Rapport de terrain quotidien sur ce qui est Probably Fine
No. 32·Jeudi 29 Octobre 2026·Publié à 06:00 UK·Indicateur Fine 3/5: Moins bien que d'habitude
Ouverture · Vulnérabilités
L'échéance était jeudi. Nous sommes jeudi.
La CISA a inscrit les deux failles use-after-free de PHP2Shell au catalogue des vulnérabilités exploitées et ordonné aux agences fédérales de les corriger d'ici aujourd'hui. Un opérateur présumé lié à la Chine a déjà pris le contrôle de 25 serveurs et atteint un réseau affilié au gouvernement américain.
confiance0.85
CVE-2026-109618 et CVE-2026-109619 sont toutes deux notées 9,2. Elles résident toutes deux dans la gestion de session.upload_progress du moteur PHP et se déclenchent toutes deux lors du traitement des requêtes multipart, autrement dit lorsqu'une personne téléverse un fichier sur un site web, ce qui est la chose la plus banale du monde. La CISA a confirmé l'exploitation active, les a ajoutées au catalogue Known Exploited Vulnerabilities et a accordé aux agences fédérales jusqu'à jeudi. Vous lisez ces lignes un jeudi.
L'exploitation n'est pas théorique, mais elle n'est pas non plus uniforme. Le 25 octobre, des chercheurs ont observé ce qu'ils décrivent comme une attaque assistée par IA, menée par un acteur présumé lié à la Chine, qui a pris le contrôle de 25 serveurs et pénétré un réseau affilié au gouvernement américain, en enchaînant PHP2Shell avec un second exploit nommé Fragnesia pour obtenir les droits root sur des pare-feu, compromettant deux serveurs au sein de cette seule organisation. Par ailleurs, un serveur de préparation exposé à l'adresse 96.126.130.81 a révélé un opérateur qui, du 9 au 11 octobre, a extorqué des sites web immobiliers japonais, puis a récupéré l'outillage PHP2Shell, simplement parce qu'il traînait là. Wiz, qui surveille la situation depuis la divulgation publique du 21 octobre, affirme avoir observé des tentatives mais aucune attaque réussie dans sa propre télémétrie.
Et hier matin sur Mastodon, une analyste de logiciels malveillants a demandé publiquement si l'exploitation de PHP2Shell dans la nature était bel et bien confirmée, car elle avait entendu des informations contradictoires. Elle a raison de poser la question, et les éditeurs ont raison de publier leurs rapports. Ces deux affirmations sont vraies en même temps, ce qui est l'état normal d'un jeudi. Entre-temps, un rapport sur les infrastructures indique que les failles touchent les interfaces web d'administration des pare-feu, des VPN et des contrôleurs de livraison d'applications, c'est-à-dire là où l'on place ce qui n'est pas censé être accessible.
Pourquoi c'est importantSi PHP est accessible depuis une interface d'administration où que ce soit dans votre parc, la fenêtre pour le découvrir s'est refermée avant votre premier café.
Une vulnérabilité dotée d'un nom de marque est corrigée avant une vulnérabilité qui n'a qu'un numéro, ce qui montre que notre moteur de priorisation est, et a toujours été, du marketing.
— Sturgeon's Revelations · Probably Fine Daily No. 32
Chaque matin06:00 UK
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§2
À la une
Le reste des dernières 24 heures, preuves à l'appui.
Vulnérabilités
Un bug Brotli, trois noms, et au moins un attaquant dont l'exploit ne fonctionne pas
La CISA a ajouté mardi CVE-2026-111497 au catalogue des vulnérabilités exploitées : une valeur de retour non vérifiée et une écriture hors limites dans le décodeur Brotli de Google, livré avec Node.js et une longue traîne d'autres paquets, et que l'internet a décidé d'appeler Node2Shell, Broccoli2Shell ou HTTP2Shell selon l'auteur du message. Deux opérateurs de honeypots ont consigné des tentatives, l'une d'elles recourant à un exploit tout simplement défaillant. Dans le même intervalle, des attaquants ont commencé à sonder la faille d'Oracle E-Business Suite CVE-2026-101767, notée 9,8, récemment corrigée, quelques jours seulement après la publication du correctif.
