Rapport de terrain quotidien sur ce qui est Probably Fine
No. 31·Mercredi 28 Octobre 2026·Publié à 06:00 UK·Indicateur Fine 3/5: Pas tout à fait rassurant
Ouverture · Vulnérabilités
PHP2Shell est inscrite au KEV avec une échéance fixée à jeudi, et tous les shells confirmés à ce jour ont atterri dans un honeypot
La CISA parle d'exploitation active ; le seul succès publié, ce sont 35 shells depuis deux adresses contre des machines conçues pour être piratées, et cette distinction fait toute votre journée de mercredi.
confiance0.82
Deux failles de type use-after-free dans la gestion de session.upload_progress du moteur PHP, CVE-2026-109618 et CVE-2026-109619, toutes deux notées 9,2, toutes deux déclenchées lors du traitement de requêtes multipart, commercialisées collectivement sous le nom de PHP2Shell. Lundi, la CISA a confirmé leur exploitation active, les a ajoutées au catalogue des vulnérabilités connues et exploitées (KEV) et a ordonné aux agences fédérales de corriger d'ici jeudi. Tel est le titre, et le titre est exact.
Ce qu'il y a dessous est plus intéressant. SecurityWeek décrit le passage des sondes aux shells opérationnels comme 35 shells lancés depuis deux adresses IP le 24 octobre, contre des honeypots. Wiz, qui surveille la situation depuis la divulgation publique du 21 octobre, fait état de tentatives d'exploitation et d'aucune compromission réussie observée. Une pulse OTX, publiée 31 heures après la première dépêche, va nettement plus vite en besogne : des acteurs UNC exploitant du code d'exploitation public contre des infrastructures publiques, d'entreprise et d'enseignement. Personne ici ne ment. Trois personnes décrivent la même marée depuis trois plages différentes, et une seule a un appareil photo.
Ce que cela signifie dans une pièce où se trouve une fenêtre de correctifs : l'exploit fonctionne, de manière fiable, à partir de code public, ce qui est la seule partie de la question dont vous ayez réellement besoin. Siemens, Schneider Electric et ABB ont déjà confirmé que certains de leurs produits sont touchés, ce qui est la façon traditionnelle du secteur industriel de vous annoncer que cela prendra des mois. La CISA a fixé l'échéance à jeudi. La marée monte vendredi, et c'est toujours vendredi.
Pourquoi c'est importantSi vous exploitez PHP à un endroit où un inconnu peut envoyer une requête multipart, vous êtes concerné dès aujourd'hui, et le compte à rebours est fédéral.
Tout « activement exploité dans la nature » commence sa vie comme « le honeypot de quelqu'un a fait son travail » ; la distance entre ces deux phrases est l'endroit où passe toute votre semaine.
— Sturgeon's Revelations · Probably Fine Daily No. 31
Chaque matin06:00 UK
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§2
À la une
Le reste des dernières 24 heures, preuves à l'appui.
Vulnérabilités
Le bogue aux quatre noms en reçoit un cinquième : CISA KEV, aux côtés d'Adobe Commerce
Le flux KEV lui-même comportait deux ajouts datés du 27 octobre : CVE-2026-48356, un téléversement sans restriction de fichier de type dangereux dans Adobe Commerce et Magento menant à l'exécution de code arbitraire (EPSS 0.30582), et CVE-2026-111497, une valeur de retour non vérifiée dans Google Brotli qui permet à un attaquant distant non authentifié de corrompre la mémoire d'état adjacente du décodeur, de divulguer le contenu de la mémoire, de provoquer un déni de service ou potentiellement d'exécuter du code à partir d'un flux compressé spécialement conçu (EPSS 0.55483). La faille Brotli est celle que la semaine a appelée Node2Shell, HTTP2Shell et Broccoli2Shell selon le communiqué de presse qui vous est parvenu en premier, et elle touche les paquets Node.js, .NET, PowerShell et Python. Microsoft a livré des mises à jour .NET d'urgence pour la corriger. Un décodeur, quatre noms, une très longue conversation sur l'inventaire des actifs.
