sin necesidad de autenticación y dispuesto a entregar hashes de autenticación NTLMv2 a un destino controlado por el atacante si alguien abre el archivo.

Por qué importaTres elementos explotados con correcciones de los fabricantes disponibles: BroadWorks y el transcodificador de Openwave son la fontanería telefónica poco glamurosa de la que nadie se responsabiliza, y Outlook es de todos, lo cual es peor.

confianza 0.92

Fuentes

Vulnerabilidades

El Patch Tuesday fue de 1.235, o 1.259, o 1.260, o 1.093, según quién contara

La publicación de noviembre de Microsoft fue contabilizada como 1.235 fallos por BleepingComputer, 1.259 por The Hacker News, 1.260 por el SANS Internet Storm Center y 1.093 o «casi 1.100» por SecurityWeek, Cyberscoop y Krebs; el número de críticos se sitúa en 68 según SANS y 63 según Krebs, y SANS señala que 167 del total son problemas de Chromium en Edge. SAP fue parcheado con 35 vulnerabilidades según BleepingComputer y 42 avisos, nueve de ellos críticos, según SecurityWeek, con acuerdo general en los cuatro fallos con CVSS 10.0 en NetWeaver y Web Dispatcher. Después Adobe corrigió 110 en nueve productos, Fortinet cerca de 100 tras integrar modelos de IA de frontera en sus pruebas de seguridad de producto, y Zoom publicó una corrección para CVE-2026-108186, con CVSS 9.6, una escalada de privilegios sin autenticación a través de la red. Las discrepancias obedecen a métodos de recuento, no a una conspiración.

Por qué importaLa cifra de la diapositiva no es una señal de riesgo; los cuatro fallos de SAP con CVSS 10.0 y el error de Outlook explotado sí lo son, y tienen el mismo tamaño este mes que el mes pasado.

confianza 0.85

Fuentes

IA y seguridad

Una herramienta de pentest con agentes leyó un web.config y se fue de compras a AWS

ARTEX, un marco de penetración nativo de IA, fue observado en octubre atacando entornos de AWS en busca de datos financieros; su bifurcación AntiFox se aloja ahora por cuenta propia en Alibaba Cloud y se usa contra servicios web y AWS, y Arctic Wolf informa de webshells en IIS, abuso de credenciales válidas de AWS y solicitudes exitosas a Secrets Manager. Una de las intrusiones descritas es casi tediosamente procedimental: atacar un servidor IIS, analizar el web.config, tomar las credenciales de AWS que contiene, llamar a 18 servicios en 30 minutos, recibir AccessDenied en casi todos y GetSecretValue en un secreto de producción. Dark Reading cuenta 45 herramientas de pruebas de penetración similares aún capaces de ataques de credenciales e intrusiones en la nube a velocidad de máquina. Aquí no hay CVE ni nada que parchear.

Por qué importaEl muro de denegaciones no es un ataque repelido, sino una enumeración gratuita y veloz de su perímetro de permisos, de modo que el control son el IAM de mínimo privilegio y las alertas ante ráfagas masivas de AccessDenied, no la bandeja de entrada.

confianza 0.82

Fuentes

IA y seguridad

Cuatro proveedores de IA y nube perdieron secretos ajenos en la misma ventana

Un actor de amenazas utilizó credenciales IAM de la cuenta de AWS de Qubole para asumir roles de integración en entornos de clientes entre el 14 y el 26 de octubre, afectando a más de una docena de organizaciones y llevándose archivos, secretos, claves y variables de entorno. Fireworks AI amplió su incidente de octubre para abarcar datos de cuenta y facturación, secretos, conjuntos de datos y modelos incompletos de un número limitado de cuentas, lo que explica que Notion divulgara la exposición de transcripciones de chats de IA en menos del 1 % de sus espacios de trabajo. Railway afirma que los secretos de autenticación de clientes robados generaron unos 740.000 dólares de uso fraudulento de IA, con hasta 100.000 espacios de trabajo potencialmente afectados, y ha dicho que asumirá los cargos cuando un proveedor no los reembolse; OpenRouter se ha negado. NEAR AI, por su parte, perdió la ejecución de código en un servidor de inferencia por una RCE en SGLang, que afectó a datos de 18 agentes y unas 100 cuentas de usuario.