Pourquoi c'est importantBrotli est une dépendance que vous n'avez pas choisie et que vous ne voyez pas dans un inventaire d'actifs ; cherchez-la par manifeste de compilation, non par nom de produit.
La CISA a ajouté une vulnérabilité dont l'unique effet est que vous ne saurez rien
Parmi les failles en tête d'affiche, le KEV a discrètement intégré CVE-2026-41709 dans Broadcom VMware ESX : une vulnérabilité de journalisation insuffisante qui permet à un acteur disposant de droits d'administration d'effectuer certaines opérations sans qu'elles soient consignées, avec un EPSS de 0,00297. Il a aussi retenu CVE-2026-46300, une absence d'initialisation de variable dans le noyau Linux avec un EPSS de 0,10192, et CVE-2026-48356, un téléversement de fichier sans restriction dans Adobe Commerce et Magento pouvant conduire à l'exécution de code arbitraire. L'une de ces failles vous donne du code. L'une d'elles vous laisse un silence dans la chronologie, là où devraient se trouver les preuves.
Pourquoi c'est importantUne lacune de journalisation sur ESX n'est pas un problème de détection un mardi, c'est un problème de rapport d'incident en mars ; corrigez-la et vérifiez vos durées de rétention pendant que vous y êtes.
GMO a ordonné à 26 739 serveurs de s'éteindre, refusé 8 milliards de yens, et paie désormais pour obtenir des noms
GMO Internet a exhorté les clients d'Onamae Desktop Cloud à se déconnecter d'internet et à éteindre leurs serveurs avant qu'une charge de rançongiciel implantée lors de l'intrusion ne se déclenche ; jusqu'à 26 739 serveurs clients pourraient être touchés, la demande de 8 milliards de yens (environ 50 millions de dollars) a été refusée, et les données volées ont été publiées malgré tout. Le 28 octobre, le groupe a lancé un programme de récompense pouvant atteindre 1 million de dollars au total pour toute information menant à une arrestation ou à une inculpation. Quinzaine chargée au Japon : Japan Airlines a averti que des numéros de passeport, des numéros de fidélité, des adresses électroniques et des numéros de téléphone d'environ 2 000 clients avaient été dérobés, Sony Network Communications a confirmé quelque 2,5 millions d'enregistrements, et des chercheurs décrivent trois attaques visant des cibles japonaises, dont une opération qui a déployé 44 agents d'IA pour automatiser le travail.
Pourquoi c'est importantSi vous hébergez des charges de travail de clients, établissez dès maintenant par écrit qui a l'autorité d'ordonner à chaque locataire de s'éteindre, car cette décision doit être prise en quelques minutes et ce ne sera pas un tableau de bord qui la prendra.
La panne de l'hôpital est arrivée dans les flux dix-sept heures avant le communiqué
Lundi soir, une publication sur un site de fuites d'un acteur suivi sous le nom de byod revendiquait 36 000 machines à l'Université du Nouveau-Mexique, les deux forêts Active Directory couvrant le campus principal et le secteur hospitalier, des objets de stratégie de groupe, deux bases de données Oracle ainsi que des données personnelles d'étudiants et d'employés, dont des numéros de sécurité sociale. L'après-midi suivant, UNM Health a confirmé une cyberattaque entraînant des pannes de systèmes : des ambulances ont été déroutées pendant environ deux heures lundi vers des établissements d'Albuquerque et de Santa Fe, et les chirurgies ambulatoires et rendez-vous ont été suspendus pour le reste de la journée. La revendication a précédé l'information publique d'environ 17,6 heures.
Pourquoi c'est importantLa surveillance des sites de fuites n'a rien d'un théâtre du renseignement ; pour vos pairs du secteur, c'est fréquemment le signal le plus précoce qu'un fournisseur ou un voisin commun est à l'arrêt.
