Ouverture · Vulnérabilités

Quatre produits de périphérie ont été exploités hier. Le catalogue n'a gagné qu'une entrée, et aucun d'entre eux n'y figurait

Cisco, Palo Alto, Ivanti et Collabora ont tous signalé une exploitation en conditions réelles dans la même fenêtre, tandis que la liste des vulnérabilités exploitées connues de la CISA ajoutait une faille d'exposition de fichiers d'Atlassian affichant un EPSS de 0.02777.

confiance 0.88

Cisco a averti que des attaquants distants non authentifiés peuvent écrire des fichiers arbitraires dans le système d'exploitation de Secure Email Gateway et exécuter des commandes avec les privilèges root, et que cette faille est exploitée. Palo Alto Networks a publié un correctif pour CVE-2026-0322, CVSS 8.6, une faille d'exécution de code à distance dans l'interface de gestion de PAN-OS, décrite par un rapport comme un zero-day exploité et par un autre comme authentifiée et circonscrite au plan de gestion ; l'éditeur dit avoir connaissance d'une exploitation limitée et publie des IoC. Ivanti a diffusé des mises à jour d'urgence après que des attaquants ont enchaîné trois zero-days de Connect Secure, référencés autour de CVE-2026-104935, pour obtenir les droits root sans s'authentifier. Et des acteurs malveillants installent des portes dérobées sur des serveurs Nextcloud via CVE-2026-110447 dans l'application CODE Server intégrée de Collabora Online.

En regard, le catalogue des vulnérabilités exploitées connues (KEV) n'a ajouté qu'une seule chose : CVE-2026-21589, une faille de fichiers ou répertoires accessibles à des tiers externes touchant Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible et Fisheye Data Center, avec un EPSS de 0.02777. Ce n'est pas une critique du catalogue. Le catalogue est le registre d'éléments de preuve ayant franchi un processus, et les processus ont une vitesse. C'est une critique de son usage comme unique horloge : le temps qu'une chose soit consignée, elle est vraie depuis un moment, et la partie de votre parc qui était exposée l'était pendant tout ce temps.

L'ordre honnête pour ce matin : d'abord tout ce qui chez vous possède une interface de gestion répondant sur l'internet ouvert, puis les serveurs Nextcloud, puis Atlassian. Une interface de gestion sur l'internet public, c'est une porte de chambre à coucher avec une sonnette. Tant que vous y êtes, Drupal a corrigé le 14 octobre une faille critique de Field UI dans les versions 11.4.10, 11.3.19 et 10.6.19, Next.js a publié le même jour un correctif hors cycle pour deux RCE critiques non authentifiées, et NGINX a sorti les versions 1.30.6 et 1.31.7 pour cinq problèmes, dont l'un est présent dans toutes les versions depuis mai 2005. Vingt et un ans, ce n'est pas une fenêtre de vulnérabilité. C'est un bail.

Pourquoi c'est importantL'ordre de correction aujourd'hui : d'abord les preuves d'exploitation, ensuite le catalogue — équipements de périphérie aux plans de gestion exposés, puis Nextcloud/Collabora, puis Atlassian Data Center.

Preuves

Today’s revelation

Une vulnérabilité devient « activement exploitée » le jour où quelqu'un termine la paperasse. Elle l'était devenue bien plus tôt, et personne n'a envoyé d'invitation au calendrier.

— Sturgeon's Revelations · Probably Fine Daily No. 19

Chaque matin06:00 UK

Recevez-le dans votre boîte de réception. Chaque matin. En principe.

Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.

§2

À la une

Le reste des dernières 24 heures, preuves à l'appui.

Acteurs de la menace

La publicité s'est chargée. L'attaque tenait tout entière à cela

Citizen Lab affirme que des appareils d'Al Jazeera ont été infectés par le logiciel espion Candiru, diffusé via de banales publicités en ligne ciblées, une technique que les chercheurs nomment AdFection et décrivent comme la première confirmation publique d'un logiciel espion mercenaire sans clic diffusé par la publicité. Aucun clic, aucune action de l'utilisateur : le code caché s'exécutait dès le chargement de la publicité, laquelle s'affichait parfois hors écran, en arrière-plan. OTX a relayé le rapport environ une heure et demie avant les fils d'actualité, puis Mastodon a fait ce que Mastodon fait.

