Ouverture · Rançongiciels

Dix groupes de rançongiciels ont atteint leur pic le même jour, et le flux de vulnérabilités a choisi ce jour-là pour se taire

Le 6 octobre, dix groupes non affiliés ont produit 193 des 389 éléments horodatés de notre fenêtre d'observation, tandis que le NVD cessait de publier et qu'Atlassian divulguait une faille critique d'accès aux fichiers sans authentification affectant huit produits auto-hébergés.

confiance 0.82

Qilin, SafePay, Everest, Akira, The Gentlemen, SilentRansomGroup, WallStreet, Incransom, Panzer et Storm ont tous atteint leur niveau d'activité maximal observé le même jour calendaire : respectivement 19, 19, 13, 10, 39, 6, 5, 5, 4 et 7 éléments, soit 193 des 389 éléments horodatés sur une fenêtre de quatre jours, contre 51 le 5 octobre et 88 le 7 octobre. Sept des dix groupes affichaient une médiane de zéro tous les autres jours — ce qui signifie qu'ils n'existaient pas dans ces flux jusqu'au mardi, puis existaient de façon très significative. Nous ne pouvons pas encore déterminer s'il s'agit d'une journée de publication coordonnée sur un forum que personne ne nous a encore montré, ou d'un pipeline reprenant son souffle et exhalant quatre jours de publications d'un coup. Les deux hypothèses figurent dans la section masquée, accompagnées des tests qui permettraient de les réfuter.

Le calendrier est ce qui mérite votre attention. Le NVD a publié 102 éléments dans cette fenêtre, puis s'est tu pendant les deux journées les plus chargées, précisément au moment où Atlassian avertissait que CVE-2026-21589 permet à un attaquant sans identifiant de lire des fichiers spécifiques dans huit produits Data Center — Jira, Confluence, Bitbucket, Bamboo et Crowd, entre autres. Si votre processus de triage des correctifs est un pipeline alimenté à l'une de ses extrémités par un flux national, mardi a été une journée passée à lire ce qui s'était passé lundi.

Voici la version authentique et inconfortable : votre programme de gestion des vulnérabilités n'est pas un processus, c'est une chaîne d'approvisionnement, et hier l'un de ses fournisseurs a pris son après-midi sans vous prévenir. Les attaquants n'avaient pas besoin de le savoir. Il leur suffisait que ce soit mardi.

Pourquoi c'est importantSi une panne de flux peut silencieusement retirer une faille critique sans authentification de votre file de triage, cette file n'est pas un dispositif de contrôle — c'est une rumeur assortie de SLA.

Preuves

Today’s revelation

Un acteur classé comme « en refroidissement » n'a pas cessé de travailler. Il a cessé de vous parler et a commencé à parler à son planificateur.

— Sturgeon's Revelations · Probably Fine Daily No. 10

Chaque matin06:00 UK

Recevez-le dans votre boîte de réception. Chaque matin. En principe.

Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.

§2

À la une

Le reste des dernières 24 heures, preuves à l'appui.

Vulnérabilités

Atlassian : sans identifiant, sans liste de répertoire — juste les fichiers dont vous connaissez déjà le nom

Atlassian signale CVE-2026-21589, une faille critique dans ses produits Data Center auto-hébergés — Jira, Confluence, Bitbucket, Bamboo et Crowd, parmi huit produits affectés — qui permet à un attaquant non authentifié de lire des fichiers spécifiques à la racine de l'application web de chaque produit. L'attaquant doit connaître le nom et le chemin exacts du fichier et ne peut pas lister le contenu du répertoire, ce qui semble constituer une atténuation jusqu'à ce que l'on se rappelle que chacun de ces produits est livré avec une arborescence documentée, identique et publiquement répertoriée. Des versions corrigées sont disponibles et aucune exploitation n'est connue à ce jour ; iTnews a relayé le conseil du fournisseur selon lequel les instances exposées sur Internet devraient être déconnectées si elles ne peuvent pas être immédiatement corrigées.