Por qué importaSus claves de API de modelos tienen ahora el radio de impacto de las credenciales raíz de la nube y ninguna de la disciplina de rotación, porque nadie diseñó un ciclo de vida de claves para algo que hace seis meses era un hackatón.

confianza 0.86

Fuentes

Ransomware

N0n publica al triple de su propio ritmo, y dos bandas vaciaron su carpeta de borradores

La lectura de ritmo de Ninja Signal para hoy cuenta 291 reivindicaciones en sitios de filtraciones en siete días procedentes de 49 de los 277 grupos monitorizados, con N0n en 94 reivindicaciones frente a 28,0 esperadas según su propio ritmo previo, e interlock en 12 frente a 1,25, ambos con p inferior a 0,001. Por debajo, dos editores en ráfagas dominaron la ventana: the gentlemen publicó unas dos docenas de víctimas, entre ellas Esri South Africa, United Pharmacy y la National Investments Company de Kuwait, y Curious Worm publicó un lote de dominios estadounidenses de sanidad y servicios profesionales que ransomware.live recogió entre 2,1 y 2,2 horas antes que ransomlook. Por otra parte, Krebs sitúa a Qilin en al menos 365 organizaciones víctimas reivindicadas en los últimos tres meses.

Por qué importaEl volumen de los sitios de filtraciones es una cadencia de publicación, no una cadencia de ataques; la señal sobre la que actuar es qué grupo está realmente en auge, y hoy son N0n e interlock.

confianza 0.80

Fuentes

Ransomware

A quienes llamarían ustedes por esto no contestan, y Maersk lidia con un sistema heredado

NBC News informa de que algunas de las principales empresas de ciberseguridad de EE. UU. rechazan a nuevos clientes que buscan ayuda de emergencia, y Sophos afirma que otras firmas de DFIR le han pedido apoyo para absorber el exceso cuando sus equipos alcanzan su capacidad; los profesionales sobre el terreno describen las condiciones como horribles en este momento y aseguran que, si no se tiene plan ni contrato de retención, es improbable recibir ayuda. Una de las personas que responden a incidentes opina que buena parte es asistida por IA, pero que el acceso inicial desde luego no es sofisticado: son los trapos sucios de todo el mundo aireándose a la vez, y la seguridad por oscuridad muriendo. En ese contexto, Maersk ha confirmado que un actor de amenazas accedió a un sistema local heredado de una adquisición anterior y extrajo datos de él, con WhiteArmor exigiendo 5 millones de dólares.

Por qué importaLos contratos de retención son ya un control, no una cortesía de compras: la señal del mercado es que la capacidad de refuerzo es finita y no puede comprarse a las 2 de la madrugada del día del incidente.

confianza 0.75

Fuentes

Actores de amenazas

Explotada sin CVE: una cookie que se interpreta como nada toma el control de Xen Orchestra

Vates VMS advierte de que una omisión crítica de autenticación en Xen Orchestra, registrada como VSA-2026-062 y aún sin identificador CVE, está siendo explotada activamente: el análisis de cookies REST convierte authenticationToken=j:%7B%7D en un objeto vacío, la autenticación REST lo acepta y el atacante obtiene control de administrador y a nivel de root sobre los hosts XCP-ng. Barracuda indica que los atacantes han empezado a explotar dos fallos recientemente parcheados del Email Security Gateway para ejecutar comandos como root. Google publicó actualizaciones de emergencia para el octavo día cero de Chrome explotado en ataques este año.

Por qué importaDos de estos tres se sitúan delante de su virtualización y de su correo, que entre ambos son casi todo lo que una banda de ransomware quiere antes del desayuno.

confianza 0.88

Fuentes

Rarezas

35.578 aplicaciones creadas con Grok abiertas a cualquiera, y una puerta trasera que cabe en diez neuronas

Claroc afirma haber encontrado 37.571 aplicaciones creadas con Grok en línea, de las cuales 35.578 no exigían ningún inicio de sesión, algunas con filtración de datos confidenciales y contraseñas, y 24 de ellas fueron creadas por empleados de X y de SpaceXSI. Por otro lado, un comando de Claude Code ha estado guardando archivos con credenciales en repositorios Git públicos a gran escala. Y unos investigadores de Microsoft han demostrado que se puede dotar a un modelo de IA de una puerta trasera oculta editando menos de diez de sus neuronas poco utilizadas, sin reentrenamiento, de modo que un desencadenante elegido haga que el modelo emita un comando del atacante, que un agente ejecutaría después con los permisos del agente.

