Rapport de terrain quotidien sur ce qui est Probably Fine
No. 36·Lundi 2 Novembre 2026·Publié à 06:00 UK·Indicateur Fine 3/5: Pas bien, mais survivable
Ouverture · Vulnérabilités
La CISA inscrit deux failles d'Ivanti à son catalogue. L'attaque en exige trois
La CISA a ajouté vendredi deux failles d'Ivanti Connect Secure au catalogue des vulnérabilités connues et exploitées (KEV) après constatation d'une exploitation active, alors que l'intrusion signalée en enchaîne trois pour obtenir un accès root sans authentification.
confiance0.92
La Cybersecurity and Infrastructure Security Agency a ajouté vendredi deux vulnérabilités d'Ivanti Connect Secure à son catalogue KEV, à la suite d'une exploitation dans la nature. L'une d'elles est la CVE-2026-111357. Des attaquants enchaîneraient trois failles du produit pour obtenir un accès root sans authentification sur l'équipement grâce auquel vos collaborateurs à distance se trouvent, au sens architectural du terme, à l'intérieur.
Deux, c'est une entrée de catalogue. Trois, c'est un résultat. L'écart entre ces deux nombres, c'est là que vit toute notre industrie : la liste KEV recense des bugs dont on a observé l'usage, elle ne décrit pas ce qu'on en fait, et une chaîne n'est pas la somme de ses maillons, c'est le plus court chemin à travers eux. On peut corriger deux failles et savourer la douce chaleur d'un ticket clos pendant que le chemin reste ouvert : une arithmétique que les modèles de maturité sont précisément conçus pour ne pas remarquer.
L'ajout date d'un vendredi, parce que c'est toujours un vendredi. Quelque part, une équipe qui avait prévu un week-end tranquille lit désormais les notes de version d'un équipement qui termine toutes les sessions du bâtiment, et la version honnête de son point d'étape n'est pas « corrigé » mais « corrigé, et maintenant on relit les journaux à l'envers, avec un mauvais pressentiment ». La bonne question ce matin n'est pas de savoir si vous avez appliqué la mise à jour. C'est de savoir si l'attaquant était déjà root quand vous l'avez fait.
Pourquoi c'est importantSi vous exploitez Ivanti Connect Secure, le correctif n'est qu'un plancher : partez du principe qu'un accès root a précédé le correctif et traquez-le dans les journaux d'authentification et de session, car un équipement qui termine toutes les sessions distantes est aussi le meilleur poste d'observation pour les surveiller.
Une chaîne de vulnérabilités n'est pas trois bugs. C'est un seul bug qui a mis trois cycles de publication à s'assembler, et l'éditeur en a livré chaque pièce.
— Sturgeon's Revelations · Probably Fine Daily No. 36
Chaque matin06:00 UK
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§2
À la une
Le reste des dernières 24 heures, preuves à l'appui.
Rançongiciels
Qilin a publié dix victimes un dimanche sans broncher
Entre 00 h 39 et 17 h 33 le 1er novembre, Qilin a revendiqué dix organisations nommément désignées : des cabinets de services professionnels et des enseignes de distribution en Allemagne, un cabinet de conseil en Autriche, un atelier hongrois de réparation de matériel ferroviaire (BKV Vasúti Járműjavító Kft), un industriel japonais (Shibata Co., Ltd.), deux sociétés américaines de services professionnels, une société holding de fret et de logistique, et fzmb GmbH, un centre allemand de recherche en technologies médicales et en biotechnologie. Les revendications ont été reprises sur un second traceur en quelques heures, et la couche de modélisation n'a pas manqué de signaler Qilin en escalade dans l'industrie manufacturière, les transports, les services professionnels, la distribution et la santé, avec une discrète note d'apaisement pour l'administration et l'éducation à minuit. Notre lecture approfondie dénombre 45 éléments Qilin au 11-01, contre une médiane de huit les autres jours, même si une partie de ce volume correspond au même événement arrivant quatre fois par quatre sources.
Pourquoi c'est importantL'ingénierie des transports, la recherche en technologies médicales et les services professionnels de taille moyenne de la région DACH sont traités par lots ; si c'est votre cas, la question est celle du mouvement latéral depuis un réseau de sauvegarde ou d'administration, et non de savoir si vous êtes assez grand pour être intéressant.