Pourquoi c'est importantBrotli est une dépendance de vos dépendances ; le statut KEV signifie que la question n'est plus de savoir si vous l'embarquez, mais où.
UNM Health détourne des ambulances, et l'équipe qui l'a verrouillé rend gratuitement la clé à l'hôpital
Le système de santé de l'Université du Nouveau-Mexique (UNM Health) a demandé au public de ne pas se rendre à son hôpital principal d'Albuquerque, annulé des rendez-vous dans plus de 30 cliniques, suspendu les chirurgies ambulatoires et détourné des ambulances vers des établissements d'Albuquerque et de Santa Fe pendant environ deux heures lundi. Le message de fuite de l'acteur étiqueté BYOD revendique 36 000 machines, les deux forêts AD couvrant le campus principal et le secteur hospitalier, des GPO, deux bases de données Oracle ainsi que des données personnelles d'étudiants et d'employés, dont des numéros de sécurité sociale. Un jour plus tard, le même acteur a publié une mise à jour proposant la clé de déchiffrement gratuitement, pour le seul secteur hospitalier, affirmant qu'il ignorait que les machines assistaient des patients en temps réel. La revendication est apparue d'abord sur ransomlook, la presse suivant avec 4,1 heures de retard.
Pourquoi c'est importantVotre parc d'identités constitue le rayon d'explosion : deux forêts et les GPO qui les relient, c'est toute l'organisation, pas un département.
Le bouton d'arrêt a connu une bonne semaine : GMO demande à ses clients d'éteindre, la Moldavie débranche plus de 80 services
Le groupe japonais GMO a exhorté les clients d'Onamae Desktop Cloud à se déconnecter d'Internet et à éteindre leurs ordinateurs après qu'un intrus, qui avait déjà pénétré la plateforme, a menacé de déclencher un rançongiciel ; un résumé largement partagé évalue l'exposition à jusqu'à 26 739 serveurs de clients, indique que la rançon d'environ 8 milliards de yens (environ 50 millions de dollars) a été refusée et que les données volées ont été publiées. Dans le même cycle d'actualité, la Moldavie a mis hors ligne plus de 80 services publics après une cyberattaque. Deux organisations, deux continents, un seul mécanisme de contrôle, et c'est celui que personne n'inscrit dans un modèle de maturité parce qu'il obtient zéro en automatisation.
Pourquoi c'est importantSi votre plan de réponse aux incidents ne prévoit aucun moyen documenté et autorisé d'éteindre rapidement de grands ensembles, vous n'avez pas de plan de réponse aux incidents, vous avez une dissertation.
Lundi a été le jour le plus bruyant de la fenêtre pour les sites de fuite : 291 des 524 éléments sont tombés le 27 octobre
Le tempo de Ninja Signal pour aujourd'hui dénombre 203 revendications sur sites de fuite en sept jours, émanant de 40 des 267 groupes suivis, avec Booba Project en hausse à 10 revendications contre 2,4 attendues d'après son propre rythme antérieur, qilin à 44 contre 25,41, et everest à 10, tous avec p inférieur à 0,001. L'image au niveau du jour est plus tranchée : Everest a publié 28 éléments le 27 octobre contre une médiane de zéro les autres jours, Booba Project 26, Play 24, The Gentlemen 21 (et 31 la veille sous une orthographe différente), WhiteArmor 13. Les victimes nommées forment l'éventail habituel d'organisations ordinaires — le conseil municipal de Bristol revendiqué par Wallstreet, deux coopératives de crédit américaines par qilin, la commune belge de Machelen par rhysida avec 1,3 million de fichiers et environ 2,9 To. Une réserve à garder à l'esprit : ransomlook et ransomware.live se répliquent mutuellement avec des décalages d'une à vingt-cinq heures, de sorte qu'une bonne part de la corroboration apparente n'est que le même message, vu deux fois.
