Apertura · Explotado ahora

Sus dos plataformas de gestión remota tuvieron un jueves aciago, y el parche no sirvió de coartada

N-central, de N-able, fue explotada a las pocas horas de que se publicara una prueba de concepto —diecinueve de los veintiún servidores comprometidos tenían la última actualización de seguridad—, mientras que un kit de herramientas con comportamiento de gusano llamado SCKit se coló a través de ScreenConnect en la nube hasta 288 equipos de 48 organizaciones.

confianza 0.86

Empecemos por la cifra, porque lo explica todo: los investigadores informan de al menos 21 servidores N-central comprometidos, de los cuales 19 ejecutaban la última actualización de seguridad de la compañía, y los atacantes instalaron en ellos mineros de criptomonedas. El exploit se llama 4EverAble2Shell y entró en uso real pocas horas después de que apareciera la prueba de concepto. N-able desconectó la plataforma tras la divulgación de 33 vulnerabilidades, publicó un parche urgente, corrigió las que no requerían autenticación y después tuvo que responder de nuevo a un nuevo análisis público que afirma lograr RCE como root y SYSTEM en Windows sobre 2026.4.1 HF2, algo que, según la empresa, depende de una configuración no predeterminada.

En la misma ventana, y probablemente sin relación alguna, unos operadores convirtieron paneles de ScreenConnect alojados en la nube en un mecanismo de distribución: un kit llamado SCKit desplegó clientes controlados por los atacantes en 288 equipos de 48 organizaciones, diseñado para propagarse desde el dispositivo de un cliente, a través de la sesión de soporte, hasta la máquina del técnico y de ahí a otras redes gestionadas. ConnectWise afirma que el acceso se produjo mediante el abuso de una extensión independiente de terceros que eludía la autenticación; los investigadores de Blackpoint sostienen que el punto de entrada fue una vulnerabilidad crítica ya corregida, no una nueva. Dos proveedores, dos causas raíz, un mismo conjunto de clientes afectados.

Lo incómodo no son los fallos, sino la forma: llevamos quince años concentrando el alcance administrativo en un puñado de consolas porque es eficiente, y la eficiencia es una propiedad que se transfiere limpiamente a quien inicie sesión a continuación. Una plataforma de gestión de endpoints es una llave maestra hecha a medida para quien repara los ascensores, y esta semana dos de ellas estaban en otras manos. Parcheado no es lo mismo que limpio.

Por qué importaSi gestiona o contrata una RMM, la tarea de hoy es buscar amenazas en los servidores que ya parcheó —mineros, clientes ScreenConnect no autorizados, nuevas sesiones de técnico—, no confirmar el número de versión.

Fuentes

Today’s revelation

Parchear no es desahuciar. Es una carta enviada a un inquilino que ya tiene llave, un sofá y un criptominero.

— Sturgeon's Revelations · Probably Fine Daily No. 47

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§2

Principales noticias

El resto de las últimas 24 horas, con fuentes.

Vulnerabilidades

SignDrop: una función de seguridad de Windows, reconvertida en vía hacia SYSTEM, sin CVE y sin parche

Esta semana se ha publicado código de exploit, atribuido al investigador Abdelhamid Naceri, que abusa de la función de autenticación de registros del controlador Common Log File System —añadida el año pasado para dificultar los ataques— para otorgar privilegios de SYSTEM a un usuario local. No hay CVE ni corrección, y Microsoft aún no ha confirmado el fallo. Llegó el mismo día en que Microsoft confirmó que las actualizaciones de seguridad de noviembre de 2026 no se instalan en sistemas Windows 11 que tienen la actualización preliminar de octubre, y mientras las actualizaciones posteriores al Patch Tuesday de octubre causan problemas de rendimiento y estabilidad en SQL Server. No existe relación causal entre los tres hechos; la ventana de exposición, en cualquier caso, es acumulativa.