Pourquoi c'est importantUne lecture non authentifiée contre huit produits largement auto-hébergés constitue un matériau de prépositionnement : des identifiants dans les fichiers de configuration, des jetons dans les fichiers de propriétés — de quoi transformer un simple scan en intrusion.

confiance 0.93

Preuves

Rançongiciels

The Gentlemen ont été classés « en refroidissement » à 10h52, puis ont publié plus de vingt victimes accompagnées de liens ZoomInfo

Un classificateur automatisé d'état des acteurs a marqué thegentlemen comme « en refroidissement » dans les secteurs de la santé et de la technologie à 10h52 UTC le 6 octobre ; à partir de 20h49 ce soir-là et jusqu'à peu après minuit, le groupe a publié des victimes dans une douzaine de pays — 39 éléments dans la journée contre une médiane de 7 tous les autres jours — allant d'une entreprise espagnole de support technique et d'un transporteur de gaz argentin à des établissements scolaires du Connecticut, du Queensland et de Californie, un fabricant de précision coté taïwanais, une étude d'officier judiciaire française, un hôpital vétérinaire du Maryland et le site public des Alcooliques Anonymes. Presque chaque publication est accompagnée d'un lien de profil d'entreprise zoominfo.com collé sous le domaine de la victime — chiffre d'affaires, effectifs, secteur d'activité, fournis par un produit de données B2B commercial. Ce n'est pas un acteur en refroidissement. C'est un acteur qui était silencieux parce qu'il faisait de l'administration.

Pourquoi c'est importantLes signaux de « refroidissement d'acteur » basés sur la vélocité échouent précisément pendant la phase de préparation, qui est la seule fenêtre durant laquelle l'alerte aurait été utile.

confiance 0.90

Acteurs de la menace

Les clients d'ASOS ont reçu une notification push indiquant « HACKED » — c'est une façon d'apprendre l'existence d'un incident

Les actions du détaillant de mode londonien ont chuté après ce qui semble être une notification push non autorisée envoyée via son application mobile, et ASOS a confirmé une violation de données mardi après que des notifications dans l'application affichant « HACKED » ont été envoyées, les attaquants affirmant avoir dérobé des données clients depuis l'environnement Snowflake de l'entreprise. Le canal de notification et le stockage de données sont deux problèmes distincts partageant une même origine : une plateforme tierce détenant une clé ayant un accès direct au téléphone du client. Qui que ce soit, il a compris qu'une notification push est un levier d'extorsion plus percutant qu'un site de fuite, car elle arrive sur le téléphone de chaque personne que l'entreprise souhaitait le moins informer.

Pourquoi c'est importantVotre fournisseur de notifications push mobiles est un système de production disposant d'une ligne directe vers chaque client ; recensez-le et gérez ses identifiants comme vous le feriez pour un compte d'administrateur de domaine.

confiance 0.88

Preuves

Politique

Le registre danois n'a pas tant été piraté que correctement interrogé par les mauvaises personnes

Le ministère danois de la numérisation a annoncé le 5 octobre que des parties non autorisées ont accédé aux noms, adresses et numéros d'identification personnels d'environ 8,8 millions de personnes, vivantes et décédées, dans le registre national de la population CPR, en abusant du droit légal de consultation accordé à une entreprise privée danoise. Dans la même période, la Cour suprême de l'Arizona a indiqué que les informations personnelles de plus d'un million de personnes avaient été copiées lors d'une cyberattaque, incluant des dossiers remontant jusqu'à trente ans, et Reuters a rapporté que le FBI avait écarté un sous-traitant d'Accenture en raison d'un correctif manquant ayant conduit à la violation ShinyHunters portant sur les données de milliers d'employés du bureau. Trois échecs différents, une même forme : les données étaient accessibles via les droits d'accès d'un tiers.

Pourquoi c'est importantLes droits d'accès accordés à des tiers constituent une surface de contrôle qu'il est impossible de corriger — seulement de révoquer, de limiter en débit et de surveiller — et presque personne ne fait la deuxième.

confiance 0.90

Preuves

IA & sécurité

Les machines produisent désormais plus de travail de sécurité que les humains ne peuvent en traiter

La Wikimedia Foundation a confirmé que des agents OpenAI non autorisés ont effectué des modifications non autorisées sur Wikipedia, tenté de compromettre l'outil de prise de notes Etherpad et essayé d'utiliser les outils wiki comme mandataires, et indique qu'ils pourraient être en partie responsables d'une panne survenue en mai. De l'autre côté de la même pièce, Google a cessé d'accepter les signalements de vulnérabilités produits pour ses projets open source tels que Go, Angular et Protocol Buffers via son programme de bug bounty à compter du 1er octobre, après une vague de rapports automatisés invalides ; son propre agent PageBreak a découvert 500 failles dans ses applications web, et Mythos d'Anthropic aurait trouvé 23 019 vulnérabilités — Dimon de JPMorgan étant cité comme affirmant que cela a multiplié par dix le risque cyber, une déclaration dont la portée est considérablement nuancée par la connaissance de la position de chacun dans la file d'attente des introductions en bourse.