Pourquoi c'est importantLes publications par lots ressemblent à une campagne sur un graphique ; comptez les victimes distinctes, non les lignes de flux distinctes, avant d'informer qui que ce soit.
Les clés de modèles sont désormais du butin : un voleur de trousseaux de développeurs, des fichiers d'instructions empoisonnés et une intrusion dans des journaux de décision d'agents
Quatre éléments distincts, une même direction. Le voleur « Aokigahara » cible les trousseaux de clés des développeurs et les assistants d'IA, exposant sessions d'IA, données d'entreprise et infrastructure de développement depuis un seul poste. Une technique observée dans la nature exploite la manière dont les assistants de code consomment les fichiers d'instructions Markdown locaux, ce qui brouille la frontière entre un document texte et une action exécutable. Warp a divulgué une intrusion chez un fournisseur tiers qui a exposé des journaux de décision d'agents d'IA et de la télémétrie d'utilisateurs. Et des environnements de test d'intrusion Cairn AI non protégés sont systématiquement compromis depuis environ le 20 octobre par des campagnes automatisées qui y insèrent des tâches malveillantes. Entre-temps, le NIST, la CISA et la NSA ont publié des recommandations qui traitent les agents hors de contrôle comme des incidents à répéter, la question difficile étant de savoir de l'autorité de qui l'agent s'est servi — et cette réponse doit exister avant l'incident.
Pourquoi c'est importantL'identité, la mémoire et les journaux des agents sont désormais des actifs de production aux conséquences de production ; inventoriez-les avant que quelqu'un d'autre ne les énumère à votre place.
Tailscale corrige en public près d'une douzaine de failles SSH, parce que les détails ont circulé avant les correctifs
L'équipe de sécurité de Tailscale traite près d'une douzaine de vulnérabilités dans Tailscale SSH, qui pourraient servir à voler des identifiants, faire planter des serveurs et obtenir les privilèges root. Les détails de l'ensemble, baptisé « Tailworm », sont devenus publics durant le week-end avant la livraison de tout correctif ; l'éditeur rédige donc désormais ses correctifs sous les yeux du public. Aucune exploitation n'est signalée dans ces éléments ; il existe en revanche une carte publiée.
Pourquoi c'est importantTailscale SSH se trouve sur le chemin menant à ce que vous considérez comme interne ; sachez si vous l'avez activé avant de décider que ce n'est pas votre histoire.
Un 9,5 dans le micrologiciel UEFI, sous le système d'exploitation et sous Secure Boot
Signalée ce matin par des messages Mastodon de la communauté infosec renvoyant à Ars Technica : CVE-2026-97631 dans TianoCore EDK II, la base de code UEFI open source intégrée au micrologiciel par la plupart des fournisseurs de serveurs et de cloud, notée 9,5. La faille est un problème de corruption de mémoire dans un composant ICMP qui permet l'exécution de code avant le chargement du système d'exploitation, et les messages sont explicites : Secure Boot ne vous protège pas, car la chaîne de confiance est elle-même le maillon faible. La correction passe par des mises à jour de micrologiciel de votre fournisseur de serveurs ou de cloud. Une réserve sur les sources, énoncée clairement : dans notre fenêtre, l'information est arrivée par des messages sur les réseaux sociaux et un article de presse lié, non par la NVD ni par le KEV.
Pourquoi c'est importantSi elle se situe sous le système d'exploitation, aucune de vos télémétries de poste n'en est témoin ; il s'agit d'une campagne sur les micrologiciels des fournisseurs, pas d'un Patch Tuesday.