Por qué importaLa escalada local de privilegios es el modo en que una sesión víctima de phishing se convierte en un problema de dominio, y ahora mismo parte de su parque informático no puede recibir las actualizaciones mensuales.

confianza 0.80

Fuentes

Ransomware

The Gentlemen vació la carpeta de borradores; los datos de ritmo indican que N0n es quien realmente se acelera

El miércoles The Gentlemen publicó en su sitio de filtraciones unas veinticinco víctimas en aproximadamente ocho minutos —una empresa informática japonesa, una agencia educativa norteña de Macedonia, un municipio distrital peruano, una ciudad canadiense, farmacéuticas y empresas de ingeniería de cuatro continentes—, lo que es una decisión de publicación y no veinticinco miércoles de trabajo. La cifra más árida y dura procede del recuento de ritmo: 360 reivindicaciones en sitios de filtraciones en siete días de 47 de los 277 grupos monitorizados, con N0n en 90 reivindicaciones frente a las 28,56 esperadas según su propia tasa previa e incransom en 54 frente a 7,32, ambos con p < 0,001. Entre las incorporaciones de INC figuró una reivindicación contra raymondjames.com, y Darkfeed afirma que hubo un ataque contra una energética finlandesa, sin verificar. Por su parte, Luna Moth ha vuelto a por bufetes de abogados que se negaron a pagar la primera vez, ahora en busca de tokens de acceso de Microsoft.

Por qué importaLos recuentos de ráfagas miden el calendario de publicación de un grupo; las estadísticas de picos indican quién trabaja realmente más, y esta semana son N0n e INC.

confianza 0.75

Fuentes

Actores de amenazas

4.837 cuentas de GitHub robadas, 61.764 repositorios sondeados y su CI entregando discretamente sus secretos

La campaña wfx-loot utilizó 4.837 cuentas de GitHub comprometidas para sondear 61.764 repositorios, abrir pull requests e introducir una carga útil que roba secretos y que se ejecutó en más de 1.800 de ellos, recopilando credenciales en la nube desde la CI. Se produce en una semana en la que Apify rotó secretos internos y revocó conexiones OAuth de terceros tras un acceso no autorizado, y la japonesa Cyber Security Cloud reveló un acceso no autorizado a su entorno de desarrollo en GitHub atribuido a una única credencial expuesta de un empleado, confirmado el 5 de noviembre. Los tres casos no están vinculados; el objetivo es idéntico.

Por qué importaRote los tokens de CI y las claves en la nube accesibles desde los runners de compilación, y trate un pull request de una cuenta conocida como código no fiable, porque esta semana lo fue.

confianza 0.80

Fuentes

IA y seguridad

La IA está ahora en ambos lados de la factura: acceso a modelos secuestrado, movimiento lateral escrito por IA y 186 dominios falsos de IA

El Google Threat Intelligence Group describe el LLMjacking —atacantes que secuestran el acceso empresarial a grandes modelos de lenguaje y monetizan la capacidad de cómputo ajena—, mientras que un estudio de caso distinto muestra a un atacante cuyos comandos escritos a mano fracasaron contra un minorista estadounidense y que volvió al día siguiente con scripts generados por IA y logró movimiento lateral en cuestión de minutos. Entretanto, 186 dominios de herramientas de IA que imitan a las legítimas, con el nombre en clave TypoPrompt, sirven señuelos ClickFix y extensiones que secuestran el navegador; se registran intentos de explotación contra la trivial elusión de autenticación de GPUStack, CVE-2026-102895, en todas las versiones anteriores a la 2.2.0; las transcripciones de chat de clientes de Notion quedaron expuestas a través de la brecha de Fireworks AI, que afecta a menos del 1 % de los espacios de trabajo; y United Airlines ha decidido impedir que los clientes utilicen agentes de IA en sus cuentas, alegando el uso compartido de credenciales y compras involuntarias. Nuestro propio perímetro detectó un escáner que solicitaba /.env.anthropic.