Por qué importaDos de estos casos son secretos en el directorio equivocado, que sabemos cómo arreglar; el tercero es una cadena de suministro cuyo artefacto no tiene ninguna diferencia legible.

confianza 0.80

Fuentes

§3

Oculto

La lectura en profundidad del día: lo que hay bajo los titulares, no encima de ellos.

Buena parte del volumen de hoy son dos sitios de filtraciones vaciando una cola; la estructura que merece lectura son dos plataformas RMM y un montón de credenciales de IA robadas que coinciden en la misma ventana.

Exception 01
Dos plataformas RMM, un día, dos mecanismos distintos
ConnectWise desactivó cinco extensiones de ScreenConnect después de que clientes fraudulentos llegaran a 288 equipos de 48 organizaciones, y N-able retiró de línea el N-central alojado por más de 30 vulnerabilidades de día cero publicadas, con apenas un día de diferencia. Ambas son herramientas basadas en la confianza en los MSP, así que podría tratarse de una sola oleada contra los MSP; igualmente podría ser coincidencia, porque el abuso de extensiones y la divulgación de vulnerabilidades no son lo mismo.
confianza 0.40Speculative
Wrong if
Huntress o ConnectWise atribuyen el abuso de ScreenConnect a actores sin relación con la divulgación de N-central, o los fallos de N-central resultan ser investigación coordinada y no motivada por ataques.
Watch
Seguimiento de los clientes de MSP afectados y de cualquier reivindicación de ransomware que cite acceso a través de un MSP en los próximos uno a tres días.
Fuentes
Exception 02
Las herramientas ofensivas con agentes han salido del laboratorio
ARTEX y su bifurcación AntiFox aparecen en cuatro tipos de fuente en esta ventana, con OTX adelantándose unas diez horas a la cobertura periodística sobre ARTEX, y la actividad observada es sistemáticamente robo de credenciales en la nube, no demostración.
confianza 0.55
Wrong if
Los hallazgos de Arctic Wolf resultan basarse en un único incidente, sin mayor distribución de la herramienta.
Watch
Nuevas bifurcaciones de AntiFox, más escaneos procedentes de Alibaba Cloud y más informes de abuso de AWS Secrets Manager.
Fuentes
Exception 03
Las ráfagas en sitios de filtraciones son un artefacto del rastreador, no una oleada de ataques
The gentlemen publicó unas 25 víctimas en aproximadamente dos horas y Curious Worm unas 10 en siete minutos, con ransomware.live por delante de ransomlook en unas 2,1 a 2,2 horas casi constantes a lo largo de nueve dominios de Curious Worm. Esa regularidad es un intervalo de sondeo, no el momento elegido por los atacantes.
confianza 0.60
Wrong if
Las horas de publicación en los propios sitios de filtraciones muestran una cadencia distinta de la que implica el desfase del rastreador.
Watch
Si las víctimas pendientes de the gentlemen se verifican y si Curious Worm repite un lote.
Fuentes
Exception 04
Una saturación de la capacidad de DFIR sin ningún incidente concreto detrás
Firmas que rechazan trabajo de emergencia, Sophos absorbiendo el exceso y quienes responden a incidentes calificando el acceso inicial de poco sofisticado sugieren conjuntamente una intensa actividad no notificada. Tres elementos respaldan esto y no se nombra ningún incidente concreto, así que debe tratarse como una señal débil.
confianza 0.25Speculative
Wrong if
Otros proveedores de DFIR informan de capacidad normal, o los comentarios se remontan a un problema de personal de una sola firma.
Watch
Grandes divulgaciones o formularios 8-K de la SEC en la próxima semana.
Fuentes

Nothing to seeLas historias de crisis compuesta de Atlas, las ráfagas de hashtags y los grandes grupos horarios son volumen de publicaciones en redes sociales y el lote de Curious Worm, no actividad coordinada de atacantes. Las cargas de Unknown Loader, Mozi y Remcos en ThreatFox son volumen rutinario. Las reivindicaciones de brechas en la darknet (2.700 millones de números de la Seguridad Social, los elementos de Toyota y Japón) no están verificadas y su vínculo es débil, y la avalancha de plugins de WordPress en NVD es real pero se reparte entre decenas de productos sin relación.

