Rapport de terrain quotidien sur ce qui est Probably Fine
No. 30·Mardi 27 Octobre 2026·Publié à 06:00 UK·Indicateur Fine 3/5: Pas bien, mais supportable
Ouverture · Vulnérabilités
PHP figure deux fois dans le KEV, et les shells sont arrivés avant l'avis de sécurité
La CISA a ajouté le 26 octobre deux failles d'exécution de code à distance sans authentification dans PHP lui-même ; des shells opérationnels avaient été observés sur des honeypots dès le 24, et Siemens, Schneider Electric et ABB ont commencé à inspecter leurs propres placards.
confiance0.85
CVE-2026-109618 est une corruption de mémoire. CVE-2026-109619 est un bogue d'état de requête interne périmé. La CISA les décrit tous deux de la même voix terne qu'elle emploie pour tout : contains a vulnerability that allows for unauthenticated remote code execution. Leurs scores EPSS sont de 0.99981 et 0.99997, ce qui est la manière qu'a ce système de notation de hausser les épaules en disant : oui, évidemment, tout le monde, bientôt. Les deux failles sont désignées ensemble sous le nom de PHP2Shell, et SecurityWeek rapporte que les attaquants sont passés des sondages à des shells opérationnels contre des honeypots le 24 octobre : trente-cinq shells, deux adresses IP, un samedi.
C'est la chronologie qu'il faut retenir. Exploitation le 24, KEV le 26, et un pulse OTX daté du 26 décrivant un acteur sinophone… pardon, coréanophone, suivi sous le nom de campagne Minjun de juin 2026 et lié avec un niveau de confiance modéré à Lazarus Group, comme planifiant activement une exploitation ciblée des deux failles. Planifiant. L'un de ces documents est en retard sur l'autre, et ce n'est pas le honeypot. Considérez « planifier » comme un verbe qui était vrai la semaine dernière.
Vient ensuite la portée. Il ne s'agit pas d'un plugin, mais de l'interpréteur qui sous-tend une énorme part du web, dont WordPress, qui fournit à lui seul environ la moitié du flux de CVE de ces sources un jour donné. Siemens, Schneider Electric et ABB ont confirmé que certains de leurs produits sont touchés, phrase qui, en quelques mois, transforme un bogue web en problème d'OT. On ne corrige pas PHP dans un poste électrique un mardi après-midi.
Pourquoi c'est importantSi vous exploitez PHP où que ce soit en frontal Internet — et c'est le cas, vous n'avez simplement pas fini de le localiser —, c'est le travail de ce soir, pas celui du trimestre.
Le bogue aux trois noms marketing a un correctif et pas de victimes ; le bogue au nom ennuyeux a trente-cinq shells et une date d'échéance.
— Sturgeon's Revelations · Probably Fine Daily No. 30
Chaque matin06:00 UK
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§2
À la une
Le reste des dernières 24 heures, preuves à l'appui.
Vulnérabilités
Le bogue Brotli a trois noms, quatre correctifs d'urgence et personne pour l'exploiter
CVE-2026-111497 est un débordement de tas dans le décodeur Brotli, version 1.2.0 ou antérieure, où un flux compressé mal formé fait déborder un tampon interne de huit octets ; selon qui l'a déposé en premier, on l'appelle HTTP2Shell, Node2Shell ou Broccoli2Shell. Microsoft a livré des mises à jour .NET d'urgence ; PHP a reconstruit ses paquets Windows officiels pour les versions 8.2 à 8.5, sa deuxième mise à jour de sécurité Windows en cinq jours, en précisant que la faille est atteignable via l'extension cURL ; des rapports citent Node.js, .NET, PowerShell, des paquets Python, Envoy et Istio parmi les produits touchés. La preuve de concept est publique et aucune exploitation dans la nature n'a été signalée, ce qui explique que CyberScoop ait publié un article sur des experts tempérant les alarmes de niveau urgence. Corrigé dans Brotli 1.2.1 et Node 26.12.1.
Pourquoi c'est importantCorrigez-le dans le cycle normal, mais ne le laissez pas dévorer la soirée que vous devez aux deux entrées KEV de PHP, elles bel et bien exploitées.