The Gentlemen ne mènent pas une campagne d'attaque, ils tiennent un calendrier éditorial
Le 26 octobre, le groupe a publié 31 entrées contre une médiane de 4,5 les autres jours, soit environ 22 victimes en deux heures, chacune accompagnée d'une notice biographique d'entreprise soignée : Vietnam Airlines, une revendication visant la filiale Amérique latine et Caraïbes de SAP, FPT Software, l'entreprise de technologies de l'eau WABAG, Cherry Bekaert, SK Capital Partners, la commune suédoise de Svedala et la ville bavaroise d'Eichstätt. Ransomlook a relayé le lot environ 27 heures avant qu'Atlas ne le reflète, de sorte que l'essentiel de la corroboration apparente entre les outils de suivi relève du miroir, non de la confirmation. Sur l'ensemble du tableau, le rythme de la semaine fait apparaître 192 revendications sur des sites de fuites émanant de 38 des 267 groupes suivis, Booba Project bondissant à 10 revendications contre 2,38 attendues d'après son propre rythme antérieur, rhysida à 6 contre 1,29, et qilin à 39.
Pourquoi c'est importantPlusieurs des victimes nommées sont des fournisseurs informatiques et de logiciels : les divulgations qui vous concernent pourraient donc vous parvenir par un fournisseur dans quinze jours plutôt que par cette liste aujourd'hui.
confiance0.70
IA et sécurité
Les modèles sont désormais des deux côtés de l'affrontement, et quelqu'un attaque les robots d'attaque
Anthropic a indiqué qu'un modèle non publié avait trouvé des failles dans Chrome, Safari, Android, Windows et Linux et les avait enchaînées en exploits de démonstration fonctionnels, construits en laboratoire après sollicitation et non observés dans la nature. Des chercheurs analysant trois environnements de serveurs exposés ont décrit une opération centrée sur le Japon faisant tourner 44 agents d'IA pour automatiser le travail d'intrusion, et un autre serveur de préparation exposé a dévoilé l'espace de travail complet d'extorsion assisté par IA d'un opérateur du rançongiciel n0n, code source du chiffreur compris. Par ailleurs, des environnements d'intrusion par IA Cairn non protégés sont systématiquement compromis par des acteurs inconnus depuis environ le 20 octobre, et un autre attaquant balaie sans relâche à la recherche d'identifiants en se faisant passer pour les robots d'indexation d'OpenAI, d'Anthropic et de Meta.
Pourquoi c'est importantTraitez votre infrastructure d'agents comme une surface d'attaque de production : elle détient des identifiants, elle agit, et l'automatisation des autres la recherche déjà.
Une bonne semaine pour l'autre côté du registre, que nous devons consigner avant de l'oublier
Le FBI a saisi virtualine[.]net le 27 octobre dans le cadre de l'opération Omegaline, prenant le domaine principal d'un hébergeur « bulletproof » qui opérait aussi sous le nom d'Omegatech sur l'AS202412 et était annoncé sur des forums criminels. L'Australian Signals Directorate a pénétré le back-end d'une opération Amadey et coupé l'opérateur de 180 000 ordinateurs infectés dans le monde. La troisième opération Serengeti d'Interpol a abouti à 1 462 arrestations dans 20 pays africains et aux États-Unis et permis de récupérer 105 millions de dollars, et Artem Stryzhak, 36 ans, a été condamné à 70 mois de prison pour son rôle dans les attaques Nefilim et Hive contre des hôpitaux, des organismes publics et de grandes entreprises entre 2018 et 2021.
Pourquoi c'est importantLes saisies d'infrastructures déplacent les indicateurs et font tourner l'hébergement ; attendez-vous à ce que vos listes de blocage liées à Virtualine deviennent obsolètes et à ce que vos acteurs réapparaissent ailleurs, à moindre coût.
Keystone détruit 18 835 portefeuilles matériels parce que ce qui prouve leur authenticité a cessé de la prouver
Un attaquant ayant eu accès au site web de Keystone a obtenu la clé que ses portefeuilles matériels utilisent pour prouver qu'ils sont authentiques, ce qui signifie que quelqu'un pourrait fabriquer des appareils contrefaits qui passent la vérification en ligne qu'un propriétaire utilise pour s'assurer qu'il détient un vrai Keystone ; l'entreprise a annoncé le 26 octobre qu'elle détruirait 18 835 appareils. Au rayon archéologie, le défunt programme de mise à jour de Popcorn Time s'exécutait au démarrage du système, interrogeait périodiquement son domaine de mise à jour et exécutait tout ce qu'on lui servait, avec tous les privilèges, sur des millions d'ordinateurs.