Por qué importaLas claves de API de modelos son ya credenciales con domicilio de facturación: inventaríelas, acote su alcance y configure alertas sobre ellas como con las claves de la nube.

confianza 0.78

Fuentes

Vulnerabilidades

Crítica en mod_http2, doce en NetScaler, dos en Quay, una en Windchill y más de 180 en sus navegadores

Apache corrigió CVE-2026-119618, una condición de carrera en mod_http2 que un atacante no autenticado puede usar para ejecutar código de forma remota en servidores con HTTP/2 activado; la encontraron, en una frase que envejecerá de forma interesante, Anthropic y Google. Citrix corrigió 12 fallos en NetScaler ADC, Gateway y Console, entre ellos una elusión de autenticación con puntuación de 9,4 y una denegación de servicio independiente con 9,5; Red Hat Quay presenta dos críticas, de 9,8 y 9,9, que permiten a un atacante leer y sobrescribir imágenes de contenedor privadas en todos los repositorios, sin necesidad de cuenta alguna mientras el acceso anónimo —el valor predeterminado— esté activado. A ello se suman PTC Windchill y FlexPLM, CVE-2026-126325 con CVSS v4 9,2; un fallo de MongoDB previo a la autenticación, CVE-2026-118383, que solo se manifiesta cuando se promueve un secundario retrasado en una conmutación por error; y más de 180 correcciones entre Chrome 157 y Firefox 160.

Por qué importaHTTP/2 expuesto a internet, NetScaler y cualquier registro Quay con acceso anónimo son tarea para este fin de semana; el resto puede esperar a la ventana de cambios que no tendrá.

confianza 0.85

Fuentes

Malware e IOC

GSocket: la persistencia que sobrevive a su parche

Varios actores de amenazas están instalando GSocket, una herramienta legítima de acceso remoto de código abierto, en servidores Linux comprometidos precisamente para que el acceso sobreviva a la corrección de la brecha que les permitió entrar. El mismo día, hay una campaña activa que abusa de T-SQL en instancias de Microsoft SQL Server expuestas a internet para entregar cargas útiles, un orquestador de criptominería para Linux escrito en Rust llamado SANSAR que oculta deliberadamente el uso de la GPU, y un framework de mando y control residente en el navegador llamado Falcon que se ejecuta íntegramente en JavaScript. El patrón en los cuatro es el mismo: mecanismos legítimos, ningún binario evidente, nada que celebrar en el informe de parches.

Por qué importaTras remediar un host Linux explotado, busque herramientas de retransmisión saliente y procesos inexplicables, o habrá arreglado la puerta de una casa ocupada.

confianza 0.80

Fuentes

Política

Europol se incauta de cientos de servidores de Gootloader, CastleRAT y StealC —StealC por segunda vez este año

Europol y socios de nueve países se incautaron de cientos de servidores y dominios tras las operaciones de Gootloader, CastleRAT y StealC; los investigadores alemanes indican que la red reconstruida de StealC se remonta al proveedor de alojamiento a prueba de balas Virtualine, que el FBI incautó en octubre, con la ayuda de la policía de Fráncfort y de la Unidad Nacional de Delitos de Alta Tecnología de los Países Bajos. Por separado, el Departamento de Justicia y el FBI anunciaron la incautación de 1.200 millones de dólares en criptomonedas robadas a Binance y el desmantelamiento de las herramientas de «FaceStealer», y el FBI atribuyó otro robo de 400 millones de dólares a ingeniería social vinculada a Corea del Norte. Dos desmantelamientos del mismo infostealer en un año es el modelo de negocio descrito en voz alta.

Por qué importaEspere rotación de infraestructura en el C2 de los stealers durante la próxima quincena; actualice las listas de bloqueo en lugar de fiarse de las del mes pasado.

confianza 0.85

Fuentes

Rarezas

Internet acaba el martes, la filtración del FBI incluye claves AWS de ejemplo y un canal de Telegram aconseja dejar de usar Telegram

Canales ucranianos vinculados al ámbito militar y medios regionales rusos dedicaron el jueves a desmentir un rumor según el cual unos hackers pondrán a cero las cuentas bancarias del mundo el 17 de noviembre y eliminarán internet durante tres meses, rastreado hasta una cuenta anónima en Brasil con 2.000 seguidores; el Ministerio de Emergencias de Kazajistán ha confirmado oficialmente que nadie ha pedido a nadie que acumule provisiones. En otro lugar, un canal publicó supuestos registros de licencias de armas del FBI cuyas credenciales de AWS son AKIAEXAMPLE123456 y wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY, que es el ejemplo de la documentación, palabra por palabra. Y un canal de Telegram publicó una advertencia de última hora para evitar Telegram hasta que se corrija una RCE de escritorio y Android, justo encima de un anuncio de un casino de criptomonedas sin KYC.