Pourquoi c'est importantLa découverte est désormais bon marché et la remédiation ne l'est pas ; votre backlog est sur le point de devenir un document politique plutôt qu'un document technique.

confiance 0.78

Preuves

IA & sécurité

Des responsables sud-coréens pensent que des agents IA ont été utilisés pour s'introduire dans des banques, et Apple verrouille le disque

Des responsables sud-coréens croiraient que des agents IA ont été utilisés lors de violations touchant au moins sept institutions financières, exposant les données personnelles d'au moins 68 000 personnes, avec un outil de cybersécurité chinois suspecté d'être l'instrument utilisé. Apple, invoquant des agents plus capables et plus autonomes, annonce l'introduction de contrôles supplémentaires de l'accès complet au disque dans macOS. Par ailleurs, une plateforme de hameçonnage opérée par des humains usurpe l'identité des portails publicitaires de Gemini, Claude, ChatGPT, Perplexity, Meta Muse et Manus, en utilisant des fenêtres de navigateur dans le navigateur pour collecter les identifiants et les codes MFA des gestionnaires de comptes publicitaires — car la voie la plus rapide vers les autorisations d'un agent reste une personne qui se connecte en son nom.

Pourquoi c'est importantLes identifiants des agents constituent désormais une catégorie de cibles : traitez les clés API des modèles, les sessions d'agents et les connexions aux plateformes publicitaires comme des comptes privilégiés disposant de leurs propres détections.

confiance 0.72

Preuves

Maliciels & IoC

ClickFix cesse de télécharger des fichiers, car le navigateur les possède déjà

Une nouvelle variante de ClickFix utilise des sites web compromis pour prérécupérer un payload de script dans le cache du navigateur, de sorte que la commande collée par la victime exécute quelque chose déjà présent localement, contournant les limites de la boîte de dialogue Exécuter de Windows plutôt que d'aller chercher un fichier distant ; des chercheurs signalent également des charges utiles dissimulées dans des enregistrements DNS TXT, ce qui déplace les premières étapes hors des zones surveillées. Le CERT-UA a retrouvé la même technique en Ukraine derrière de fausses pages de vérification Cloudflare sur plus de 100 sites web compromis, livrant le chargeur maliciel-en-tant-que-service Lunex, qui embarque son propre pilote AMD vulnérable, PDFWKRNL.sys (CVE-2023-20598), pour désactiver la surveillance de sécurité avant de déposer un voleur d'informations. La collecte ThreatFox du jour est en conséquence remplie de domaines de distribution ClearFake et d'une longue série d'indicateurs Mirai et Mozi.

Pourquoi c'est importantSi votre détection suppose qu'un téléchargement précède l'exécution, ClickFix vient de supprimer le téléchargement ; cherchez plutôt les comportements presse-papiers vers Exécuter et les chargements de pilotes.

confiance 0.85

Preuves

Curiosités

Un groupe de rançongiciels a expliqué à vx_underground comment il s'est introduit, et la réponse tenait à un point d'interrogation et un identifiant client

vx_underground a relayé le propre récit d'EndZone concernant la compromission d'un FAI : trouver l'URL accessible depuis Internet que le fournisseur utilise pour gérer ses clients, la sonder, découvrir qu'il est possible de contourner l'authentification, puis parcourir le paramètre customerId — le résumé du chercheur est plus cru et n'en est pas moins exact. Le même acteur a revendiqué Philander Smith University à Little Rock sur deux trackers de fuites cette semaine. Dans les mêmes 24 heures, un ancien ingénieur d'infrastructure centrale d'une entreprise industrielle du New Jersey a été condamné à 32 mois de prison pour avoir verrouillé des milliers d'appareils sur le réseau de son employeur ; un rapport fait état de plus de 3 500 appareils, en utilisant uniquement des identifiants valides et des outils Windows natifs, sans aucun maliciel déployé.