Le site de fuite qui ne peut confirmer l'existence de ses propres victimes
La rafale de revendications d'Everest du 27 octobre est arrivée avec des descriptions de victimes générées par IA, dont plusieurs refusent de jouer le jeu : à propos de « SleepEx LabRetriever », la notice indique qu'il ne correspond à aucune organisation vérifiable et que la construction inhabituelle du nom laisse penser qu'il pourrait être fictif ou un test ; « Burris & MacOmber » et « Point Robotics » reçoivent un traitement similaire ; trois autres indiquent simplement N/A. Ailleurs, l'acteur ULose a publié sur son site de fuite deux entrées nommées « zzq-test » et « probe-011637cabbf94076 », code pays « zz », ce qui ressemble à des tests en production lorsque la production est de l'extorsion. Et WhiteArmor a pris le temps, en pleine journée chargée de publications, de dire à KuCoin, par écrit, qu'il n'est pas un groupe hacktiviste et se concentre principalement sur l'extorsion de données et les rançongiciels, ce qui est ce que cette semaine a produit de plus proche d'une déclaration de mission.
Pourquoi c'est importantLes décomptes de victimes sur les sites de fuite sont des artefacts marketing ; considérez un nom non vérifié comme non vérifié tant que quelque chose d'extérieur au site de fuite ne dit pas le contraire.
confiance0.68
§3
Masqué
La lecture approfondie du jour : ce qui est sous les flux, et non au-dessus.
Une véritable histoire de vulnérabilité recoupée entre flux, une montagne de messages de fuite en miroir, et deux flux qui se sont arrêtés à la même minute.
Exception 01
PHP2Shell : l'actualité a devancé le flux de menaces de 31 heures, et les sources divergent sur l'impact
La même paire de CVE apparaît dans cyber-news, OTX et RSS. Cyber-news a rapporté l'information en premier ; OTX a suivi 31 heures plus tard avec une pulse décrivant des acteurs UNC visant des cibles publiques, d'entreprise et d'enseignement, tandis que Wiz fait état de tentatives et d'aucune compromission réussie. Les 35 shells opérationnels provenaient de honeypots ; ils démontrent donc que le code d'exploitation fonctionne, non que quelqu'un ait été compromis. N'exposez pas la pulse OTX comme une compromission confirmée de victimes.
confiance0.60
Wrong if
Une victime nommée, ou de la télémétrie issue d'un environnement hors honeypot, montrant une compromission réussie.
Watch
L'échéance KEV de jeudi, les notes de correctifs des éditeurs, et la question de savoir si OTX ou Wiz révisent leurs affirmations dans les 48 prochaines heures.
Les entrées KEV que nous détenons ne sont pas les CVE de PHP
Cyber-news et RSS rapportent tous deux que la CISA a ajouté les failles PHP2Shell au KEV avec une échéance jeudi. Les deux éléments KEV de notre propre fenêtre, datés du 27 octobre, sont CVE-2026-48356 (Adobe Commerce et Magento) et CVE-2026-111497 (Google Brotli). Les deux choses peuvent être vraies, et la lecture la plus simple est que notre collecte KEV est incomplète, mais nous ne pouvons pas confirmer l'inscription de PHP à partir des données de catalogue dont nous disposons.
confiance0.35Speculative
Wrong if
Lire le catalogue KEV en direct et y trouver CVE-2026-109618 et CVE-2026-109619 listées, ou non.
La rafale du 27 octobre pourrait être un moissonnage, non une vague
291 des 524 éléments de la fenêtre tombent le 27 octobre, Everest, Booba Project, Play, The Gentlemen et WhiteArmor connaissant tous un pic par rapport à des médianes proches de zéro. Aucune grappe temporelle n'a été détectée, et ransomware.live devance généralement ransomlook d'une à deux heures sur les mêmes messages, ce qui relève de la réplication plutôt que de la corroboration. Cela est compatible avec une publication par lots ou un effet de moissonnage autant qu'avec une campagne coordonnée.
confiance0.40Speculative
Wrong if
Si les éléments du 27 octobre partagent un même horaire de moissonnage ou un même rattrapage, ou si les mêmes messages portent des dates antérieures ailleurs, il s'agit d'un artefact d'ingestion.
Watch
Les décomptes quotidiens de ces groupes pour les 28 et 29 octobre ; un retour au niveau de référence signifie un lot ponctuel.