Por qué importaLa mitad de la capa de Telegram de su feed de inteligencia es marketing, y genera ráfagas tan convincentes como las reales.

confianza 0.70

Fuentes

§3

Oculto

La lectura en profundidad del día: lo que hay bajo los titulares, no encima de ellos.

Bajo los feeds: un día real de noticias, dos campañas independientes contra RMM que coinciden y una ráfaga en un sitio de filtraciones que es sobre todo un calendario de publicación.

Exception 01
Plataformas RMM atacadas desde dos frentes a la vez, probablemente de forma independiente
La explotación de N-central tras una PoC pública —incluidos servidores con la última actualización, con mineros desplegados— y el gusano SCKit que abusa de ScreenConnect en la nube afloraron en la misma ventana en ciberprensa, RSS, OTX y Telegram, con OTX unas tres horas por delante del ciclo informativo. Los proveedores ofrecen causas raíz contradictorias: ConnectWise apunta a una elusión de autenticación en una extensión de terceros, Blackpoint a un fallo ya corregido, N-able a una configuración no predeterminada. La exposición compartida son los clientes de MSP aguas abajo; la coocurrencia es la señal, no un vínculo demostrado.
confianza 0.70
Wrong if
Un análisis forense que muestre que el acceso de SCKit procedió de un robo de credenciales no relacionado y no de ScreenConnect, o que la explotación de N-central se limitó a la ruta no predeterminada sin hosts parcheados comprometidos.
Watch
Asignación de CVE y un aviso consolidado de N-able en las próximas 24-72 horas; más recuentos de víctimas de SCKit por encima de 48 organizaciones.
Fuentes
Exception 02
La ráfaga de The Gentlemen es publicación por lotes, amplificada por el agregador
El pico de 82 elementos del 12 de noviembre, frente a una mediana de cero en otros días, refleja unas 25 publicaciones en sitios de filtraciones en unas ocho minutos, seguidas de señales duplicadas aguas abajo unas ocho horas por detrás de ransomware.live. El volumen exagera la actividad, y el etiquetado de países y sectores en esos registros es lo bastante incoherente como para descartar las correlaciones extraídas de él. La información real es un conjunto amplio, diverso y en parte gubernamental de víctimas publicado de una vez.
confianza 0.75
Wrong if
Marcas de tiempo originales de los sitios de filtraciones que muestren a las víctimas repartidas a lo largo de muchas horas, o víctimas que se demuestre que se publicaron antes en otro lugar.
Watch
Si el grupo repite una publicación por lotes y si las víctimas nombradas lo confirman.
Fuentes
Exception 03
La capa de Telegram revienta de spam, no de inteligencia
Varias de las ráfagas de cinco elementos de ayer proceden de canales que venden accesos, solicitan «inversores» o reciclan un rumor apocalíptico desmentido, incluido un supuesto conjunto de datos del FBI con credenciales de marcador de posición de AWS. Las estadísticas de ráfagas calculadas sobre estos canales miden cadencia de marketing, no actividad de adversarios.
confianza 0.65
Wrong if
Confirmación independiente de los datos del FBI, o feeds de prestigio que recojan alguna de estas afirmaciones.
Watch
Si alguna de las afirmaciones de estos canales aparece esta semana en informes de proveedores o de las fuerzas del orden.
Fuentes

Nothing to seeEl «silencio» de NVD posterior a las 00:21 del 12 de noviembre es un efecto del momento de ingesta, no una pausa real, y los cien elementos de NVD de la ventana llevan todos fecha del 10 de noviembre. Los lotes de CVE de Zoho, Hitachi, Siemens y WordPress responden al calendario de publicación coordinado por los proveedores, no a un comportamiento coordinado de atacantes. Las señales de «crisis compuesta» por países de Atlas —Japón, Indonesia, Filipinas, Taiwán, Panamá y otros— son agregados de baja confianza sin ningún actor identificado detrás. Con un solo día de datos, nadie puede afirmar honestamente que haya una tendencia.