Le FBI met un nom sur le plus grand vol de cryptomonnaies jamais enregistré, et ce nom en a cinq autres
Le FBI, avec ses partenaires américains, a formellement attribué le vol de plus de 6 milliards de dollars d'actifs virtuels chez Binance à TraderTraitor, un groupe aligné sur la Corée du Nord également suivi sous les noms Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces et UNC4899 ; une source avance le chiffre de 6,43 milliards de dollars, une autre celui de 6,3 milliards, et toutes deux y voient le plus grand braquage de cryptomonnaies jamais enregistré. L'attribution est d'abord passée par la presse spécialisée, a atteint les flux de sécurité généralistes environ 12,9 heures plus tard, et n'est apparue comme nœud d'acteur de la menace dans la couche de signaux que 22 heures environ après l'information, ce qui montre que la base de données des acteurs est en aval du journalisme et non à ses côtés.
Pourquoi c'est importantUne attribution n'est ni une récupération des fonds ni un contrôle ; si vous détenez ou courtisez des actifs numériques, le fait opérationnellement utile est que le groupe qui a établi ce record est celui que votre modèle de menace range depuis toujours sous six étiquettes différentes.
Les machines sont désormais l'intrusion et la paperasse
Chainalysis a divulgué une brèche qu'elle attribue à des « techniques agentiques offensives », exposant noms de clients, adresses électroniques, identifiants d'utilisateur et rôles au sein des organisations ; le cadre open source de piratage par IA ARTEX s'est propagé à un autre groupe lié à la Chine et est associé à des campagnes d'espionnage comme à des campagnes à motivation financière ; et des chercheurs de Parameter ont montré qu'un lien de partage ChatGPT malveillant pouvait exécuter le code d'un attaquant dans la session de quiconque l'ouvrait et lire ses conversations privées, faille signalée via le programme de bug bounty d'OpenAI. De l'autre côté du registre, les rapports de vulnérabilités générés par IA submergent désormais certains programmes de bug bounty, ce qui complique l'entrée des nouveaux chercheurs, et Anthropic a publié une note examinant trois incidents survenus dans ses propres évaluations de cybersécurité.
Pourquoi c'est importantTraitez un lien de conversation d'IA partagé comme un contenu exécutable et les clés d'API d'un fournisseur d'IA comme des identifiants de production, car aujourd'hui ces deux hypothèses sont porteuses quelque part dans votre parc.
Quatre 10 avant le petit-déjeuner, et le conseil d'un éditeur est d'« acheter un autre appareil »
LXD et MicroCloud de Canonical présentent une faille CVSS 10,0 permettant à un attaquant de s'authentifier comme client de confiance sans détenir la clé privée de ce client, à condition seulement d'atteindre l'API HTTPS par le réseau et de disposer du certificat public du client de confiance. Le WN536AX6-A de WAVLINK est touché par la CVE-2026-120279, une injection de commandes système à distance de score CVSS 10 via le gestionnaire openvpn_cli, avec un exploit public, et le Linksys E8450 vient d'écoper d'un second CVSS 10,0 dans le même fichier CGI à seize mois d'intervalle — CVE-2026-120283, un débordement strcpy sans authentification dans portal.cgi via hidden_timezone, sans correctif annoncé et avec pour remède indiqué par VulDB le remplacement de l'appareil. En dessous, ClickHouse Server présente une exécution de code à distance sans authentification (CVE-2026-116366), Teltonika RUTOS et TSWOS laissent des appelants non authentifiés invoquer directement des fonctions LUA et atteindre des commandes système (CVE-2026-82104), et l'Intelligent Connection Center de Dahua souffre d'une exécution de code à distance sans authentification (CVE-2025-31704). Aucun élément ne rattache pour l'instant l'une d'elles à un acteur nommé.
Pourquoi c'est importantCe sont toutes des voies d'accès pré-authentification vers des équipements situés en périphérie ou sous la couche d'orchestration ; commencez par l'inventaire, car la réponse pour Linksys relève des achats, pas du correctif.