Deep read: 763 artículos leídos

§4

Previsión

Pronósticos fechados y verificables. Evaluamos nuestro propio trabajo en público.

Today’s calls

DueThu 19 Nov7d
Al menos una reivindicación de ransomware o extorsión publicada en un sitio de filtraciones entre ahora y el 19 de noviembre nombrará a un MSP o a sus clientes en relación con el acceso a ScreenConnect o N-central.
Wrong ifNinguna publicación en sitios de filtraciones ni aviso de fabricante en esa ventana vincula a una víctima concreta con alguna de las dos plataformas.
Fuentes
f-2026-11-12-1
Confidence0.35
DueTue 24 Nov12d
Al fallo de omisión de autenticación de Xen Orchestra, registrado por ahora solo como VSA-2026-062, se le asignará un identificador CVE, aparecerá en el KEV de la CISA, o ambas cosas, antes del 24 de noviembre.
Wrong ifPara el 24 de noviembre el fallo sigue sin identificador CVE ni entrada en el KEV.
Fuentes
f-2026-11-12-2
Confidence0.55
DueThu 19 Nov7d
N0n publicará al menos 20 reivindicaciones adicionales en ransomware.live entre ahora y el 19 de noviembre, prolongando el auge señalado en la lectura de ritmo de hoy.
Wrong ifAparecen menos de 20 nuevas reivindicaciones de N0n en ransomware.live en esa ventana.
Fuentes
1. 1Ransomware tempo · Ninja Signal graphNinja Signal ransomware tempo for 2026-11-12. In th…
f-2026-11-12-3
Confidence0.60

Scorecard

1 partly · 1 wrong · 2 open

open
No public vendor or CISA advisory ties the Ivanti Connect Secure exploitation chain to a specific named threat actor or ransomware group by 2026-11-12.
Called Mon 2 Nov · due Thu 12 Nov
No item in today's feed names a threat actor behind CVE-2026-111357 Ivanti chain; Ivanti/CISA advisory items mention other CVEs only.
partly
At least one of Everstake's two scheduled releases (582.69 Gb due 10 November, 473.05 Gb due 12 November) appears on the leak sites, with the victim named, by 13 November 2026.
Called Tue 3 Nov · due Fri 13 Nov
Everstake actor on ransomware.live posted a new claim (ki*****o.com, redacted) on 2026-11-11, but neither the 582.69 Gb nor 473.05 Gb Everstake releases appear as named/published victims; the new entry is still redacted.
open
IHG Hotels & Resorts does not publicly confirm the BYOD intrusion claim.
Called Thu 5 Nov · due Thu 12 Nov
No IHG statement or regulatory filing acknowledging the BYOD intrusion claim appears in today's feed by the 12 November deadline.
wrong
No independent confirmation of the Whitearmor claim against the named shipping line will appear in these feeds; it stays an unverified leak-site listing.
Called Sun 8 Nov · due Fri 13 Nov
Maersk publicly confirmed the breach attributed to WhiteArmor ransomware, with a company statement reported in mainstream outlets.
Fuentes

Glosario de términos ante los que se espera que asientas

Agentes (n.): Autorizados a cometer los mismos errores que un júnior cansado, a la velocidad de reloj de un centro de datos, sin ninguna de sus dudas y con un juego válido de sus credenciales. Véase también: 18 llamadas a la API en 30 minutos, 17 de ellas denegadas, lo que el proveedor describe como contención y el atacante describe como un mapa.

§5

Desde nuestro perímetro

Ataques en directo contra nuestros propios servidores en las últimas 24 horas. Sí, realmente los nuestros.

Nuestro propio perímetro, últimas 24 horas: 56 fuentes hostiles perfiladas —30 escáneres, 21 rastreadores automáticos, 3 operadores dirigidos y 2 atacantes de fuerza bruta— que enviaron entre todas 4.287 solicitudes, de las cuales 16 pasaron del reconocimiento a intentos reales de explotación, desde 6.434 direcciones de 106 países, con 1.857 vistas por primera vez hoy. Siete grupos de direcciones compartían una huella de comportamiento, que es la manera educada de decir una sola herramienta con varios sombreros. La mayor hostilidad fue de 7,7 sobre 10, concedida conjuntamente a 85.204.70.100 y 129.221.248.33, ambas pidiendo a nuestra ruta de inicio de sesión archivos de WordPress que no tenemos y alcanzando el acceso a credenciales en la cadena de ataque mientras lo hacían. Una dirección envió tres solicitudes con la forma de CVE-2017-9841 a la ruta de phpunit, que sigue siendo rociada por internet con el paciente optimismo de un hombre que alimenta un parquímetro en mitad de un campo. Los registros en bruto nunca salieron del servidor; solo lo hicieron estas conclusiones.