Deep read: 548 artículos leídos

§4

Previsión

Pronósticos fechados y verificables. Evaluamos nuestro propio trabajo en público.

Today’s calls

DueFri 20 Nov7d
N-able publica un aviso consolidado o un identificador CVE que cubra los problemas de 4EverAble2Shell y de N-central posteriores al parche urgente a más tardar el 20 de noviembre de 2026.
Wrong ifNingún aviso de N-able ni CVE que nombre estos problemas aparece en los feeds a finales del 20 de noviembre.
Fuentes
f-2026-11-13-1
Confidence0.65
DueMon 23 Nov10d
La información pública sobre la campaña de ScreenConnect/SCKit eleva el número de víctimas por encima de 48 organizaciones a más tardar el 23 de noviembre de 2026.
Wrong ifToda la información posterior hasta el 23 de noviembre sigue citando 48 organizaciones o menos.
Fuentes
f-2026-11-13-2
Confidence0.50
DueFri 27 Nov14d
Microsoft confirma el problema de CLFS de SignDrop o le asigna un CVE a más tardar el 27 de noviembre de 2026.
Wrong ifNo hay en los feeds confirmación, aviso ni CVE de Microsoft para la técnica de CLFS de SignDrop a 27 de noviembre.
Fuentes
f-2026-11-13-3
Confidence0.40

Scorecard

2 right · 2 open

open
No public vendor or CISA advisory ties the Ivanti Connect Secure exploitation chain to a specific named threat actor or ransomware group by 2026-11-12.
Called Mon 2 Nov · due Thu 12 Nov
Due date 2026-11-12 passed; no item in today's feed ties the Ivanti CVE-2026-111357 chain to a named actor or ransomware group.
open
IHG Hotels & Resorts does not publicly confirm the BYOD intrusion claim.
Called Thu 5 Nov · due Thu 12 Nov
Due date 2026-11-12 passed with no IHG statement or regulatory filing acknowledging the BYOD intrusion claim in any feed item.
right
At least one ransomware or extortion leak-site claim published between now and 19 November will name an MSP or its downstream customers in connection with ScreenConnect or N-central access.
Called Thu 12 Nov · due Thu 19 Nov
SCKit malware campaign explicitly targeted MSPs via ScreenConnect, with leak-site and news items naming MSP victims and the ScreenConnect platform.
Fuentes
right
N0n will post at least 20 further leak-site claims to ransomware.live between now and 19 November, continuing the surge flagged in today's tempo read.
Called Thu 12 Nov · due Thu 19 Nov
Tempo report confirms N0n posted 90 claims in the last 7 days, far exceeding the 20-claim threshold for the window ending 2026-11-19.
Fuentes
1. 1Ransomware tempo · Ninja Signal graphNinja Signal ransomware tempo for 2026-11-13. In th…

Glosario de términos ante los que se espera que asientas

Configuración no predeterminada (n.): La configuración en la que existe la vulnerabilidad y que, por una coincidencia que ningún proveedor ha sabido explicar hasta ahora, es la configuración que su infraestructura ejecuta desde la última migración.

§5

Desde nuestro perímetro

Ataques en directo contra nuestros propios servidores en las últimas 24 horas. Sí, realmente los nuestros.

Nuestro propio perímetro, entretanto, tuvo un día normal, y eso es lo inquietante: el sensor local perfiló 64 fuentes hostiles —35 rastreadores de bots, 27 escáneres, 2 operadores dirigidos— que enviaron entre todas 3.200 solicitudes, de las cuales 29 pasaron del reconocimiento a intentos reales de explotación, desde 5.965 direcciones de 101 países, 1.782 de ellas vistas por primera vez hoy. Un escáner en 34.53.218.24 (hostilidad 5,4/10, 123 solicitudes) recorrió /.env, /.aws/.env y /.docker/.env y luego pidió /.env.anthropic, lo que indica dónde figuran ahora las claves de modelos en la lista de la compra. Otro, 34.77.241.117, lanzó 296 solicitudes contra dos de nuestros sitios en unos 2,2 segundos, cinco direcciones compartían una única huella de comportamiento (DNA ce6ecdfacbe3, encabezada por 35.195.85.59 con 150 solicitudes), y 206.189.217.192 envió tres solicitudes con la forma de CVE-2017-9841 contra /vendor/phpunit/, un fallo de nueve años al que nadie ha dicho a internet que deje de intentar. Los registros en bruto nunca salieron del servidor. Solo los hallazgos.