Pourquoi c'est importantSi une impression publicitaire est une primitive d'exécution, le blocage des publicités cesse d'être une question de préférence et devient un contrôle de sécurité adossé à un modèle de menace.

confiance 0.80

Preuves

Rançongiciels

Soixante-dix-sept éléments sur un site de fuite en une heure, ce n'est pas une vague criminelle, c'est une tâche cron

Sur 514 éléments dans la fenêtre, 259 datent du 15 octobre et 77 de la seule heure de 22 h, contre une moyenne de 10.1 éléments par heure ; Qilin en totalise 47 sur la journée, N0n 28, Akira 17 et LockBit5 17, pour des médianes proches de zéro. Les victimes sont bien réelles — Qilin a listé Brame Telecom, Commune Du Tampon, Chattanooga Shooting Supplies, HyperGen et Hocon Gas en trois minutes, Akira a listé Sun Valley Dairy, Videk et un cabinet d'avocats de l'Arizona, LockBit5 a listé cinq organisations en sept minutes — mais l'horloge est celle du script de publication, pas celle des intrusions. Et les deux traqueurs ne sont pas deux témoins : ransomware.live précède ransomlook d'une à cinq heures sur presque toutes les entités communes, si bien que quatre sources sur Qilin ne font en réalité qu'un seul site de fuite, aspiré deux fois, puis signalé.

Pourquoi c'est importantComptez les victimes, pas les publications, et considérez une rafale comme un calendrier de diffusion tant qu'une seconde source véritablement indépendante n'affirme pas le contraire.

confiance 0.75

Preuves

Rançongiciels

Sept organisations listées en quatre minutes environ, toutes étiquetées Salesforce

Entre 15 h 31 et 15 h 35, une entité se faisant appeler « the seven deadly sins » a publié sept annonces assorties de comptes à rebours de 60 et 72 heures : Canva avec plus de 200 M de lignes et plus de 2 M d'enregistrements Salesforce CRM, iHeartJane avec plus de 19 M comprenant des données Case/Contact/Account, Harness avec plus de 2,5 M de prospects et contacts, Verano avec plus de 2,4 M incluant l'historique de fidélité et de facturation, Globeia avec plus de 920 K, Cradlewise avec plus de 3,2 M et l'Hospital Sírio-Libanês avec plus de 3,5 M. Les revendications ne sont pas vérifiées, les descriptifs se lisent comme des présentations à investisseurs, jusqu'à « Company value ~$40B val », et la diversité des victimes s'accorde mal avec la compromission d'une seule application connectée — ce qui signifie soit plusieurs voies d'entrée, soit une exagération. Les comptes à rebours arrivent à échéance vers les 18-19 octobre, date à laquelle nous saurons laquelle.

Pourquoi c'est importantSi vous utilisez Salesforce, c'est aujourd'hui qu'il faut inventorier les applications connectées, les utilisateurs d'intégration et les jetons d'API, plutôt que d'attendre la fin du compte à rebours.

confiance 0.60

Acteurs de la menace

Environ 700 supermarchés français, des contrôleurs de froid non corrigés, et personne ne revendique

L'attaque contre la réfrigération du commerce de détail français s'est étendue aux contrôleurs Copeland et Dixell, avec environ 700 magasins touchés et aucun groupe ne revendiquant l'opération. Un rapport complémentaire évalue les pertes à des centaines de magasins et à des millions d'euros, et attribue la cause à des micrologiciels OT obsolètes gérés par des tiers. C'est tout le schéma moderne en une phrase : l'équipement est le vôtre, le micrologiciel relève du contrat de quelqu'un d'autre, et le correctif n'est le mardi de personne.

Pourquoi c'est importantDemandez dès aujourd'hui, par écrit, à vos services généraux et prestataires infogérés quel micrologiciel de contrôleur ils exploitent et quand il a été mis à jour pour la dernière fois.

confiance 0.65

Preuves

Politique

La violation de la Legal Aid Agency ne s'est pas aggravée. Elle s'est étendue dans le passé

La Legal Aid Agency, agence exécutive du ministère de la Justice, affirme que les attaquants qui ont pénétré ses systèmes en avril 2025 ont emporté des dossiers remontant à 1978, après qu'une analyse forensique a élargi le périmètre précédemment communiqué. Un second compte rendu indique que l'essentiel des données concerne des demandes, réclamations et paiements soumis entre 2007 et 2025 ; les deux chiffres n'ont donc pas encore été concilés publiquement. Le premier rapport a devancé d'environ six heures la grande presse spécialisée, ce qui en dit long sur l'endroit où les divulgations émergent réellement.