56fuentes hostiles perfiladas

4.287solicitudes de estas

16llegaron a la explotación

7clústeres de ADN compartido

7,7/10máxima hostilidad

6.434direcciones en nuestro perímetro

1.857vistas por primera vez hoy

106países

La lista WTF

WTF #1
Buscando sus claves de IA
34.78.49.147, un escáner (hostilidad 5,4/10), envió 123 solicitudes a uno de nuestros sitios, buscando /.env.anthropic, /.env, /.env-sample, /.docker/laravel/app/.env.
Por qué es llamativoFue directo a por credenciales de IA: /.env.anthropic. Las claves de API de modelos figuran ya en la lista de la compra de los escáneres junto a las claves de la nube.
attribution: desconocidoThu 12 Nov, 01:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · ADN 18e39c4b41fb
```
WTF #2
El visitante más decidido
85.204.70.100, un operador dirigido (hostilidad 7,7/10), envió 20 solicitudes a uno de nuestros sitios, buscando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Por qué es llamativoLa mayor hostilidad del panel; su cadena de ataque llegó al acceso a credenciales.
attribution: desconocidoThu 12 Nov, 01:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización → explotación → acceso a credenciales · ADN 82a939927b85
```
WTF #3
Probando CVE-2017-9841 con nosotros
1 dirección envió 3 solicitudes con la forma de una explotación de CVE-2017-9841 (/vendor/phpunit/phpunit/…), incluida 2400:6180:10:200::f6a8:4000.
Por qué es llamativoUn exploit conocido y con nombre que aún se rocía por internet; nuestro perímetro lo vio hoy, diga lo que diga el año en las notas del parche.
attribution: desconocido
Detail
```
familia de sondeo: phpunit-rce
```
WTF #4
Mismo ADN, distintas direcciones
207.175.85.46, un escáner (hostilidad 5,1/10), envió 132 solicitudes a uno de nuestros sitios, buscando /.env, /.aws/.env, /.docker/laravel/app/.env, /.docker/.env.
Por qué es llamativo11 IP comparten una misma huella de comportamiento (ADN 18e39c4b41fb): una herramienta o un operador que rota direcciones: 34.62.31.226, 34.78.49.147, 34.22.159.76, 34.22.204.254, 207.175.237.228 y más.
attribution: desconocidoThu 12 Nov, 01:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · ADN 18e39c4b41fb
```
WTF #5
La lista de la compra más extraña
129.221.248.33, un operador dirigido (hostilidad 7,7/10), envió 20 solicitudes a uno de nuestros sitios, buscando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Por qué es llamativoPidió archivos que casi nadie más pide: /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml, /login/wordpress/wp-incl.
attribution: desconocidoThu 12 Nov, 01:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización → explotación → acceso a credenciales · ADN 82a939927b85
```
WTF #6
Con prisa
84.17.60.251, un escáner (hostilidad 6,1/10), envió 20 solicitudes a uno de nuestros sitios, buscando //wp-includes/wlwmanifest.xml, //xmlrpc.php, //blog/wp-includes/wlwmanifest.xml, //web/wp-includes/wlwmanifest.xml.
Por qué es llamativoDisparó 20 solicitudes en aproximadamente 1,4 segundos.
attribution: desconocidoThu 12 Nov, 01:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · ADN dfef4501b216
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

291claims, 7 days

49of 277 groups active

N0n94 this week · surging

Climax Inc17 this week · new

Vortex14 this week · new

SurgingN0n — 94 claims in 7 days against 28.0 expected from its own prior rate (p < 0.001)
Surginginterlock — 12 claims in 7 days against 1.2 expected from its own prior rate (p < 0.001)
Surgingmetaencryptor — 9 claims in 7 days against 1.1 expected from its own prior rate (p < 0.001)
SurgingBlack X — 3 claims in 7 days against 0.5 expected from its own prior rate (p = 0.014)
SurgingSilentRansomGroup — 8 claims in 7 days against 3.2 expected from its own prior rate (p = 0.016)
SurgingBYOD — 6 claims in 7 days against 2.6 expected from its own prior rate (p = 0.049)

Gone quiet: global (61 days), embargo (64 days), kazu (66 days), DYSPHOR1A (67 days).