KeyDrift s'installe sur le contrôleur et lit les clés avant le tunnel
KeyDrift est un logiciel malveillant visant des contrôleurs Cisco SD-WAN compromis via la CVE-2026-20127, qui intercepte les clés IPsec et prend le contrôle du trafic réseau ; le seul lien avec Volt Typhoon dans le flux du jour est un hashtag sur la publication qui le relaie, ce qui ne vaut pas attribution. Par ailleurs, Kaspersky a détaillé NetamLoader, une chaîne d'injection .NET AppDomainManager contre une version personnalisée de Windows 10 utilisée exclusivement par des entités gouvernementales en Asie, dans laquelle un fichier .config malveillant est déposé à côté de composants légitimes de Patch My PC dans SoftwareDistribution\Download, vraisemblablement via une compromission de la chaîne d'approvisionnement, sans attribution proposée. La couche des indicateurs a, de son côté, consigné 179 nouveaux indicateurs Mirai, 158 pour SalatStealer, 140 pour Mozi, 21 pour RustyStealer et 17 pour SilentNet, sans référence sur cette fenêtre pour dire si l'un de ces volumes est inhabituel.
Pourquoi c'est importantSi vos tunnels se terminent sur un contrôleur SD-WAN, ce contrôleur est un dépositaire de clés et doit être surveillé comme tel ; et un chargeur qui vit à côté d'un agent de correctifs légitime passera tous les contrôles à l'œil nu dont vous disposez.
Le JavaScript d'un autre a vendu la position d'un trader
Le 29 octobre, du code malveillant sur le site du marché de prédiction Polymarket a vendu les positions de certains traders connectés et transféré les fonds aux attaquants ; le code avait remplacé un script de performance de page que le site chargeait depuis une société tierce, DebugBear, et Polymarket indique rembourser environ 2,7 millions de dollars. Sur la même période, la plateforme d'hébergement cloud Northflank a demandé à ses clients de renouveler tous leurs identifiants et secrets après une brèche ayant entraîné une utilisation non autorisée de leurs clés d'API d'IA, et Alpine Linux a reconstruit son serveur GitLab et réinitialisé tous les mots de passe après des tentatives d'exploitation d'une vulnérabilité critique de GitLab les 20 et 21 octobre.
Pourquoi c'est importantTout script tiers sur une page authentifiée s'exécute avec les privilèges de vos utilisateurs ; inventoriez ce que vos pages chargent et auprès de qui, et faites de la rotation des clés une pratique éprouvée plutôt qu'un sujet de lecture.
Quarante et un groupes, 240 revendications, et ce sont les nouveaux venus qu'il faut surveiller
Le rythme des rançongiciels sur sept jours fait état de 240 revendications publiées sur des sites de fuite par 41 des 269 groupes suivis, avec trois pics statistiquement significatifs : Booba Project à 17 revendications contre 2,29 attendues d'après son propre rythme antérieur, thegentlemen à 50 contre 24,97, et SilentRansomGroup à 11 (tous p < 0,001). Whitearmor, pour sa part, a revendiqué une instance AmplifAI appartenant à GoDaddy et publié à ses côtés l'URL SSO Okta, l'identifiant d'application Okta et les détails de fédération Office 365, et a été signalé en escalade dans la technologie et aux États-Unis environ 9,9 heures plus tard. Ailleurs sur les forums, byod a revendiqué l'intégralité des données personnelles de 1,03 million d'étudiants actuels et anciens de la Michigan State University et Xyrsober une copie 2026 du registre d'identité péruvien RENIEC comptant environ 31 millions d'enregistrements ; l'une et l'autre restent à ce stade des revendications non vérifiées.
Pourquoi c'est importantSeize pour cent des groupes suivis ont assuré toutes les publications de la semaine : une liste de surveillance courte vaut donc mieux qu'une longue — et si une revendication d'intrusion s'accompagne des identifiants d'application de votre fournisseur d'identité, commencez par la fédération, pas par le poste de travail.