Pourquoi c'est importantLes déclarations de périmètre évoluent pendant dix-huit mois après un incident ; considérez le premier chiffre comme provisoire et dimensionnez votre capacité de notification sur le suivant.

confiance 0.70

Preuves

IA et sécurité

Les agents ont mené des pans substantiels d'une attaque, et les scanners convoitent désormais vos clés de modèles

Des chercheurs rapportent le premier incident confirmé dans lequel des agents pilotés par de grands modèles de langage ont exécuté des parties substantielles d'une attaque, passant d'un point d'entrée exposé de soumission de tâches à la prise de contrôle complète d'un serveur en moins de 24 heures, tandis que l'infostealer Aoki a ajouté à sa liste de collecte les identifiants de Claude, du Codex d'OpenAI, de Cursor, de Codeium et de Gemini. Notre propre périphérie a observé le même glissement en miniature cette nuit : un scanner a envoyé 442 requêtes à la recherche de /.env, /.env.local et /.env.development, avec /gemini.env dans le même balayage. Le contrepoint mérite d'être retenu : une analyse soutient que l'IA nivelle les attaques par le bas et que les acteurs sérieux y touchent à peine, et ANY.RUN a relié 1 258 analyses publiques en bac à sable à des campagnes se bornant à usurper l'identité de produits d'IA entre avril et octobre 2026. Les deux sont vrais, et c'est là le plus inconfortable.

Pourquoi c'est importantLes clés d'API de modèles doivent figurer dans le même inventaire, le même calendrier de rotation et le même dispositif d'alerte que les identifiants cloud, en commençant par ce qui se trouve dans vos dépôts.

confiance 0.70

Preuves

Logiciels malveillants et IOC

Un domaine à allure de pare-feu hébergeant des dizaines de chemins C2 Vidar, et des assistants Arch empoisonnés

ThreatFox a ingéré des dizaines d'URL de commande et contrôle Vidar en environ une minute, réparties sur les sous-domaines ih., yk. et ti. de 888-fw.com avec de courts identifiants de chemin par campagne tels que /wu, /m42 et /q1d. Le même lot contenait six écouteurs Sliver sur le port 31337 et un C2 Cobalt Strike sur 44.214.239.245:443, ce qui illustre la vieille blague selon laquelle les valeurs par défaut sont éternelles. Par ailleurs, un acteur malveillant a téléversé dans l'Arch User Repository des paquets malveillants se faisant passer pour les assistants populaires yay et paru, déployant un logiciel malveillant qui s'exécute avec les privilèges root.

Pourquoi c'est importantBloquez dès aujourd'hui les sous-domaines de 888-fw.com et les adresses C2 listées, et vérifiez lesquels de vos ingénieurs ont installé un assistant AUR cette semaine.

confiance 0.70

Preuves

1ThreatFoxSliver IOC: 64.227.97.214:31337 (ip:port) — Indicat…

Curiosités

Le site de fuite qui n'arrivait pas à identifier sa propre victime

L'acteur iah6477 a publié une victime nommée « hensley » avec une description générée par IA indiquant, en toute sincérité, que le nom seul ne suffit pas à identifier une entreprise précise car plusieurs sociétés l'utilisent ; une autre de ses annonces étiquette camden-living comme GB tout en décrivant une société immobilière américaine ; et la même bande apparaît sur l'autre traqueur sous le nom iah647. L'extorsion en est au stade où elle sous-traite ses recherches sur les victimes à un modèle qui tergiverse. Dans la colonne des étrangetés, une faille du noyau permettant à du code exécuté dans une machine virtuelle de lire la mémoire de l'hôte s'est vu attribuer le numéro CVE-2026-99999, surnommée PwnEscape, démontrée contre les bacs à sable cloud en production de Vercel et confirmée par Vercel.

Pourquoi c'est importantLes noms d'acteurs, étiquettes de pays et descriptifs de victimes issus des traqueurs de sites de fuite sont des contenus générés ; vérifiez-les avant que quoi que ce soit n'atteigne une notification client.

confiance 0.60

Preuves

§3

Masqué

La lecture approfondie du jour : ce qui est sous les flux, et non au-dessus.