Sector pressure, 30 days

UpEducation — 1.4× its own prior share (49 claims, 34 expected)
DownAgriculture and Food Production — 0.5× its own prior share (20 claims, 38 expected)
DownProfessional Services — 0.8× its own prior share (126 claims, 151 expected)

29% of claims carry no sector label.

Brand churn

Of the 239 leak-site brands first seen since 2021-09-30, 75% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 37% made at least half their claims in their first week. New brands this month: 8 — newest: Curious Worm (2026-11-11, 9 claims), osiris (2026-11-11, 8 claims), Climax Inc (2026-11-10, 17 claims).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.3× every other brand's share); N0n put 28% of its claims on Transportation (6.2× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.2× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 2 of 196 claims at weekends and half its claims in 12:00–13:59 UTC; half of thegentlemen's claims appeared in 06:00–09:59 UTC. Leak sites overall are 34% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–20:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Acompañamientos

Herramientas gratuitas en directo. Sin registro, sin llamadas comerciales.

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§8

Colofón

Cómo se elaboró esta edición, sin rodeos.

La edición 46 fue hecha por una máquina y revisada por código. Cada elemento publicado por 13 fuentes públicas de amenazas en las 24 horas hasta las 05:05 (hora del Reino Unido) (763 elementos) fue leído íntegramente: las estadísticas se calcularon con código, cada fragmento fue leído por Claude Sonnet y la estructura fue sintetizada por Claude Opus. Después, Claude Opus editó el periódico. Cada noticia cita los elementos en los que se apoya; las noticias cuyas referencias no se resolvían, o cuyas cifras no figuraban en sus fuentes, se descartaron antes de la publicación (0 hoy). Las previsiones se evalúan públicamente en ediciones posteriores. «Desde nuestro perímetro» son datos de ataques en vivo de nuestros propios servidores. Costee de esta edición: 1,26 $. Está escrita por una máquina con la voz de ScottG, autor de Everything Is Probably Fine, y nadie la editó a mano, lo cual es o bien el objetivo o bien el problema.

763items read

24hour window

$1.26cost of this edition

05:05 UTCgenerated

Fuentes de esta mañana

ThreatFox175ok
Telegram126ok
Security news115ok
NVD100ok
infosec.exchange80ok
Signal Atlas51ok
RansomLook35ok
RSS25ok
ransomware.live24ok
AlienVault OTX15ok
atlas14ok
signal:ioc-family2ok
Ransomware tempo · Ninja Signal graph1ok

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

La CISA añade a su catálogo KEV Cisco BroadWorks y un transcodificador de Openwave, ambos ya parcheados

El Patch Tuesday fue de 1.235, o 1.259, o 1.260, o 1.093, según quién contara

Una herramienta de pentest con agentes leyó un web.config y se fue de compras a AWS

Cuatro proveedores de IA y nube perdieron secretos ajenos en la misma ventana

N0n publica al triple de su propio ritmo, y dos bandas vaciaron su carpeta de borradores

A quienes llamarían ustedes por esto no contestan, y Maersk lidia con un sistema heredado

Explotada sin CVE: una cookie que se interpreta como nada toma el control de Xen Orchestra

35.578 aplicaciones creadas con Grok abiertas a cualquiera, y una puerta trasera que cabe en diez neuronas

Dos plataformas RMM, un día, dos mecanismos distintos

Las herramientas ofensivas con agentes han salido del laboratorio

Las ráfagas en sitios de filtraciones son un artefacto del rastreador, no una oleada de ataques

Una saturación de la capacidad de DFIR sin ningún incidente concreto detrás

Today’s calls

Scorecard

Glosario de términos ante los que se espera que asientas

La lista WTF

Buscando sus claves de IA

El visitante más decidido

Probando CVE-2017-9841 con nosotros

Mismo ADN, distintas direcciones

La lista de la compra más extraña

Con prisa

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Fuentes de esta mañana