Qilin a publié environ vingt victimes en cent minutes, et le moteur de corrélation a publié soixante-seize articles à ce sujet
Entre 11 h 33 et 13 h 13 le 26 octobre, le site de fuite de Qilin a accueilli le BTP, des écoles, la sidérurgie, les stratifiés, la rhumatologie, la confiserie et deux organismes d'énergie — dont la Natural Energy Laboratory of Hawaii Authority et la Delta Electric Power Association. Notre flux de tempo place Qilin à 42 revendications en sept jours contre 25 attendues d'après son propre rythme antérieur, dans une semaine de 199 revendications publiées par 38 des 267 groupes suivis ; lamashtu (7 contre 1,25 attendue) et BrainCipher (8 contre 1,86) sont aussi en forte hausse. Une mise en garde pour qui s'apprête à faire une capture d'écran de tableau de bord : Atlas affiche 76 éléments Qilin pour la journée contre une médiane de zéro les autres jours, et la plupart sont les mêmes victimes réévaluées dans des séries par pays, par secteur et par secteur pondéré par la vélocité, non de nouveaux événements.
Pourquoi c'est importantLa rafale est réelle et l'exposition du secteur énergétique l'est aussi ; les soixante-seize sont un artefact consistant à compter la même chose dans quatre systèmes de coordonnées.
Un système hospitalier du Nouveau-Mexique détourne des patients ; un groupe appelé BYOD affirme détenir 36 000 de ses machines
Le University of New Mexico Health System a demandé au public de ne pas se rendre à son hôpital principal d'Albuquerque et a annulé des rendez-vous dans plus de 30 cliniques après un incident de cybersécurité. Séparément, le même jour, un acteur publiant sous le nom BYOD a revendiqué l'University of New Mexico, listant 36 000 machines compromises, les deux forêts Active Directory couvrant le campus principal et le secteur hospitalier, des GPO, deux bases Oracle, ainsi que des données personnelles d'étudiants et d'employés, dont des numéros de sécurité sociale. Aucun des deux éléments ne mentionne l'autre : le rapport de panne n'indique pas de cause, et la publication du site de fuite ne fait pas référence aux fermetures de cliniques. Tenez-les pour deux faits qui partagent une date et une organisation, jusqu'à ce que quelqu'un dise le contraire.
Pourquoi c'est importantSi la revendication des deux forêts est exacte, l'identité devient le chantier de reprise et tout le reste n'est que de la planification.
Whitearmor est contrarié que ses victimes continuent de réagir en adultes
Whitearmor a revendiqué J.B. Hunt et s'est plaint, publiquement et longuement, que l'entreprise, au lieu d'ouvrir des négociations, ait discrètement envoyé un courriel à ses clients pour leur demander de changer leur mot de passe. Il a aussi revendiqué LoveSac — un détaillant qu'il décrit comme exploitant plus de 250 showrooms pour environ 700 millions de dollars de chiffre d'affaires annuel — avec une base de 1 113 285 enregistrements de commandes, ainsi que Gamdom, un casino crypto non régulé dont le fondateur Felix Romer a fait état de plus de 3 millions de dollars de pertes à la suite d'une intrusion dans un hot wallet, tandis que des analystes on-chain les situent plutôt autour de 4,2 millions. Aucun chiffrement n'est mentionné dans ces trois cas ; c'est du vol de données assorti d'un grief. Atlas signale la série américaine comme en escalade à 0,78.
Pourquoi c'est importantVotre plan d'extorsion doit prévoir une branche pour le cas où il n'y a rien à déchiffrer et où le seul levier est votre calendrier de divulgation.
confiance0.65
Logiciels malveillants et IOC
Trois campagnes distinctes, une seule cible : les identifiants que votre chaîne de build garde dans un tiroir
Gheist sévit depuis le 15 septembre : une campagne automatisée qui utilise des jetons GitHub volés pour pousser un workflow nommé sync-check dans chaque dépôt accessible, affiche les secrets du dépôt dans ses journaux Actions, les télécharge et supprime les exécutions, avec succès dans les dépôts privés et les environnements GitHub Enterprise. LiteLLM 1.107.0 a été compromis le 21 octobre et distribué via PyPI et les images de conteneur officielles, en recourant aux mécanismes de démarrage de Python pour exécuter un vol d'identifiants. Et des chercheurs ont trouvé 42 dépôts GitHub piégés chez 11 propriétaires légitimes, liés à l'opération npm testmetest, dissimulés derrière un camouflage d'addons natifs. L'information sur Gheist a mis environ trois heures et demie à parvenir à OTX : les indicateurs évoluent donc vite.