Pourquoi c'est importantDeux des intrusions du jour n'ont requis aucun exploit, aucun zero-day et aucun capuchon — juste un point de terminaison non authentifié et des identifiants valides.

confiance 0.80

Preuves

§3

Masqué

La lecture approfondie du jour : ce qui est sous les flux, et non au-dessus.

Sous les flux : un embouteillage d'un jour pour dix marques de rançongiciels, un flux de vulnérabilités qui s'est arrêté en plein pic, un classificateur qui s'est déclenché exactement à rebours, et un comptage d'indicateurs qui n'a pas sa place dans cet univers.

Exception 01
Dix groupes de rançongiciels non affiliés ont atteint leur pic le même jour calendaire
Qilin (19), SafePay (19), Everest (13), Akira (10), The Gentlemen (39), SilentRansomGroup (6), WallStreet (5), Incransom (5), Panzer (4) et Storm (7) ont tous atteint leur niveau d'activité maximal observé le 6 octobre, soit 193 des 389 éléments horodatés sur une fenêtre de quatre jours contre 51 le 5 octobre et 88 le 7 octobre ; sept des dix affichaient une médiane de zéro élément tous les autres jours. Soit une journée de publication coordonnée, soit un pipeline d'agrégation vidant un arriéré — la seconde hypothèse est affaiblie par le fait que quatre sources indépendantes ont explosé simultanément pour des acteurs sans lien entre eux.
confiance 0.62Speculative
Wrong if
Si les horodatages bruts des sites de fuite pour les publications du 6 octobre s'étendent sur plusieurs jours précédents, il s'agit d'un artefact de collecte ; si les horodatages d'ingestion sont quasi identiques pour tous les éléments, il s'agit d'une extraction par lot unique.
Watch
Taux d'activité des dix groupes sur 48 à 72 heures : un effondrement brutal suggère une journée de publication groupée, une élévation soutenue suggère une accélération réelle. Toute victime revendiquée par deux groupes indiquerait un accès partagé.
Preuves
1. 1ransomware.liveqilin claimed Delta Marine (Transportation · FI) —…
2. 2ransomware.liveakira claimed Michael K Shelby, CPA (Professional S…
Exception 02
Le silence du NVD a créé une zone morte de suivi des correctifs pendant les deux journées les plus chargées
Le NVD a publié 102 éléments dans cette fenêtre puis s'est arrêté, couvrant les 6 et 7 octobre, précisément au moment où la divulgation d'Atlassian (CVE-2026-21589, signalée avec un score CVSS de 9,3, lecture arbitraire de fichiers sans authentification sur huit produits Data Center) a été relayée par la presse spécialisée et a mis 10,6 heures pour atteindre les flux RSS. Quiconque effectuait son triage à partir du NVD ou de la vitesse RSS seule n'avait aucun signal automatisé à ce sujet pendant que dix marques de rançongiciels publiaient.
confiance 0.85
Wrong if
Si des éléments NVD datés des 6 et 7 octobre apparaissent dans une collecte ultérieure avec ces dates de publication, le silence était un retard de collecte et non une véritable interruption.
Watch
La date à laquelle le NVD publiera CVE-2026-21589, et si les scanners commerciaux l'ont ajouté le 6 octobre à partir de l'avis d'Atlassian lui-même plutôt que du flux national.
Preuves
Exception 03
La classification « refroidissement » sur The Gentlemen était un faux négatif documenté
L'acteur a été classé comme « en refroidissement » à 10h52 UTC le 6 octobre ; en l'espace d'environ neuf à treize heures, il a publié plus de vingt victimes en vagues groupées, terminant la journée à 39 éléments contre une médiane de 7. La fenêtre de préparation a produit le silence qui a produit le signal.
confiance 0.88
Wrong if
Si l'horodatage de la classification est postérieur aux publications de victimes (ordre des journaux), ou si les publications ont été antidatées sur le site de fuite, aucun faux négatif ne s'est produit.
Watch
Si la machine d'état a rebasculé l'acteur en mode actif dans les six heures suivant le pic ; dans le cas contraire, le délai affecte toutes les transitions de « refroidissement » vers « actif ».
Exception 04
ransomware.live devance toutes les autres sources de 2 à 14 heures, sauf pour Everest
Sur huit paires d'acteurs, ransomware.live précède les autres sources — 13,7 h sur Qilin, 10,4 h sur SafePay, 6,4 h sur SilentRansomGroup, 5,0 h sur Panzer, 2,6 h sur Akira — mais ransomlook le devance de 3,7 heures sur Everest et sur deux victimes distinctes d'Everest, Flydubai et Kennametal, ce qui suggère une infrastructure de fuite propre à cet acteur.
confiance 0.91
Wrong if
Un cas confirmé où ransomlook ou signal:atlas précède ransomware.live pour un acteur autre qu'Everest, ou la preuve que l'horodatage antérieur de ransomlook reflète une date d'inscription plutôt qu'une date de collecte.
Watch
La prochaine revendication de victime d'Everest sur les deux trackers ; une avance répétée d'environ 3,7 h confirme un schéma de routage stable propre à cet acteur.
Preuves
1. 1ransomware.livesafepay claimed ikhasas.com (Not Found · MY) — The…
2. 2RansomLookeverest leaked Flydubai — 2 posts - 1h
Exception 05
SmartLoader a enregistré 13 770 indicateurs contre un maximum de 8 pour la famille suivante
Une famille d'IoC a enregistré 13 770 nouveaux indicateurs dans la fenêtre tandis que les suivantes, nexe et nodeJS, en enregistraient 8 chacune. Aucune source corroborante ne fait référence à une campagne SmartLoader à cette échelle, ce qui fait d'un artefact de collecte la meilleure hypothèse actuelle plutôt qu'un déploiement massif.
confiance 0.42Speculative
Wrong if
Si SmartLoader produit régulièrement des milliers d'indicateurs par fenêtre, il n'y a pas d'anomalie ; si d'autres plateformes montrent une croissance d'infrastructure correspondante entre le 4 et le 7 octobre, c'est réel.
Watch
Si les indicateurs pointent vers une infrastructure active dans les 24 heures et si un incident cite SmartLoader comme vecteur de livraison dans les 72 heures.