Sous les flux : un site de fuite aspiré deux fois et compté quatre fois, une véritable affaire à trois sources, et une fenêtre de publication par lots qui explique l'essentiel de la « poussée » d'hier.

Exception 01
Les deux traqueurs de rançongiciels ne sont qu'un seul témoin
Pour presque toutes les entités communes, ransomware.live apparaît une à cinq heures avant ransomlook, et parfois dix à vingt-quatre heures avant Atlas ; les comptages multi-sources sur des acteurs tels que Qilin sont donc gonflés par l'aspiration des mêmes sites de fuite plutôt que par une véritable corroboration.
confiance 0.80
Wrong if
Les éléments de ransomlook portent des horodatages de première observation antérieurs pour les mêmes fuites, ou citent des sources indépendantes.
Watch
Si l'ordre se confirme dans les fenêtres suivantes ; si oui, utilisez ransomware.live comme signal le plus précoce et décotez le reste.
Preuves
1. 1ransomware.liveqilin claimed Brame Telecom (Technology · BR) — N/A
2. 2RansomLookqilin leaked Brame Telecom — Business Services
Exception 02
L'heure de 22 h a fait le gros du travail
259 des 514 éléments datent du 15 octobre et 77 de la seule heure de 22 h, contre une moyenne de 10.1 par heure, avec Qilin, Akira, LockBit5, N0n, Interlock et incransom tous représentés, ce qui évoque une publication par lots plutôt qu'un véritable changement de rythme opérationnel.
confiance 0.60Speculative
Wrong if
Les comptages quotidiens par acteur restent élevés du 16 au 18 octobre au lieu de revenir à la normale.
Watch
Les comptages quotidiens par acteur pour les trois prochains jours, et si Atlas continue d'étiqueter les mêmes acteurs comme à la fois en escalade et en refroidissement.
Preuves
1. 1Security newsSecTor 2026 Reveals a Rapidly Shifting Cybersecurit…
2. 2RansomLookqilin leaked Telcoe Federal Credit Union — Banking
Exception 03
N0n publie des annonces anonymisées à saveur de chaîne d'approvisionnement
N0n a publié environ huit entrées « Company #NN » en quinze heures, marquées PENDING EXPOSURE, dont une société d'assurance qualité logicielle liée à un environnement de test Wolters Kluwer/CCH Axcess et un intégrateur de bâtiments intelligents et de vidéosurveillance dont l'annonce revendique tous les sites clients, appareils, utilisateurs et identifiants, ce qui laisse supposer une exposition en aval bien au-delà de la victime nommée.
confiance 0.55Speculative
Wrong if
Les minuteurs expirent sans désanonymisation, ou les environnements nommés se révèlent être des données de test sans rapport.
Watch
La désanonymisation à l'expiration des minuteurs PENDING EXPOSURE, et toute déclaration des clients de l'intégrateur.
Exception 04
L'étiquette PAN-OS ne s'accorde pas avec elle-même
Un rapport présente la faille de PAN-OS comme un zero-day exploité permettant l'exécution de code à distance ; un autre décrit CVE-2026-0322, CVSS 8.6, comme une exécution de code à distance dans l'interface de gestion sous exploitation active. Votre exposition réelle dépend de la réponse de cette interface depuis internet.
confiance 0.55
Wrong if
Palo Alto confirme une exploitation dans la nature d'un chemin non authentifié, ou précise l'exigence d'authentification.
Watch
Les ajouts au KEV pour PAN-OS, Cisco Secure Email Gateway et Ivanti Connect Secure au cours des trois prochains jours.
Preuves
Exception 05
Les métadonnées des traqueurs sont générées, pas observées
Le même acteur apparaît sous les noms iah6477 et iah647 sur deux traqueurs, les descriptifs de victimes sont marqués comme générés par IA et contredisent leurs propres étiquettes de pays, et Atlas attribue N0n à CA et thegentlemen à AG, BZ, TH, TW et FI ; la géographie et les comptages issus de ces sources doivent donc être décotés.
confiance 0.65
Wrong if
Des vérifications au niveau des victimes confirment les pays étiquetés et l'identité unique de l'acteur.
Watch
Si les alias fusionnent et si les listes de pays d'Atlas se stabilisent lors des exécutions ultérieures.
Preuves
1. 1RansomLookiah647 leaked alera — status: public | hosting: pre…

Nothing to seeLe volume Siemens et NVD relève du calendrier de publication du Patch Tuesday, pas d'une campagne ; les grappes de CVE de faible qualité issues du même fabricant de divulgations n'ont aucune structure inter-sources ; les éléments liés à des États (Silent Lynx, PEERSTITCH) et les démantèlements de kits d'hameçonnage ne sont apparus qu'une fois chacun et en sont restés là. Le silence de NVD après le 14 octobre à 23 h 22 relève presque certainement d'un traitement par lots plutôt que d'un véritable silence, et une seule journée de données a été lue : personne ici ne prétend donc déceler une tendance.