Pourquoi c'est importantCherchez un workflow nommé sync-check, renouvelez tout ce qu'un job de build a déjà lu, et traitez les journaux de CI comme un canal d'exfiltration plutôt que comme un journal intime.
Un fichier du dossier Téléchargements a donné des ordres à un agent de codage, et l'agent a obéi
Forever Security a rapporté avoir détecté, sur la machine d'un vrai client, un fichier d'instructions malveillant dans le dossier Téléchargements d'un développeur, qui tentait d'amener son agent de codage IA à installer un paquet npm connu comme malveillant ; Dark Reading y voit une injection de prompt qui abuse de la façon dont les assistants consomment les fichiers d'instructions locaux, brouillant la frontière entre un document texte et une action exécutable. Cela survient en même temps qu'un guide du NIST, de la CISA et de la NSA qui traite les agents hors de contrôle comme des incidents à répéter, la question difficile étant : de quelle autorité l'agent s'est-il servi — une réponse qui doit exister avant l'incident. Entre-temps, la police sud-coréenne a désigné sept suspects, dont un ancien pentester, dans une opération ayant compromis plus de 90 organisations et dérobé 8,2 millions d'enregistrements, le framework de pentest par IA ARTEX ayant servi dans la plupart des attaques.
Pourquoi c'est importantSi un agent détient un identifiant, cet identifiant doit dès aujourd'hui avoir un propriétaire, un journal et une voie de révocation, car le markdown qu'il lit est désormais une entrée non fiable.
L'accès initial de cette semaine, c'est un message Teams et un jeton rejoué, et ni l'un ni l'autre n'a besoin de la permission de votre pare-feu
Des chercheurs décrivent un schéma d'ingénierie sociale récurrent, observé dans des centaines de cas, où des attaquants exploitent la création de conversations externes par défaut de Microsoft Teams pour se faire passer pour le support informatique et livrer des logiciels malveillants et des rançongiciels ; une analyse parallèle de plus de 400 incidents aboutit à la même conclusion sur le chat externe comme voie d'accès initial. Par ailleurs, Huntress a divulgué une campagne Microsoft 365 utilisant un relais adversary-in-the-middle pour capturer des sessions de connexion et rejouer les jetons volés, compromettant 97 comptes dans 79 organisations. Aucune de ces techniques ne fait intervenir de CVE, de charge sur disque, ni rien que votre fenêtre de correctifs aurait réglé.
Pourquoi c'est importantRestreignez le chat externe de Teams à une liste d'autorisation et commencez à alerter sur la réutilisation de jetons depuis de nouvelles combinaisons appareil-réseau, car l'authentification multifacteur n'a jamais été la ligne d'arrivée.
Un homme diffuse en direct PHP 8.4.26 jusqu'à ce qu'il soit compromis, ce qui relève aujourd'hui moins de l'expérience que du bulletin météo
Sur Mastodon ce matin : un tableau de bord de honeypot, en direct sur Twitch, qui fait tourner PHP 8.4.26 jusqu'à ce qu'il soit compromis — publié quelques heures après l'ajout par la CISA de deux RCE PHP sans authentification au KEV. Ailleurs dans la colonne des curiosités : Doommageddon a revendiqué Referans Lab avec 3,07 Go en deux fichiers, statut leaked, échéance 2026-10-26T00:00:00Z, publié à 09 h 22 le même jour, un compte à rebours déjà terminé avant que quiconque puisse le lire. Et deux éditeurs ont corrigé un incident de certificats que personne n'a nommé — BigFix a livré un correctif parce que les bundles CA de Mozilla antérieurs au 2026/10/20 font encore confiance à des certificats dont les clés privées ont été compromises, tandis que Python a ajouté au module ssl une liste de refus de certificats compromis connus, rejetés quelle que soit la politique du SSLContext. Apple, par ailleurs, a publié des correctifs pour 304 vulnérabilités.
Pourquoi c'est importantQuand deux projets indépendants livrent des contournements de révocation la même semaine, l'histoire intéressante est celle que ni l'un ni l'autre n'a encore le droit de raconter.
La lecture approfondie du jour : ce qui est sous les flux, et non au-dessus.
Sous les flux : le bogue de marque n'a pas de victimes, le bogue discret a des shells, et un tiers du volume de rançongiciels d'hier est le même événement coiffé de quatre chapeaux.