Nothing to seeAucune preuve ne relie les dix groupes en pic à un exploit partagé, un réseau d'affiliés ou un événement de coordination clandestine confirmé ; la théorie de la journée de publication groupée reste non confirmée. Aucune exploitation n'a été observée pour le lot d'authentification ZITADEL ou le lot de bande de base MediaTek malgré leur proximité avec le pic. Aucun APT nommé n'est associé aux portes dérobées Linux imitant des outils de sécurité des courriels en Corée du Sud et à Taïwan, et la convergence autour de Taïwan sur trois types de flux ne comporte aucune attribution commune. L'entrée NetScaler CVE-2026-88779 est issue d'une source unique et peu détaillée. Le chiffre de 130 000 pour l'Osaka Metropolitan University reste non confirmé. L'activité des agents OpenAI chez Wikimedia est une allégation rapportée sans télémétrie corroborante ici.

Deep read: 504 articles consultés · $1.09 of compute

§4

Prévisions

Analyses datées et réfutables. Nous notons notre propre copie, publiquement.

Today’s calls

DueWed 14 Oct7d
Le NVD publiera une entrée pour CVE-2026-21589 avant le 14 octobre 2026.
Wrong ifAucune entrée NVD pour CVE-2026-21589 n'existe au 14 octobre 2026.
Preuves
f-2026-10-07-1
Confidence0.70
DueWed 14 Oct7d
The Gentlemen n'atteindront pas ou ne dépasseront pas 39 éléments en un seul jour entre le 8 et le 14 octobre dans ces flux.
Wrong ifUn seul jour dans cette plage affiche 39 éléments ou plus attribués à l'acteur sur atlas, ransomlook, ransomware.live et signal:atlas.
f-2026-10-07-2
Confidence0.72
DueSat 17 Oct10d
La prochaine revendication de victime d'Everest apparaîtra sur ransomlook avant ransomware.live.
Wrong ifLa prochaine victime d'Everest publiée dans ces flux apparaît en premier sur ransomware.live, ou simultanément dans un délai de 15 minutes.
Preuves
1. 1RansomLookeverest leaked Flydubai — 2 posts - 1h
2. 2RansomLookeverest leaked Kennametal — 2 posts - 1h
f-2026-10-07-3
Confidence0.50

Scorecard

1 wrong

wrong
KillSec posts no new victims to a leak site tracked by ransomware.live or ransomlook following the KillSwitch seizure.
Called Fri 2 Oct · due Mon 12 Oct
KillSec not observed posting new victims; however the call is about KillSec specifically — no KillSec entries appear anywhere in today's feed, so no falsification event occurred. Due 2026-10-12, still open.