Deep read: 514 articles consultés

§4

Prévisions

Analyses datées et réfutables. Nous notons notre propre copie, publiquement.

Today’s calls

DueFri 23 Oct7 days
Le KEV de la CISA ajoute au moins une des failles de PAN-OS (CVE-2026-0322), d'Ivanti Connect Secure (chaîne CVE-2026-104935) ou de Cisco Secure Email Gateway d'ici le 23 octobre.
Wrong ifLe KEV ne comporte aucun de ces trois produits dans une entrée datée du 23 octobre ou avant.
Preuves
f-2026-10-16-1
Confidence0.60
DueFri 23 Oct7 days
Après l'expiration des comptes à rebours de 60 et 72 heures les 18-19 octobre, au moins une des sept organisations listées par « the seven deadly sins » verra ses données publiées sur le site de fuite ou fera une déclaration publique, d'ici le 23 octobre.
Wrong ifLes sept annonces restent toutes en compte à rebours ou disparaissent discrètement, sans publication ni déclaration de victime d'ici le 23 octobre.
f-2026-10-16-2
Confidence0.45
DueWed 21 Oct5 days
Qilin ne tiendra pas le volume d'hier : au moins un jour entre le 17 et le 21 octobre affichera moins de dix éléments Qilin sur le site de fuite selon ransomware.live.
Wrong ifChaque jour du 17 au 21 octobre enregistre dix publications Qilin ou plus sur ransomware.live.
Preuves
f-2026-10-16-3
Confidence0.75

Scorecard

2 right · 1 partly · 1 wrong · 2 open

wrong
Rejetto HFS CVE-2026-61500 picks up either an NVD record or a KEV listing in these feeds by 16 October.
Called Tue 6 Oct · due Fri 16 Oct
Due date is today (16 October) and no NVD record or KEV listing for CVE-2026-61500 appears in any of today's feed items.
right
CVE-2026-21589, the Atlassian Data Center flaw already under attack, is added to the CISA KEV catalogue.
Called Fri 9 Oct · due Mon 19 Oct
CISA KEV added CVE-2026-21589 on 15 October 2026, before the 19 October deadline.
Preuves
1. 1CISA KEVCVE-2026-21589 Atlassian Multiple Products: Atlassi…
open
No official T-Mobile breach notification or verified data sample corroborating BYOD's claim appears in these feeds.
Called Fri 9 Oct · due Fri 16 Oct
Due date is today (16 October) and no T-Mobile breach notification or verified data sample appears in today's feeds.
open
At least one of N0n's duplicated listings (Companies #19 to #23 or #25 to #29) is removed, merged or retagged on ransomware.live or ransomlook by 16 October.
Called Mon 12 Oct · due Fri 16 Oct
Due date is today (16 October); no items in today's feeds confirm removal/merge/retag of N0n's duplicate listings #19-#23 or #25-#29, but also no explicit confirmation all remain unchanged.
partly
Wallstreet posts at least three further Swedish victims to its leak site.
Called Wed 14 Oct · due Wed 21 Oct
One Wallstreet SE-tagged victim (TGM Manufacturing, US) posted but US-tagged, not Swedish; only one new entry visible; deadline 21 October not yet passed.
right
lockbit5 posts at least three further named victims to ransomware.live by 20 October 2026.
Called Thu 15 Oct · due Tue 20 Oct
lockbit5 posted at least 5 new named victims (grupoabg.com, neweramachines.com, lcww.com.eg, kidzrkooldental.com, torcivialaw.com) on ransomware.live on 15 October, meeting the threshold of three before the 20 October deadline.
Preuves

Glossaire des termes que vous êtes censé connaître

Interface de gestion (n.): La partie de l'équipement qui n'est accessible que depuis le réseau interne, à l'exception de celles qui sont accessibles depuis internet, ce qui est généralement ainsi que l'on découvre de quelle sorte on dispose.