La NVD et SafePay se taisent toutes deux à 2026-10-27T01:31
Le flux NVD (81 éléments) et l'acteur SafePay (9 éléments) s'arrêtent à la même minute. Une coupure identique entre une source de vulnérabilités sans rapport et un seul groupe de rançongiciel indique une limite de collecte partagée, non deux événements réels indépendants. La rafale de SafePay du 26 octobre suivie d'un silence total relève très probablement du même artefact.
confiance0.50Speculative
Wrong if
De nouvelles entrées NVD ou de nouveaux messages de SafePay horodatés après 2026-10-27T01:31.
Watch
La prochaine collecte NVD ; si elle est toujours vide, le pipeline est défaillant et doit être traité comme tel.
Nothing to seeAucune grappe temporelle n'a été trouvée nulle part dans la fenêtre. L'essentiel du recoupement entre sources de rançongiciels tient à ransomlook et ransomware.live relayant deux fois le même message de fuite, ce qui n'est pas une corroboration indépendante, aussi satisfaisant que cela paraisse sur un graphique. L'affirmation d'OTX sur les « acteurs UNC » ne comporte aucun détail d'attribution que nous puissions voir. Nombre des entités « x: » sont des doublons des entités « actor: » et ne doivent pas être comptées deux fois.
Deep read: 525 articles consultés
§4
Prévisions
Analyses datées et réfutables. Nous notons notre propre copie, publiquement.
Today’s calls
DueCallConfidence
DueWed 4 Nov7 days
Aucune organisation nommée, hors honeypot, ne sera publiquement signalée dans ces flux comme ayant été compromise avec succès via CVE-2026-109618 ou CVE-2026-109619 d'ici le 4 novembre.
Wrong ifTout rapport d'éditeur, article de presse ou message de site de fuite nommant une organisation victime réelle compromise via PHP2Shell.
Des éléments NVD horodatés après 2026-10-27T01:31 apparaîtront dans notre flux d'ici le 31 octobre, confirmant que le silence était une limite d'ingestion plutôt qu'un arrêt à la source.
Wrong ifLe flux NVD reste vide après le 31 octobre, ce qui fait de lui notre pipeline et notre problème.
A public proof of concept or in-the-wild exploitation report appears for the Magento BlockStrap flaw CVE-2026-103849.
Called Sun 18 Oct · due Wed 28 Oct
No PoC or exploitation report for CVE-2026-103849 (Magento BlockStrap flaw) appears in today's feeds; the KEV addition is for CVE-2026-48356, a different Adobe Commerce CVE, and the due date of 28 October has now passed
Tailscale publishes a fix or advisory for the Tailscale SSH port-forwarding privilege-escalation flaws by 2 November 2026.
Called Mon 26 Oct · due Mon 2 Nov
Tailscale published an advisory warning of SSH privilege-escalation flaws and announced patches are being rushed, but fixes not yet released as of today's feeds; deadline is 2 November
Fresh PHP2Shell indicators — exploitation source addresses or shell artefacts beyond the two IPs seen on 24 October — will appear in news or OTX reporting.
Called Tue 27 Oct · due Fri 6 Nov
OTX and SecurityWeek reporting on 2026-10-27 describe exploitation from two IPs on 24 October and broader UNC actor exploitation, with additional IOC details published beyond the original two addresses
Glossaire des termes que vous êtes censé connaître
Dans la nature(n.)
Observé sur une machine placée sur Internet dans le but exprès d'être observée. Promu, dans la version racontée, au rang de machine que vous possédez, puis à celui d'échéance qui vous a été fixée.
§5
Depuis notre périmètre
Attaques en direct sur nos propres serveurs au cours des dernières 24 heures. Oui, vraiment les nôtres.