64fuentes hostiles perfiladas

3.200solicitudes de estas fuentes

29llegaron a la explotación

12clústeres de DNA compartido

7,3/10máxima hostilidad

5.965direcciones en nuestro perímetro

1.782vistas por primera vez hoy

101países

La lista WTF

WTF #1
Buscando sus claves de IA
34.53.218.24, un escáner (hostilidad 5,4/10), envió 123 solicitudes a uno de nuestros sitios, buscando /.docker/laravel/app/.env, /.env, /.aws/.env, /.docker/.env.
Por qué es llamativoFue directo a por credenciales de IA: /.env.anthropic. Las claves de API de modelos figuran ya en la lista de la compra de los escáneres junto a las claves de la nube.
attribution: desconocidoThu 12 Nov, 18:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamento · DNA 18e39c4b41fb
```
WTF #2
El visitante más tenaz
23.99.228.58, un escáner (hostilidad 6,7/10), envió 84 solicitudes a uno de nuestros sitios, buscando /wp-admin/css/colors/blue/qww.php, /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /radio.php.
Por qué es llamativoLa mayor hostilidad del tablero; su cadena de ataque llegó hasta el armamento.
attribution: desconocidoThu 12 Nov, 18:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamento · DNA dfef4501b216
```
WTF #3
Probando CVE-2017-9841 con nosotros
1 dirección envió 3 solicitudes con la forma de una explotación de CVE-2017-9841 (/vendor/phpunit/phpunit/…), entre ellas 206.189.217.192.
Por qué es llamativoUn exploit conocido y con nombre que aún se rocía por internet; nuestro perímetro lo vio hoy, diga lo que diga el año que figure en las notas del parche.
attribution: desconocido
Detail
```
familia de sondeo: phpunit-rce
```
WTF #4
Mismo DNA, distintas direcciones
35.195.85.59, un escáner (hostilidad 4,7/10), envió 150 solicitudes a uno de nuestros sitios, buscando /.env, /.env.production.backup, /project/.env, /workspace/.env.
Por qué es llamativo5 IP comparten una misma huella de comportamiento (DNA ce6ecdfacbe3): una herramienta o un operador que rota direcciones: 35.195.85.59, 34.62.82.207, 34.53.147.106, 45.148.10.21, 34.62.9.55.
attribution: desconocidoThu 12 Nov, 19:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamento · DNA ce6ecdfacbe3
```
WTF #5
La lista de la compra más extraña
20.217.29.214, un escáner (hostilidad 6,7/10), envió 28 solicitudes a uno de nuestros sitios, buscando /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /jn.php, /awp.php.
Por qué es llamativoPidió archivos que casi nadie más pide: /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /jn.php, /awp.php, /er.php.
attribution: desconocidoThu 12 Nov, 18:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamento · DNA dfef4501b216
```
WTF #6
Con prisa
34.77.241.117, un escáner (hostilidad 4,8/10), envió 296 solicitudes a 2 de nuestros sitios, buscando /.env, /storage/.env, /opt/.env, /html/.env.
Por qué es llamativoLanzó 296 solicitudes en unos 2,2 segundos.
attribution: desconocidoThu 12 Nov, 18:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamento · DNA f54b5889aafb
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

360claims, 7 days

47of 277 groups active

N0n90 this week · surging

incransom54 this week · surging

thegentlemen22 this week

SurgingN0n — 90 claims in 7 days against 28.6 expected from its own prior rate (p < 0.001)
Surgingincransom — 54 claims in 7 days against 7.3 expected from its own prior rate (p < 0.001)
Surginginterlock — 12 claims in 7 days against 1.2 expected from its own prior rate (p < 0.001)
Surgingmetaencryptor — 10 claims in 7 days against 1.1 expected from its own prior rate (p < 0.001)
SurgingBlack X — 3 claims in 7 days against 0.5 expected from its own prior rate (p = 0.013)
SurgingBYOD — 6 claims in 7 days against 2.5 expected from its own prior rate (p = 0.045)

Gone quiet: global (62 days), embargo (65 days), kazu (67 days), DYSPHOR1A (68 days).