§5

Depuis notre périmètre

Attaques en direct sur nos propres serveurs au cours des dernières 24 heures. Oui, vraiment les nôtres.

Notre propre capteur de périphérie a profilé 86 sources hostiles au cours des dernières 24 heures — 62 scanners, 18 robots d'indexation, 5 opérateurs ciblés et 1 attaquant par force brute — qui ont envoyé à elles toutes 16,405 requêtes, dont 18 sont allées au-delà de la reconnaissance jusqu'à de véritables tentatives d'exploitation, et 6 groupes d'adresses partageant une empreinte comportementale. La plus forte hostilité du tableau était de 8.5 sur 10 ; le visiteur profilé le plus déterminé, 146.70.40.70 à 7.7, n'a envoyé que 20 requêtes et a pourtant atteint l'accès aux identifiants, ce qui corrige utilement quiconque classe les menaces par volume. 45.138.12.185 a envoyé 442 requêtes à la recherche de fichiers d'environnement, dont /gemini.env ; dix-sept adresses partageaient l'ADN dfef4501b216 en visant /.git/config et /.env.production ; 92.118.39.126 a tiré 24 requêtes en environ un dixième de seconde ; deux hôtes, 209.38.91.228 et 94.26.0.103, ont arrosé quinze requêtes calquées sur CVE-2017-9841 contre des chemins phpunit, un exploit vieux de neuf ans qui gagne encore sa vie. Sur la journée, 2,807 adresses ont atteint notre périphérie depuis 90 pays, dont 993 nous étaient inconnues. Les journaux bruts n'ont jamais quitté le serveur ; seules ces conclusions l'ont fait.

86sources hostiles profilées

16,405requêtes émanant d'elles

18ont atteint l'exploitation

6grappes à ADN partagé

8.5/10hostilité maximale

2,807adresses à notre périphérie

993vues pour la première fois aujourd'hui

90pays

La liste WTF

WTF #1
À la recherche de vos clés d'IA
45.138.12.185, un scanner (hostilité 4.4/10), a envoyé 442 requêtes à l'un de nos sites, sondant /.env, /.env.local, /.env.development, /config.php.
Pourquoi c'est étrangeS'est directement attaqué aux identifiants d'IA : /gemini.env. Les clés d'API de modèles figurent désormais sur la liste de courses des scanners, à côté des clés cloud.
attribution: inconnuFri 16 Oct, 00:00 UTC
Detail
```
chaîne d'attaque : reconnaissance → militarisation → exploitation · ADN f54b5889aafb
```
WTF #2
Le visiteur le plus déterminé
146.70.40.70, un opérateur ciblé (hostilité 7.7/10), a envoyé 20 requêtes à l'un de nos sites, sondant /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Pourquoi c'est étrangeHostilité la plus élevée du tableau ; sa chaîne d'attaque a atteint l'accès aux identifiants.
attribution: inconnuFri 16 Oct, 00:00 UTC
Detail
```
chaîne d'attaque : reconnaissance → militarisation → exploitation → accès aux identifiants · ADN 82a939927b85
```
WTF #3
CVE-2017-9841 tentée contre nous
2 adresses ont envoyé 15 requêtes calquées sur l'exploitation de CVE-2017-9841 (/vendor/phpunit/phpunit/…), dont 209.38.91.228, 94.26.0.103.
Pourquoi c'est étrangeUn exploit connu et nommé encore pulvérisé sur internet ; notre périphérie l'a vu aujourd'hui, quoi que disent les notes de correctif sur l'année.
attribution: inconnu
Detail
```
famille de sondes : phpunit-rce
```
WTF #4
Même ADN, adresses différentes
34.130.52.167, un scanner (hostilité 6.3/10), a envoyé 277 requêtes à l'un de nos sites, sondant /.git/config, /.env, /.env.local, /.env.production.
Pourquoi c'est étrange17 IP partagent une même empreinte comportementale (ADN dfef4501b216) : un seul outil ou un seul opérateur faisant tourner les adresses : 20.197.26.190, 20.204.146.105, 151.240.45.25, 95.153.31.12, 167.172.90.23 et d'autres.
attribution: inconnuFri 16 Oct, 00:00 UTC
Detail
```
chaîne d'attaque : reconnaissance → militarisation · ADN dfef4501b216
```
WTF #5
La liste de courses la plus étrange
20.214.147.109, un opérateur ciblé (hostilité 6.2/10), a envoyé 113 requêtes à 2 de nos sites, sondant /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /3PJcpMFsD8B.php, /z70.php.
Pourquoi c'est étrangeA demandé des fichiers que presque personne d'autre ne demande : /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /3PJcpMFsD8B.php, /z70.php, /1.php.
attribution: inconnuFri 16 Oct, 00:00 UTC
Detail
```
chaîne d'attaque : reconnaissance → militarisation → exploitation · ADN 938595d2ae44
```
WTF #6
Très pressé
92.118.39.126, un scanner (hostilité 6.2/10), a envoyé 24 requêtes à l'un de nos sites, sondant /dev/.git/config, /.git/HEAD, /admin/.git/config, /app/.git/config.
Pourquoi c'est étrangeA tiré 24 requêtes en environ 0.1 seconde.
attribution: inconnuFri 16 Oct, 00:00 UTC
Detail
```
chaîne d'attaque : reconnaissance → militarisation · ADN 30414a1527be
```