Pourquoi c'est importantL'attestation ne vaut que par le secret qui la sous-tend ; si vous vous appuyez sur le contrôle d'authenticité d'un fournisseur, demandez où se trouve cette clé et qui peut l'atteindre depuis un serveur web.
La lecture approfondie du jour : ce qui est sous les flux, et non au-dessus.
L'essentiel de la corroboration croisée apparente d'aujourd'hui tient à trois outils de suivi qui lisent la même publication de fuite à des vitesses différentes.
Exception 01
Le miroir n'est pas une corroboration
Whitearmor, n0n, rhysida, akira, aurora et panzer n'apparaissent « multi-sources » que parce que ransomlook, ransomware.live et Atlas ingèrent les mêmes publications de fuites avec des décalages d'environ 1 à 37 heures. Payload et Aurora affichent en outre des valeurs de confiance Atlas identiques, ce qui ressemble à un artefact de corrélation. Ne les comptez pas comme des confirmations indépendantes.
confiance0.70
Wrong if
Les sites présentant des méthodes de découverte indépendantes ou un contenu sensiblement différent pour une même victime.
Watch
Si le schéma de décalage où ransomlook arrive en premier se maintient dans la prochaine fenêtre.
Six extensions de paiement WooCommerce, une même faille
CCAvenue, Eurobank, Mintpay, iK Pay, OPay et une extension simplement nommée Payment Gateway omettent toutes de vérifier qu'un rappel de confirmation de paiement provient bien du prestataire, dans plusieurs cas parce que le secret de vérification est vide dans une installation par défaut, ce qui permet à un attaquant non authentifié de marquer des commandes arbitraires comme payées, échouées ou annulées. Ce schéma suggère un seul chercheur ou un seul outil balayant l'écosystème des extensions.
confiance0.55Speculative
Wrong if
Les CVE remontant à des chercheurs sans lien entre eux qui trouvent indépendamment des chemins de code différents.
Watch
D'autres extensions de passerelle divulguées dans les quinze prochains jours, et tout signalement d'exploitation.
Le différend sur le périmètre d'EDK II n'est pas résolu
SecurityWeek décrit CVE-2026-97631 dans TianoCore EDK II comme n'affectant les machines que lorsqu'elles démarrent par le réseau ; le billet dérivé d'Ars la décrit comme touchant la plupart des serveurs de la planète, sans protection offerte par Secure Boot, avec une gravité de 9,5. Le fil Mastodon a devancé d'environ sept heures la dépêche de presse. Tant que le texte de l'avis sur les configurations affectées n'aura pas tranché, partez du principe que votre parc démarrant par le réseau est concerné et que le reste n'est pas confirmé.
confiance0.55
Wrong if
Des avis de microprogrammes d'éditeurs indiquant explicitement les configurations affectées.
Watch
Bulletins de microprogrammes des éditeurs de serveurs et de cloud.
OTX a relayé CVE-2026-109619 environ 7,6 heures avant son inscription par la CISA, tandis que pour la faille Brotli CVE-2026-111497 l'ordre s'est inversé et le KEV a devancé OTX d'environ 46,4 heures. Aucune source n'est systématiquement la première ; si vous n'en surveillez qu'une, vous êtes en retard environ une fois sur deux.
confiance0.65
Wrong if
Un échantillon plus long montrant l'avance constante d'une même source.
Watch
Décalage avant-arrière sur les deux prochains ajouts au KEV.
Quatre sources arrêtées à la même minute : c'est une frontière de flux, pas un cessez-le-feu
NVD, Safepay, Everest et Booba Team disparaissent tous de la fenêtre après 2026-10-27T15:56. Une coupure commune à la minute près pour une source de données et trois acteurs sans lien relève d'un artefact d'ingestion, non de quatre pauses simultanées dans le monde réel. Leur activité antérieure était irrégulière : Safepay 9, Everest 8 et Booba 8 éléments en une journée.
confiance0.60Speculative
Wrong if
De nouveaux éléments de ces acteurs ou de NVD, datés d'après la coupure, apparaissant dans la prochaine fenêtre.