Exception 01
L'exploitation de PHP2Shell devance le récit d'attribution
Soit le pulse est périmé, soit il décrit une vague ultérieure et distincte. Comme PHP sous-tend WordPress, le flux ordinaire de CVE de plugins devient un chemin plus court vers une RCE complète, et Siemens, Schneider Electric et ABB ont confirmé des produits touchés.
confiance0.70
Wrong if
La télémétrie des shells s'avère n'être que du bruit de scanners plutôt qu'une exploitation réussie, ou le pulse porte une date antérieure aux observations du 24 octobre.
Watch
De nouveaux IOC PHP2Shell, l'application des échéances KEV, et la première compromission d'un CMS basé sur PHP ou d'un système OT nommée publiquement.
Les 76 de Qilin relèvent surtout d'une réévaluation
Qilin affiche 76 éléments le 26 octobre contre une médiane de zéro les autres jours, mais le site de fuite montre environ vingt victimes entre 11 h 33 et 13 h 13, et la grappe de 73 éléments de 17 h 00 relève d'un traitement par lots, non d'événements distincts. Compter 76 comme une activité indépendante surestime la journée.
confiance0.65
Wrong if
Le nombre de publications de victimes distinctes s'avère correspondre un à un au nombre d'éléments d'Atlas.
Watch
Le rythme du site de fuite de Qilin au cours des 48 prochaines heures.
Les sites de fuite devancent la couche de corrélation de cinq à douze heures
Pour Scarlettgroup, Whitearmor, Aurora, Falcon, Qilin, Payload et Dragonforce, ransomware.live publie la revendication en premier et Atlas suit entre 4,8 et 12,4 heures plus tard. N0n fait exception, apparaissant dans Atlas 1,6 heure plus tôt. Les étiquettes « escalating » d'Atlas sont donc des confirmations tardives, non des alertes précoces.
confiance0.60
Wrong if
Les décalages disparaissent une fois les horodatages de lot séparés des horodatages d'événement.
Watch
Si l'ordre observé pour N0n se répète, ce qui suggérerait un autre chemin d'ingestion.
Quatre acteurs, un secteur, une revendication sensible côté OT
Dragonforce (Inside Passage Electric Cooperative), Qilin (Delta Electric Power Association, Natural Energy Laboratory of Hawaii Authority), Rhysida (MISC Group) et N0n (Ingelectus) ont tous revendiqué des victimes du secteur de l'énergie ou des services publics en l'espace d'un jour. La publication de N0n répertorie de la télémétrie électrique en direct issue du réseau de contrôle d'une centrale, enregistrée le 23 octobre, et un inventaire de 49 équipements réseau, dont des appareillages de poste électrique. Un recoupement opportuniste est l'explication la plus probable, mais le détail OT accroît le risque en aval.
confiance0.45Speculative
Wrong if
Les victimes sont sans lien et les semaines précédentes montrent un niveau de base comparable de revendications dans l'énergie.
Watch
Si N0n publie des échantillons, et tout avis ICS nommant les services publics touchés.
Le flux NVD s'arrête net après 00 h 22 le 26 octobre
Les 100 éléments NVD de cette fenêtre précèdent tous cette heure et rien ne suit. Soit l'ingestion s'est interrompue, soit le calme est un artefact de collecte ; dans les deux cas, toute CVE publiée ensuite, y compris les suites de la paire PHP, manque à la lecture d'aujourd'hui.
confiance0.50Speculative
Wrong if
De nouveaux éléments NVD apparaissent avec des horodatages d'événement plus tardifs lors de la prochaine collecte.
Nothing to seeLes grappes de plugins WordPress (GeoDirectory, GiveWP, WPVR), la vague d'injections d'objets, les bogues d'autorisation des frameworks chinois, Cervantes, Travisun Opptrix et les 304 correctifs d'Apple apparaissent comme de routine ou isolés, sans lien caché au-delà de l'exposition PHP déjà notée. L'attribution à Lazarus repose sur un seul pulse à confiance modérée, et les articles « crise composée » d'Atlas, à une confiance de 0,42 à 0,51, sont trop faibles pour être interprétés autrement que comme le moteur s'éclaircissant la gorge.
Deep read: 369 articles consultés
§4
Prévisions
Analyses datées et réfutables. Nous notons notre propre copie, publiquement.
Today’s calls
DueCallConfidence
DueTue 3 Nov7 days
La CISA n'ajoutera pas CVE-2026-111497 (Brotli / HTTP2Shell / Node2Shell / Broccoli2Shell) au catalogue KEV.