Sur notre propre périphérie, ces dernières 24 heures : le capteur local Adversary DNA a profilé 40 sources hostiles — 25 scanners, 13 robots d'exploration, deux opérateurs ciblés — qui ont envoyé à elles toutes 7 920 requêtes ; 13 ont dépassé la reconnaissance pour passer à des tentatives d'exploitation, et quatre groupes d'adresses partageaient une empreinte comportementale. La liste de courses a été mise à jour pour l'époque : 34.156.56.233, hostilité 5,6 sur 10, a envoyé 228 requêtes à deux de nos sites en demandant /.env.anthropic, /.aws/.env, /.aws/credentials et /.aws/config, soit des clés d'API de modèles rangées à côté des clés cloud comme si elles y avaient toujours été. 35.241.239.86 a lancé 117 requêtes en une demi-seconde environ, entièrement sur des chemins d'identifiants AWS. Trois adresses, 24 requêtes, nous ont aspergés de CVE-2017-9841 via /vendor/phpunit/phpunit/, et huit IP partageaient une même empreinte (DNA 672df8667b3d), soit un seul outil ou un seul opérateur qui fait tourner ses adresses pendant que le tableur les compte comme huit adversaires. Au total, 4 549 adresses issues de 96 pays ont touché la périphérie, dont 1 746 vues ici pour la première fois aujourd'hui. Les journaux bruts n'ont jamais quitté le serveur ; seules ces conclusions l'ont fait.
40sources hostiles profilées
7 920requêtes émanant d'elles
13ont atteint l'exploitation
4grappes à ADN partagé
6,7/10hostilité maximale
4 549adresses sur notre périphérie
1 746vues pour la première fois aujourd'hui
96pays
La liste WTF
WTF #1
À la recherche de vos clés d'IA
34.156.56.233, un scanner (hostilité 5,6/10), a envoyé 228 requêtes à 2 de nos sites, à la recherche de /.env.anthropic, /.aws/.env, /.aws/credentials, /.aws/config.
Pourquoi c'est étrangeS'est dirigé droit vers les identifiants d'IA : /.env.anthropic. Les clés d'API de modèles figurent désormais sur la liste de courses des scanners, à côté des clés cloud.
attribution: inconnuTue 27 Oct, 22:00 UTC
Detail
chaîne d'attaque : reconnaissance → militarisation · DNA 9427f6c77bf1
WTF #2
Le visiteur le plus déterminé
20.24.222.184, un scanner (hostilité 6,5/10), a envoyé 42 requêtes à l'un de nos sites, à la recherche de /file2.php, /general.php, /666.php, /file.php.
Pourquoi c'est étrangeHostilité la plus élevée du tableau ; sa chaîne d'attaque a atteint la militarisation.
attribution: inconnuTue 27 Oct, 22:00 UTC
Detail
chaîne d'attaque : reconnaissance → militarisation · DNA dfef4501b216
WTF #3
Une tentative de CVE-2017-9841 contre nous
3 adresses ont envoyé 24 requêtes conformes à l'exploitation de CVE-2017-9841 (/vendor/phpunit/phpunit/…), dont 185.238.231.89, 94.26.0.103, 185.177.72.29.
Pourquoi c'est étrangeUn exploit connu et nommé continue d'être pulvérisé sur Internet ; notre périphérie l'a vu aujourd'hui, quoi que disent les notes de correctifs sur l'année.
attribution: inconnu
Detail
famille de sondes : phpunit-rce
WTF #4
Même ADN, adresses différentes
94.180.163.194, un robot d'exploration (hostilité 1,2/10), a envoyé 60 requêtes à l'un de nos sites, à la recherche de /threat-check/%22Next%20Exploit%20Opportunities%22%3A%20How%20a%20Thre.
Pourquoi c'est étrange8 IP partagent une même empreinte comportementale (DNA 672df8667b3d) : un seul outil ou un seul opérateur qui fait tourner ses adresses : 94.180.163.194, 85.208.96.208, 185.191.171.10, 85.208.96.204, 85.208.96.197 et d'autres.
attribution: inconnuTue 27 Oct, 08:00 UTC
Detail
chaîne d'attaque : reconnaissance → exploitation · DNA 672df8667b3d
WTF #5
La liste de courses la plus étrange
20.53.239.152, un scanner (hostilité 6,4/10), a envoyé 46 requêtes à l'un de nos sites, à la recherche de /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php.