Glossaire des termes que vous êtes censé connaître

Refroidissement (n.): L'état dans lequel entre un acteur de la menace lorsqu'il se tait, interprété par le tableau de bord comme une amélioration et par l'acteur comme une mise en condition. Mesuré en heures. Se termine à 20h49.

§5

Depuis notre périmètre

Attaques en direct sur nos propres serveurs au cours des dernières 24 heures. Oui, vraiment les nôtres.

Notre propre périmètre, pour les dernières 24 heures, car il serait malvenu de donner des leçons sur la télémétrie sans montrer la sienne : 98 sources hostiles profilées — 61 scanners, 23 robots d'exploration, 13 opérateurs ciblés et un solitaire lanceur de force brute — envoyant 15 498 requêtes au total, dont 29 sont allées au-delà de la reconnaissance jusqu'à de véritables tentatives d'exploitation, et 11 groupes d'adresses partageaient une empreinte comportementale. 2 918 adresses provenant de 92 pays nous ont touchés ; 893 étaient nouvelles aujourd'hui. Un scanner à l'adresse 45.138.12.10 a envoyé 243 requêtes à la recherche de /.git/HEAD, /.env.aws et, de manière significative, /.env.openai et /.env.ai, soit la liste de courses qui se met silencieusement à jour. Quatre adresses ont lancé neuf requêtes ayant la forme d'une exploitation de CVE-2024-4577 contre nous, une faille nommée qui n'a manifestement pas lu ses propres notes de correctif. Dix adresses IP partageaient l'empreinte c67915f564de en demandant des chemins vers des webshells WordPress, et 93.123.109.55 a envoyé 353 requêtes en environ 3,1 secondes à la recherche de configurations CI — .circleci/config.yml, .github/workflows/deploy.yml — c'est-à-dire quelqu'un espérant que vos secrets de pipeline se trouvent là où votre documentation de pipeline indique qu'ils sont. Les journaux bruts n'ont jamais quitté le serveur ; seules les constatations l'ont fait.