Sector pressure, 30 days

UpEducation — 1.5× its own prior share (54 claims, 37 expected)
DownAgriculture and Food Production — 0.5× its own prior share (21 claims, 40 expected)
DownProfessional Services — 0.8× its own prior share (134 claims, 161 expected)

29% of claims carry no sector label.

Brand churn

Of the 239 leak-site brands first seen since 2021-09-30, 75% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 37% made at least half their claims in their first week. New brands this month: 8 — newest: Curious Worm (2026-11-11, 10 claims), osiris (2026-11-11, 8 claims), Climax Inc (2026-11-10, 17 claims).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.3× every other brand's share); N0n put 28% of its claims on Transportation (6.2× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.2× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 2 of 196 claims at weekends and half its claims in 12:00–13:59 UTC; half of thegentlemen's claims appeared in 06:00–09:59 UTC. Leak sites overall are 36% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 09:00–17:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Acompañamientos

Herramientas gratuitas en directo. Sin registro, sin llamadas comerciales.

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§8

Colofón

Cómo se elaboró esta edición, sin rodeos.

La edición 47 ha sido elaborada por una máquina y comprobada por código. Se leyó íntegramente cada elemento publicado por 12 feeds públicos de amenazas en las 24 horas hasta las 05:05 (hora del Reino Unido) (548 elementos): las estadísticas se calculan mediante código, cada porción es leída por Claude Sonnet y la estructura es sintetizada por Claude Opus. Después, Claude Opus editó el periódico. Cada historia cita los elementos en los que se basa; las historias cuyas referencias no se resolvían, o cuyas cifras no figuraban en sus fuentes, se descartaron antes de la publicación (0 hoy). Los pronósticos se evalúan públicamente en ediciones posteriores. «Desde nuestro perímetro» son datos de ataques en vivo de nuestros propios servidores. Costee de esta edición: 1,02 $. Está escrita por una máquina con la voz de ScottG, autor de Everything Is Probably Fine, y nadie la ha editado a mano, lo cual es o bien el objetivo o bien el problema.

548items read

24hour window

$1.02cost of this edition

05:05 UTCgenerated

Fuentes de esta mañana

Signal Atlas118ok
NVD100ok
ThreatFox100ok
Telegram64ok
Security news48ok
infosec.exchange38ok
ransomware.live35ok
atlas18ok
RSS12ok
AlienVault OTX11ok
signal:ioc-family3ok
Ransomware tempo · Ninja Signal graph1ok

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

SignDrop: una función de seguridad de Windows, reconvertida en vía hacia SYSTEM, sin CVE y sin parche

The Gentlemen vació la carpeta de borradores; los datos de ritmo indican que N0n es quien realmente se acelera

4.837 cuentas de GitHub robadas, 61.764 repositorios sondeados y su CI entregando discretamente sus secretos

La IA está ahora en ambos lados de la factura: acceso a modelos secuestrado, movimiento lateral escrito por IA y 186 dominios falsos de IA

Crítica en mod_http2, doce en NetScaler, dos en Quay, una en Windchill y más de 180 en sus navegadores

GSocket: la persistencia que sobrevive a su parche

Europol se incauta de cientos de servidores de Gootloader, CastleRAT y StealC —StealC por segunda vez este año

Internet acaba el martes, la filtración del FBI incluye claves AWS de ejemplo y un canal de Telegram aconseja dejar de usar Telegram

Plataformas RMM atacadas desde dos frentes a la vez, probablemente de forma independiente

La ráfaga de The Gentlemen es publicación por lotes, amplificada por el agregador

La capa de Telegram revienta de spam, no de inteligencia

Today’s calls

Scorecard

Glosario de términos ante los que se espera que asientas

La lista WTF

Buscando sus claves de IA

El visitante más tenaz

Probando CVE-2017-9841 con nosotros

Mismo DNA, distintas direcciones

La lista de la compra más extraña

Con prisa

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Fuentes de esta mañana