Watch
Nombre d'éléments par source pour NVD et ces trois acteurs dans la prochaine fenêtre.
Nothing to seeAucune grappe temporelle n'a émergé. Rien ne relie le cadre Silent Train de Volt Typhoon à PHP2Shell, et rien, hormis la géographie commune, ne relie les incidents GMO, JAL, Sony et CyberStrikeAI au Japon. Les curiosités de numérotation des CVE sont ténues et la réservation par lots les explique. Les revendications visant des cabinets d'avocats émanant de leakeddata sont de faible qualité et non confirmées.
Deep read: 632 articles consultés
§4
Prévisions
Analyses datées et réfutables. Nous notons notre propre copie, publiquement.
Today’s calls
DueCallConfidence
DueThu 5 Nov7 days
La CISA ajoute au moins une vulnérabilité supplémentaire au catalogue Known Exploited Vulnerabilities.
Wrong ifAucune nouvelle entrée KEV n'apparaît dans ces flux entre le 29 octobre et le 5 novembre.
Un rapport public d'un éditeur ou d'un CERT désigne un troisième opérateur distinct utilisant PHP2Shell, en plus de l'acteur présumé lié à la Chine et du serveur de préparation d'extorsion visant l'immobilier japonais.
Wrong ifAucun rapport de ce type n'apparaît dans ces flux d'ici le 9 novembre.
Majinahanashi's pending Jons Civil Engineering Company Ltd. (JCEL) post moves from PENDING to published by the end of 29 October 2026, in line with its stated 28 October schedule.
Called Mon 26 Oct · due Thu 29 Oct
No JCEL listing status (published or still pending) visible in today's feed items; due date is today 29 October.
partly
Qilin will post at least ten further leak-site victim claims to ransomware.live between now and 2 November.
Called Tue 27 Oct · due Mon 2 Nov
Qilin posted at least 2 claims visible in today's feed (Hawaii Law Enforcement FCU, NuVista FCU) but tempo signal notes 39 Qilin claims in last 7 days, strongly suggesting ≥10 new claims since 27 Oct; due date 2 November not yet passed so cannot fully settle.
No named, non-honeypot organisation will be publicly reported in these feeds as successfully compromised via CVE-2026-109618 or CVE-2026-109619 by 4 November.
Called Wed 28 Oct · due Wed 4 Nov
China-linked actors exploited PHP2Shell (CVE-2026-109618/19) and rooted firewalls including breaching a US government-affiliated network, and CISA confirmed active exploitation, but no specific named non-honeypot victim organisation was publicly attributed by name in these feeds; due date 4 November not yet passed.
Booba Project will post at least five further leak-site claims across ransomware.live or ransomlook by 4 November.
Called Wed 28 Oct · due Wed 4 Nov
Booba Project posted at least 8 named victim claims on 27 October alone (Hudson River Museum, BASS Medical Group, Kerckstede vzw, RCOA, Charter Township of Commerce, KING FAMILY MEDICAL, City of Big Spring, Aesthetic Specialty Centre), exceeding the threshold of 5 by 28 October.
right
NVD items timestamped after 2026-10-27T01:31 will appear in our feed by 31 October, confirming the silence was an ingestion boundary rather than a halt at the source.
Called Wed 28 Oct · due Sat 31 Oct
NVD items with timestamps from 2026-10-25 and 2026-10-26 appear in today's feed, confirming the silence was an ingestion boundary, not a source halt.
Glossaire des termes que vous êtes censé connaître
Journalisation insuffisante(n.)
Une vulnérabilité dans laquelle il n'est nul besoin que quoi que ce soit de grave se produise pour que vous soyez dans l'incapacité de prouver que rien ne s'est produit. Désormais au catalogue fédéral des vulnérabilités exploitées, ce qui signifie que l'absence de preuve a une date d'échéance.
§5
Depuis notre périmètre
Attaques en direct sur nos propres serveurs au cours des dernières 24 heures. Oui, vraiment les nôtres.