Wrong ifUne entrée KEV pour CVE-2026-111497 apparaît au plus tard le 3 novembre.
De nouveaux indicateurs PHP2Shell — adresses sources d'exploitation ou artefacts de shell au-delà des deux IP observées le 24 octobre — apparaîtront dans la presse ou dans les rapports OTX.
Wrong ifAucun nouvel IOC PHP2Shell au-delà des deux adresses d'origine n'est publié d'ici le 6 novembre.
At least three of N0n's 'Company #71'–'Company #83' placeholders appear on the leak trackers as named victims by 27 October 2026.
Called Sat 17 Oct · due Tue 27 Oct
Due today. No item shows any 'Company #71'–'#83' placeholder replaced by a named victim. The only N0n item names Ingelectus.
wrong
At least one of N0n's placeholder listings (Company #92, #93 or #94) will reappear under a real organisation name on ransomware.live or ransomlook by 27 October 2026.
Called Tue 20 Oct · due Tue 27 Oct
Due today. No item shows Company #92, #93 or #94 named on the trackers.
right
CVE-2026-109618 and/or CVE-2026-109619 (PHP2Shell) are added to the CISA KEV catalogue.
Called Thu 22 Oct · due Thu 29 Oct
CISA KEV added both PHP2Shell CVEs on 26 October, before the 29 October deadline.
Glossaire des termes que vous êtes censé connaître
2Shell (suffixe)(n.)
Convention de nommage indiquant qu'un bogue de sûreté mémoire a terminé ses formalités et reçu une marque. Le suffixe voyage plus vite que le correctif, et bien plus vite que l'inventaire des actifs qui vous dirait si vous exploitez la chose.
§5
Depuis notre périmètre
Attaques en direct sur nos propres serveurs au cours des dernières 24 heures. Oui, vraiment les nôtres.
Notre propre périmètre, ces dernières 24 heures : la sonde locale Adversary DNA a profilé 90 sources hostiles — 50 scanners, 25 robots d'exploration, 9 chercheurs et 4 opérateurs ciblés — qui ont envoyé 9 994 requêtes au total, dont 32 ont dépassé la reconnaissance pour des tentatives d'exploitation réelles, depuis 5 667 adresses de 114 pays, dont 1 627 vues pour la première fois aujourd'hui. Deux détails méritent d'être signalés. Un scanner à 34.62.25.61 (hostilité 5,5/10) a envoyé 116 requêtes à la recherche de /.docker/.env, /.env-example et — c'est la nouveauté sur la liste de courses — /.env.anthropic, ce qui indique que les clés d'API de modèles figurent désormais à côté des clés cloud dans le même tableau de butin ; un congénère à 195.178.110.242 a lancé ses propres 116 requêtes en environ 0,3 seconde, car la patience est pour ceux qui paient la bande passante. L'hostilité la plus élevée du tableau, 7,7/10, revenait à deux opérateurs ciblés à 143.244.57.84 et .123, qui ont demandé vingt fois chacun /login/wp-includes/wlwmanifest.xml et /login/xmlrpc.php, atteignant l'accès aux identifiants dans la chaîne d'attaque ; trois autres adresses ont tenté CVE-2018-10561 contre /gponform/diag_form, un exploit assez vieux pour avoir des opinions. Seize groupes d'adresses partageaient une empreinte comportementale, l'un d'eux couvrant huit IP dans une seule plage. Les journaux bruts n'ont jamais quitté le serveur ; seules les conclusions l'ont fait.
90sources hostiles profilées
9 994requêtes émises par elles
32ont atteint l'exploitation
16grappes à ADN partagé
7,7/10hostilité maximale
5 667adresses à notre périmètre
1 627vues pour la première fois aujourd'hui
114pays
La liste WTF
WTF #1
À la recherche de vos clés d'IA
34.62.25.61, un scanner (hostilité 5,5/10), a envoyé 116 requêtes à l'un de nos sites, à la recherche de /.docker/.env, /.env-example, /.env.anthropic, /.aws/config.
Pourquoi c'est étrangeIl est allé droit aux identifiants d'IA : /.env.anthropic. Les clés d'API de modèles figurent désormais sur la liste de courses des scanners, à côté des clés cloud.
143.244.57.84, un opérateur ciblé (hostilité 7,7/10), a envoyé 20 requêtes à l'un de nos sites, à la recherche de /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Pourquoi c'est étrangeHostilité la plus élevée du tableau ; sa chaîne d'attaque a atteint l'accès aux identifiants.