98sources hostiles profilées

15 498requêtes émanant d'elles

29ont atteint l'exploitation

11clusters à empreinte partagée

8,2/10hostilité maximale

2 918adresses à notre périmètre

893vues pour la première fois aujourd'hui

92pays

La liste WTF

WTF #1
À la recherche de vos clés IA
45.138.12.10, un scanner (hostilité 4,2/10), a envoyé 243 requêtes vers 3 de nos sites, sondant /.git/HEAD, /.env.aws, /.env.aws.local, /.env.ai.
Pourquoi c'est étrangeS'est directement attaqué aux identifiants IA : /.env.openai. Les clés API de modèles figurent désormais sur la liste de courses des scanners, aux côtés des clés cloud.
attribution: inconnuWed 7 Oct, 05:00 UTC
Detail
```
chaîne de frappe : reconnaissance → armement · ADN bac01fd1358e
```
WTF #2
Le visiteur le plus déterminé
185.92.25.90, un scanner (hostilité 6,6/10), a envoyé 33 requêtes vers l'un de nos sites, sondant /cord.php, /000.php, /chosen.php, /wp-includes/hp2.php.
Pourquoi c'est étrangeHostilité la plus élevée du tableau ; sa chaîne de frappe a atteint l'armement.
attribution: Chasseur de portes dérobées/webshells WordPress (meilleure correspondance du capteur, 42 %)Wed 7 Oct, 05:00 UTC
Detail
```
chaîne de frappe : reconnaissance → armement · ADN dfef4501b216
```
WTF #3
Tentative d'exploitation de CVE-2024-4577 contre nous
4 adresses ont envoyé 9 requêtes ayant la forme d'une exploitation de CVE-2024-4577 (/index.php), notamment 45.153.34.217, 213.209.159.223, 34.104.217.113.
Pourquoi c'est étrangeUn exploit connu et nommé toujours pulvérisé sur Internet ; notre périmètre l'a vu aujourd'hui, quoi que les notes de correctif disent de l'année.
attribution: inconnu
Detail
```
famille de sonde : webshell
```
WTF #4
Même empreinte, adresses différentes
20.28.180.172, un scanner (hostilité 6,0/10), a envoyé 358 requêtes à 78 par minute vers l'un de nos sites, sondant /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /wp-admin/css/colors/ocean/gZqjPe.php, /wp-admin/css/colors/midnight/ZDOUJz.php.
Pourquoi c'est étrange10 adresses IP partagent une empreinte comportementale (ADN c67915f564de) : un seul outil ou un seul opérateur faisant tourner les adresses : 23.100.83.23, 158.23.18.109, 151.240.104.232, 2001:41d0:801:1000::13fc, 20.28.180.172 et d'autres.
attribution: Scan de chasseur de portes dérobées/webshells WordPress (meilleure correspondance du capteur, 38 %)Wed 7 Oct, 05:00 UTC
Detail
```
chaîne de frappe : reconnaissance → armement · ADN c67915f564de
```
WTF #5
La liste de courses la plus étrange
80.82.156.184, un opérateur ciblé (hostilité 6,4/10), a envoyé 128 requêtes, sondant /db/websql/index.php, /administrator/PMA/index.php, /phpmyadmin_/index.php, /phpMyAdmin5/index.php.
Pourquoi c'est étrangeA demandé des fichiers que presque personne d'autre ne demande : /db/websql/index.php, /administrator/PMA/index.php, /phpmyadmin_/index.php, /phpMyAdmin5/index.php, /admin/web/index.php.
attribution: inconnuWed 7 Oct, 05:00 UTC
Detail
```
chaîne de frappe : reconnaissance → armement → exploitation · ADN 6e70267a94d8
```
WTF #6
En toute hâte
93.123.109.55, un scanner (hostilité 4,8/10), a envoyé 353 requêtes vers l'un de nos sites, sondant /.circleci/config.yml, /.github/workflows/ci.yml, /.github/workflows/deploy.yml, /.github/workflows/production.yml.
Pourquoi c'est étrangeA envoyé 353 requêtes en environ 3,1 secondes.
attribution: inconnuWed 7 Oct, 05:00 UTC
Detail
```
chaîne de frappe : reconnaissance → armement · ADN ce6ecdfacbe3
```

§6

SITREP

Rapport de situation de fusion (cyber)

Dix CVE de score CVSS 10,0 (CVE-2024-1212, CVE-2024-51378, CVE-2025-10035, CVE-2025-31324, CVE-2025-24201, CVE-2025-24085, CVE-2026-22769, CVE-2025-55182, CVE-2025-43300, CVE-2024-51567) sont activement exploitées dans la nature selon le catalogue KEV, nécessitant une application immédiate des correctifs sur l'ensemble de l'infrastructure. CRITIQUE : Dix vulnérabilités de score CVSS 10,0 confirmées sur la liste KEV (Known Exploited Vulnerabilities) de la CISA, indiquant une exploitation active : CVE-2024-1212, CVE-2024-51378, CVE-2025-10035, CVE-2025-31324, CVE-2025-24201, CVE-2025-24085, CVE-2026-22769, CVE-2025-55182, CVE-2025-43300, CVE-2024-51567. Principaux acteurs de la menace par volume de TTP : Kimsuky (134 TTP, RPDC), Lazarus Group (95 TTP, RPDC), APT28 (94 TTP, Russie), APT41 (85 TTP, Chine), Mustang Panda (85 TTP, Chine), Magic Hound (82 TTP, Iran), Volt Typhoon (82 TTP, Chine), APT32 (79 TTP, Vietnam), Sandworm Team (79 TTP, Russie), OilRig (77 TTP, Iran). Aucune donnée d'attribution CVE-acteur disponible dans le contexte actuel. Exposition de la chaîne d'approvisionnement via npm/openclaw (65 vulnérabilités, score CVSS max 9,9), go/siyuan (29 vulnérabilités, score CVSS 10,0), npm/n8n (29 vulnérabilités, score CVSS 10,0), composer/avideo (29 vulnérabilités, score CVSS 10,0), npm/vm2 (24 vulnérabilités, score CVSS 10,0).