Notre propre périmètre, quant à lui, a connu une journée parfaitement ordinaire, et c'est bien là le propos. Le capteur a profilé 65 sources hostiles parmi 4 251 adresses observées depuis 109 pays, dont 1 412 nouvelles aujourd'hui, et ces 65 sources ont envoyé 5 866 requêtes à elles toutes ; 32 sont passées de la reconnaissance à de véritables tentatives d'exploitation et 7 groupes partageaient une empreinte comportementale. La plus acharnée était un scanner sur 2a06:98c0:3600::103, d'hostilité 6,4, qui a envoyé 83 requêtes à trois de nos sites en réclamant poliment /wp-admin/install.php et /.git/config. Dix-sept adresses partageaient une même empreinte, DNA 3076742860d3, c'est-à-dire un seul outil ou un seul opérateur changeant d'IP et appelant cela de la diversité. Un scanner a lancé vingt requêtes en environ 1,4 seconde à la recherche de //xmlrpc.php et de wlwmanifest.xml, trois adresses ont essayé CVE-2015-2051 contre /hnap1 comme si les années écoulées n'avaient pas existé, et la correspondance la plus assurée du capteur pour la journée était Mirai ou une variante, à 48 pour cent. Les journaux bruts n'ont jamais quitté le serveur. Seules les conclusions l'ont fait.
65sources hostiles profilées
5 866requêtes émises par elles
32ont atteint l'exploitation
7grappes à ADN partagé
7.7/10hostilité maximale
4 251adresses à notre périmètre
1 412vues pour la première fois aujourd'hui
109pays
La liste WTF
WTF #1
Le visiteur le plus déterminé
2a06:98c0:3600::103, un scanner (hostilité 6.4/10), a envoyé 83 requêtes à 3 de nos sites, en sondant /wp-admin/install.php, /.git/config.
Pourquoi c'est étrangeHostilité la plus élevée du tableau ; sa chaîne d'attaque a atteint l'armement.
attribution: inconnuThu 29 Oct, 03:00 UTC
Detail
chaîne d'attaque : reconnaissance → armement · DNA c0f8c6b5a5ea
WTF #2
Même ADN, adresses différentes
185.191.171.15, un robot d'indexation (hostilité 0.4/10), a envoyé 96 requêtes à 2 de nos sites, en sondant /threat-check/PsExec.
Pourquoi c'est étrange17 IP partagent une même empreinte comportementale (DNA 3076742860d3) : un seul outil ou un seul opérateur changeant d'adresses : 85.208.96.202, 185.191.171.5, 185.191.171.2, 85.208.96.196, 85.208.96.210 et d'autres.
attribution: inconnuThu 29 Oct, 03:00 UTC
Detail
chaîne d'attaque : reconnaissance → exploitation · DNA 3076742860d3
WTF #3
Une tentative de CVE-2015-2051 contre nous
3 adresses ont envoyé 4 requêtes conformes à l'exploitation de CVE-2015-2051 (/hnap1), dont 218.13.149.41, 157.230.24.130, 172.234.162.56.
Pourquoi c'est étrangeUn exploit connu et nommé continue d'être pulvérisé sur l'internet ; notre périmètre l'a vu aujourd'hui, quoi que disent les notes de correctif sur l'année.
attribution: inconnu
Detail
famille de sondes : dlink-hnap
WTF #4
La liste de courses la plus étrange
85.204.70.116, un scanner (hostilité 6.3/10), a envoyé 20 requêtes à l'un de nos sites, en sondant //wp-includes/wlwmanifest.xml, //xmlrpc.php, //blog/wp-includes/wlwmanifest.xml, //web/wp-includes/wlwmanifest.xml.
Pourquoi c'est étrangeA demandé des fichiers que presque personne d'autre ne demande : //wp-includes/wlwmanifest.xml, //xmlrpc.php, //blog/wp-includes/wlwmanifest.xml, //web/wp-includes/wlwmanifest.xml, //wordpress/wp-includes/wlwmanifest.xml.
attribution: inconnuThu 29 Oct, 03:00 UTC
Detail
chaîne d'attaque : reconnaissance → armement · DNA dfef4501b216
WTF #5
Très pressé
82.102.18.126, un scanner (hostilité 6.3/10), a envoyé 20 requêtes à l'un de nos sites, en sondant //wp-includes/wlwmanifest.xml, //xmlrpc.php, //blog/wp-includes/wlwmanifest.xml, //web/wp-includes/wlwmanifest.xml.