§6

Reportages terrain

Outils en accès libre. Sans inscription ni démarche commerciale.

Chaque matin06:00 UK

Recevez-le dans votre boîte de réception. Chaque matin. En principe.

Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.

§7

Colophon

Comment cette édition a été fabriquée, sans détour.

L'édition 19 a été réalisée par une machine et vérifiée par du code. Chaque élément publié par 13 flux publics de renseignement sur les menaces au cours des 24 heures précédant 05 h 05 heure du Royaume-Uni (514 éléments) a été lu intégralement : statistiques calculées par du code, chaque tranche lue par Claude Sonnet, structure synthétisée par Claude Opus. Claude Opus a ensuite édité le journal. Chaque article cite les éléments sur lesquels il repose ; les articles dont les justificatifs ne se résolvaient pas, ou dont les chiffres ne figuraient pas dans leurs sources, ont été écartés avant publication (0 aujourd'hui). Les prévisions sont évaluées publiquement dans les éditions ultérieures. « From our edge » désigne des données d'attaque en direct issues de nos propres serveurs. Coût de cette édition : $0.98. Elle est rédigée par une machine, dans la voix de ScottG, auteur d'Everything Is Probably Fine, et personne ne l'a éditée à la main, ce qui est soit le but, soit le problème.

514items read

24hour window

$0.98cost of this edition

04:05 UTCgenerated

Sources de ce matin

NVD100ok
ThreatFox100ok
Signal Atlas81ok
Security news57ok
RansomLook54ok
infosec.exchange38ok
ransomware.live37ok
atlas18ok
AlienVault OTX10ok
RSS9ok
signal:ioc-family8ok
signal:kev1ok
CISA KEV1ok

Recevez-le dans votre boîte de réception. Chaque matin. En principe.

La publicité s'est chargée. L'attaque tenait tout entière à cela

Soixante-dix-sept éléments sur un site de fuite en une heure, ce n'est pas une vague criminelle, c'est une tâche cron

Sept organisations listées en quatre minutes environ, toutes étiquetées Salesforce

Environ 700 supermarchés français, des contrôleurs de froid non corrigés, et personne ne revendique

La violation de la Legal Aid Agency ne s'est pas aggravée. Elle s'est étendue dans le passé

Les agents ont mené des pans substantiels d'une attaque, et les scanners convoitent désormais vos clés de modèles

Un domaine à allure de pare-feu hébergeant des dizaines de chemins C2 Vidar, et des assistants Arch empoisonnés

Le site de fuite qui n'arrivait pas à identifier sa propre victime

Les deux traqueurs de rançongiciels ne sont qu'un seul témoin

L'heure de 22 h a fait le gros du travail

N0n publie des annonces anonymisées à saveur de chaîne d'approvisionnement

L'étiquette PAN-OS ne s'accorde pas avec elle-même

Les métadonnées des traqueurs sont générées, pas observées

Today’s calls

Scorecard

Glossaire des termes que vous êtes censé connaître

La liste WTF

À la recherche de vos clés d'IA

Le visiteur le plus déterminé

CVE-2017-9841 tentée contre nous

Même ADN, adresses différentes

La liste de courses la plus étrange

Très pressé

Recevez-le dans votre boîte de réception. Chaque matin. En principe.

Sources de ce matin