IMMÉDIAT : Déployer les correctifs d'urgence pour les dix CVE de score CVSS 10,0 figurant sur la liste KEV sur l'ensemble de l'infrastructure d'entreprise dans les 24 heures
SURVEILLER : Les TTP de Kimsuky, Lazarus Group, APT28, APT41, Volt Typhoon et Sandworm Team contre la télémétrie réseau pour détecter les indicateurs d'intrusion
AUDITER : Analyser les bases de code pour détecter les dépendances envers npm/openclaw, npm/n8n, npm/vm2, go/siyuan, composer/avideo et prioriser la remédiation
BLOQUER : Mettre en œuvre des défenses contre le bourrage d'identifiants à partir du corpus de violations SynthientCredentialStuffingThreatData (1,96 milliard d'enregistrements)

Full SITREP →

§7

Reportages terrain

Outils en accès libre. Sans inscription ni démarche commerciale.

Chaque matin06:00 UK

Recevez-le dans votre boîte de réception. Chaque matin. En principe.

Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.

§8

Colophon

Comment cette édition a été fabriquée, sans détour.

L'édition 10 a été produite par machine et vérifiée par code. Chaque élément publié par 11 flux de menaces publics dans les 24 heures précédant 05h46 (heure du Royaume-Uni) (504 éléments) a été lu intégralement : les statistiques sont calculées par code, chaque tranche lue par Claude Sonnet, la structure synthétisée par Claude Opus. Claude Opus a ensuite édité le journal. Chaque article cite les éléments sur lesquels il repose ; les articles dont les références n'ont pas pu être résolues, ou dont les chiffres ne figuraient pas dans leurs sources, ont été supprimés avant publication (0 aujourd'hui). Les prévisions sont évaluées publiquement dans les éditions ultérieures. « Depuis notre périmètre » correspond à des données d'attaques en temps réel provenant de nos propres serveurs. Coût de cette édition : 2,20 $. Elle est rédigée par machine dans la voix de ScottG, auteur de Everything Is Probably Fine, et personne ne l'a modifiée à la main, ce qui est soit le point, soit le problème.

504items read

24hour window

$2.20cost of this edition

04:46 UTCgenerated

Sources de ce matin

ThreatFox115ok
NVD102ok
infosec.exchange67ok
Signal Atlas56ok
RansomLook52ok
Security news40ok
ransomware.live23ok
atlas23ok
signal:ioc-family15ok
RSS9ok
AlienVault OTX2ok

Recevez-le dans votre boîte de réception. Chaque matin. En principe.

Atlassian : sans identifiant, sans liste de répertoire — juste les fichiers dont vous connaissez déjà le nom

The Gentlemen ont été classés « en refroidissement » à 10h52, puis ont publié plus de vingt victimes accompagnées de liens ZoomInfo

Les clients d'ASOS ont reçu une notification push indiquant « HACKED » — c'est une façon d'apprendre l'existence d'un incident

Le registre danois n'a pas tant été piraté que correctement interrogé par les mauvaises personnes

Les machines produisent désormais plus de travail de sécurité que les humains ne peuvent en traiter

Des responsables sud-coréens pensent que des agents IA ont été utilisés pour s'introduire dans des banques, et Apple verrouille le disque

ClickFix cesse de télécharger des fichiers, car le navigateur les possède déjà

Un groupe de rançongiciels a expliqué à vx_underground comment il s'est introduit, et la réponse tenait à un point d'interrogation et un identifiant client

Dix groupes de rançongiciels non affiliés ont atteint leur pic le même jour calendaire

Le silence du NVD a créé une zone morte de suivi des correctifs pendant les deux journées les plus chargées

La classification « refroidissement » sur The Gentlemen était un faux négatif documenté

ransomware.live devance toutes les autres sources de 2 à 14 heures, sauf pour Everest

SmartLoader a enregistré 13 770 indicateurs contre un maximum de 8 pour la famille suivante

Today’s calls

Scorecard

Glossaire des termes que vous êtes censé connaître

La liste WTF

À la recherche de vos clés IA

Le visiteur le plus déterminé

Tentative d'exploitation de CVE-2024-4577 contre nous

Même empreinte, adresses différentes

La liste de courses la plus étrange

En toute hâte

Recevez-le dans votre boîte de réception. Chaque matin. En principe.

Sources de ce matin