Pourquoi c'est étrangeA lancé 20 requêtes en environ 1,4 seconde.
attribution: inconnuThu 29 Oct, 03:00 UTC
Detail
chaîne d'attaque : reconnaissance → armement · DNA dfef4501b216
WTF #6
Quelqu'un que nous connaissons peut-être
139.59.240.56, un scanner (hostilité 5.8/10), a envoyé 24 requêtes à 2 de nos sites, en sondant //images/images/cache.php, //cgi-bin/cgi-bin/cgi-bin/cgi-bin/cache.php, //images/images/images/images/images/images/images/images/cache.php, //images/images/images/images/images/images/images/cache.php.
Pourquoi c'est étrangeLa correspondance de campagne la plus assurée du capteur pour la journée : Mirai ou variante (lignée Omni/Gafgyt) à 48 %.
attribution: Mirai ou variante (lignée Omni/Gafgyt) (meilleure correspondance du capteur, 48 %)Thu 29 Oct, 03:00 UTC
Detail
chaîne d'attaque : reconnaissance → armement · DNA bccc30d19899
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
192claims, 7 days
38of 267 groups active
qilin39 this week · surging
N0n18 this week
Whitearmor15 this week · new
SurgingBooba Project — 10 claims in 7 days against 2.4 expected from its own prior rate (p < 0.001)
Surgingrhysida — 6 claims in 7 days against 1.3 expected from its own prior rate (p = 0.002)
Surgingqilin — 39 claims in 7 days against 25.4 expected from its own prior rate (p = 0.007)
Surgingeverest — 8 claims in 7 days against 2.8 expected from its own prior rate (p = 0.007)
SurgingFalcon — 3 claims in 7 days against 0.4 expected from its own prior rate (p = 0.007)
Surgingemperador — 10 claims in 7 days against 4.5 expected from its own prior rate (p = 0.017)
UpTransportation — 2.2× its own prior share (71 claims, 33 expected)
UpEducation — 1.9× its own prior share (51 claims, 26 expected)
UpEnergy & Utilities — 1.6× its own prior share (38 claims, 25 expected)
UpHealthcare — 1.4× its own prior share (114 claims, 81 expected)
22% of claims carry no sector label.
Brand churn
Of the 229 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 212 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 9 — newest: Whitearmor (2026-10-23, 15 claims), Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 34% of its claims on Germany (6.6× every other brand's share); N0n put 34% of its claims on Transportation (7.5× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: nightspire across 10.4 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 64% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 196 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 36% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§8
Colophon
Comment cette édition a été fabriquée, sans détour.
L'édition 32 a été réalisée par une machine et vérifiée par du code. Chaque élément publié par 13 flux publics de menaces au cours des 24 heures précédant 05 h 05 (heure du Royaume-Uni), soit 632 éléments, a été lu intégralement : statistiques calculées par du code, chaque tranche lue par Claude Sonnet, structure synthétisée par Claude Opus. Claude Opus a ensuite édité le journal. Chaque article cite les éléments sur lesquels il repose ; les articles dont les références ne se résolvaient pas, ou dont les chiffres ne figuraient pas dans leurs sources, ont été écartés avant publication (0 aujourd'hui). Les prévisions sont évaluées publiquement dans les éditions ultérieures. « From our edge » désigne des données d'attaque en direct provenant de nos propres serveurs. Coût de cette édition : 1,26 $. Elle est rédigée par une machine, dans la voix de ScottG, auteur d'Everything Is Probably Fine, et personne ne l'a retouchée à la main, ce qui est soit le but, soit le problème.
632items read
24hour window
$1.26cost of this edition
05:05 UTCgenerated
Sources de ce matin
NVD191ok
RansomLook107ok
Security news100ok
infosec.exchange84ok
Signal Atlas42ok
atlas27ok
AlienVault OTX24ok
RSS21ok
ransomware.live21ok
signal:ioc-family8ok
CISA KEV4ok
signal:kev2ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 632|SOURCES: 13|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $1.26|STATUS: MOINS BIEN QUE D'HABITUDE
OWNER: la machine|EDITOR: les règles|CALLS OPEN: 3|NEXT REVIEW: demain 06:00 UK