Pourquoi c'est étrangeA demandé des fichiers que presque personne d'autre ne demande : /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php, /rip.php.
attribution: inconnuTue 27 Oct, 08:00 UTC
Detail
chaîne d'attaque : reconnaissance → militarisation · DNA 83562bd8e880
WTF #6
Pressé
35.241.239.86, un scanner (hostilité 5,5/10), a envoyé 117 requêtes à l'un de nos sites, à la recherche de /.aws/.env, /.aws/credentials.bak, /.aws/config, /.aws/credentials.
Pourquoi c'est étrangeA lancé 117 requêtes en environ 0,5 seconde.
attribution: inconnuTue 27 Oct, 22:00 UTC
Detail
chaîne d'attaque : reconnaissance → militarisation · DNA 18e39c4b41fb
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
203claims, 7 days
40of 267 groups active
qilin44 this week · surging
N0n24 this week
Whitearmor11 this week · new
SurgingBooba Project — 10 claims in 7 days against 2.4 expected from its own prior rate (p < 0.001)
Surgingqilin — 44 claims in 7 days against 25.4 expected from its own prior rate (p < 0.001)
Surgingeverest — 10 claims in 7 days against 2.8 expected from its own prior rate (p < 0.001)
SurgingFalcon — 3 claims in 7 days against 0.4 expected from its own prior rate (p = 0.008)
Surgingpayoutsking — 3 claims in 7 days against 0.6 expected from its own prior rate (p = 0.024)
Surgingrhysida — 4 claims in 7 days against 1.2 expected from its own prior rate (p = 0.039)
UpTransportation — 2.1× its own prior share (70 claims, 33 expected)
UpEducation — 2.0× its own prior share (52 claims, 26 expected)
UpEnergy & Utilities — 1.5× its own prior share (38 claims, 25 expected)
UpHealthcare — 1.4× its own prior share (116 claims, 81 expected)
22% of claims carry no sector label.
Brand churn
Of the 229 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 19% of the 210 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 9 — newest: Whitearmor (2026-10-23, 11 claims), Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 35% of its claims on Germany (6.8× every other brand's share); N0n put 34% of its claims on Transportation (7.7× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: nightspire across 10.4 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 92% of its claims on Wednesdays, half of them in 12:00–15:59 UTC; safepay released 63% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 193 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 37% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§8
Colophon
Comment cette édition a été fabriquée, sans détour.
L'édition 31 a été réalisée par une machine et vérifiée par du code. Chaque élément publié par 13 flux publics de renseignement sur les menaces au cours des 24 heures jusqu'à 05 h 05, heure du Royaume-Uni (525 éléments), a été lu en entier : statistiques calculées par du code, chaque tranche lue par Claude Sonnet, structure synthétisée par Claude Opus. Claude Opus a ensuite édité le journal. Chaque article cite les éléments sur lesquels il repose ; les articles dont les références ne se résolvaient pas, ou dont les chiffres ne figuraient pas dans leurs sources, ont été écartés avant publication (0 aujourd'hui). Les prévisions sont évaluées publiquement dans les éditions ultérieures. « From our edge » désigne des données d'attaque en direct issues de nos propres serveurs. Coût de cette édition : 1,02 $. Elle est rédigée par une machine dans la voix de ScottG, auteur d'Everything Is Probably Fine, et personne ne l'a éditée à la main, ce qui est soit le but, soit le problème.
525items read
24hour window
$1.02cost of this edition
05:05 UTCgenerated
Sources de ce matin
RansomLook100ok
Signal Atlas98ok
Security news88ok
NVD81ok
atlas41ok
ransomware.live41ok
infosec.exchange36ok
signal:ioc-family12ok
AlienVault OTX12ok
RSS11ok
signal:kev2ok
CISA KEV2ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 525|SOURCES: 13|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $1.02|STATUS: PAS TOUT À FAIT RASSURANT
OWNER: la machine|EDITOR: les règles|CALLS OPEN: 3|NEXT REVIEW: demain 06:00 UK