3 adresses ont envoyé 3 requêtes conformes à l'exploitation de CVE-2018-10561 (/gponform/diag_form), dont 110.38.8.235, 98.148.243.98, 103.152.101.118.
Pourquoi c'est étrangeUn exploit connu et nommé, toujours pulvérisé sur Internet ; notre périmètre l'a vu aujourd'hui, quoi que disent les notes de correctif sur l'année.
attribution: inconnu
Detail
famille de sondes : gpon-router
WTF #4
Même ADN, adresses différentes
47.82.8.116, un chercheur (hostilité 1,1/10), a envoyé 4 requêtes à 2 de nos sites, à la recherche de /threat-check/Microsoft%20.NET%20Framework,%20SharePoint,%20and%20Visu.
Pourquoi c'est étrange8 IP partagent une même empreinte comportementale (ADN b77200c2c27d) : un seul outil ou un seul opérateur qui fait tourner les adresses : 47.82.14.167, 47.82.49.167, 47.82.48.59, 47.82.15.96, 47.82.54.114 et d'autres.
143.244.57.123, un opérateur ciblé (hostilité 7,7/10), a envoyé 20 requêtes à l'un de nos sites, à la recherche de /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Pourquoi c'est étrangeA demandé des fichiers que presque personne d'autre ne demande : /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml, /login/wordpress/wp-incl.
195.178.110.242, un scanner (hostilité 5,5/10), a envoyé 116 requêtes à l'un de nos sites, à la recherche de /.aws/.env, /.docker/.env, /.env, /.docker/laravel/app/.env.
Pourquoi c'est étrangeA lancé 116 requêtes en environ 0,3 seconde.
UpTransportation — 2.1× its own prior share (70 claims, 33 expected)
UpEducation — 1.8× its own prior share (48 claims, 26 expected)
UpEnergy & Utilities — 1.4× its own prior share (36 claims, 25 expected)
UpHealthcare — 1.4× its own prior share (114 claims, 82 expected)
DownProfessional Services — 0.9× its own prior share (117 claims, 137 expected)
22% of claims carry no sector label.
Brand churn
Of the 229 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 19% of the 210 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 9 — newest: Whitearmor (2026-10-23, 8 claims), Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 35% of its claims on Germany (6.7× every other brand's share); N0n put 34% of its claims on Transportation (7.7× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: nightspire across 10.4 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 92% of its claims on Wednesdays, half of them in 12:00–15:59 UTC; safepay released 63% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 194 claims at weekends and half its claims in 12:00–13:59 UTC; half of Deadlock's claims appeared in 12:00–13:59 UTC. Leak sites overall are 37% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§8
Colophon
Comment cette édition a été fabriquée, sans détour.
L'édition 30 a été faite par une machine et vérifiée par du code. Chaque élément publié par 12 flux publics de menaces au cours des 24 heures précédant 05 h 05 (heure du Royaume-Uni) (369 éléments) a été lu en intégralité : statistiques calculées par du code, chaque tranche lue par Claude Sonnet, la structure synthétisée par Claude Opus. Claude Opus a ensuite édité le journal. Chaque article cite les éléments sur lesquels il repose ; les articles dont les justificatifs ne se résolvaient pas, ou dont les chiffres ne figuraient pas dans leurs sources, ont été écartés avant publication (0 aujourd'hui). Les prévisions sont évaluées publiquement dans les éditions ultérieures. « From our edge » désigne des données d'attaque en direct issues de nos propres serveurs. Coût de cette édition : 0,68 $. Elle est rédigée par une machine dans la voix de ScottG, auteur d'Everything Is Probably Fine, et personne ne l'a retouchée à la main, ce qui est soit le but, soit le problème.
369items read
24hour window
$0.68cost of this edition
05:05 UTCgenerated
Sources de ce matin
NVD100ok
Signal Atlas98ok
Security news55ok
infosec.exchange36ok
ransomware.live32ok
atlas18ok
RSS10ok
signal:ioc-family8ok
AlienVault OTX7ok
signal:kev2ok
CISA KEV2ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 369|SOURCES: 12|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.68|STATUS: PAS BIEN, MAIS SUPPORTABLE
OWNER: la machine|EDITOR: les règles|CALLS OPEN: 3|NEXT REVIEW: demain 06:00 UK