La borne de recharge dont le mot de passe est imprimé sur la borne de recharge
Les bornes de recharge Delta UFC500 dérivent le mot de passe par défaut du compte Service à partir de positions de caractères du numéro de série de l'appareil, de sorte qu'un attaquant non authentifié disposant d'un accès réseau adjacent peut le reconstituer ou simplement épuiser l'espace des clés (CVE-2026-22105). La base de données de modèles de l'interface web livrée conserve en outre en clair les valeurs d'usine par défaut des cinq types de comptes, identiques d'un appareil à l'autre et inchangées sur l'unité testée (CVE-2026-22109) ; le serveur web ne vérifie aucune authentification sur les requêtes POST ou PUT, ce qui permet un redémarrage sans authentification et, par force brute sur le configid, la définition du mot de passe de service puis de tout autre paramètre (CVE-2026-22110) ; et l'authentification HTTP basique n'impose aucune limite d'essais ni temporisation, ce qui, note l'avis, rend l'espace des clés épuisable (CVE-2026-22114). Par ailleurs, et nous ne le mentionnons que parce que le flux l'a fait, un utilisateur de Mastodon a annoncé avoir « vibe-codé » une implémentation de sshd en Rust et demandé s'il devait la déployer en production aujourd'hui.
Pourquoi c'est importantTraitez l'infrastructure de recharge des véhicules électriques comme un réseau d'administration sans authentification auquel on a branché une voiture, et tenez-la à l'écart de tout ce qui compte.
La lecture approfondie du jour : ce qui est sous les flux, et non au-dessus.
Sous les flux, l'essentiel du volume du jour relève du calendrier de publication et de sorties de modèles déguisées en activité d'attaquants.
Exception 01
La poussée de Qilin est réelle mais gonflée par les reprises
Les éléments Qilin bondissent à 45 le 1er novembre contre une médiane de huit les autres jours, et c'est la seule entité apparaissant dans quatre sources distinctes. Dix revendications de victimes distinctes en Allemagne, en Autriche, en Hongrie, au Japon et aux États-Unis ont été publiées en dix-sept heures environ et reprises sur un second traceur avec un retard d'environ 11,8 heures sur le premier, avec par-dessus des articles d'escalade modélisés. Le rythme opérationnel est élevé ; le nombre d'éléments le surestime.
confiance0.70
Wrong if
La poussée s'avère composée surtout d'éléments de signal modélisés, avec peu de publications distinctes sur site de fuite le 11-01.
Watch
Publications de victimes de Qilin au cours des 48 à 72 prochaines heures, en particulier dans la santé, les transports et en Allemagne.
La base de données des acteurs est en aval du fil d'actualité
TraderTraitor est apparu d'abord dans la presse spécialisée, dans les flux plus larges 12,9 heures plus tard, puis comme nœud d'acteur de la menace 22 heures après. Le nœud Syrian Electronic Army a accusé 42 heures de retard sur son article d'actualité, et FrostyNeighbor est arrivé dans le même lot. Ces nœuds ressemblent à une extraction à partir de comptes rendus, non à une corroboration indépendante, et ne doivent pas être comptés comme une seconde source.
confiance0.65
Wrong if
L'analyse des sources montre que les nœuds d'acteurs ont été créés avant les articles d'actualité, et indépendamment d'eux.
Watch
Si l'analyse on-chain ou celle des éditeurs corrobore ou révise le chiffre et le chemin de blanchiment.
Les correctifs incomplets sont le schéma le plus fiable du jour
Plusieurs CVE du jour sont des régressions ou des correctifs partiels : Gravity Forms transmettant des valeurs à la fonction maybe_unserialize() de WordPress, sans restriction, plutôt qu'à sa propre version durcie, Enable Media Replace réintroduisant une injection d'objets, le retrait des CRLF de CakePHP décrit comme un correctif incomplet de la CVE-2026-77634, et un rétroportage incomplet du correctif de la CVE-2026-46099 laissant un déséquilibre local_bh dans les noyaux RHEL 9. La recherche de contournements sur des correctifs récents est la recherche offensive la moins coûteuse qui soit.
confiance0.55
Wrong if
Les cas se révèlent fortuits, ou des périodes antérieures montrent les mêmes éditeurs régressant au même rythme.
Watch
Des CVE consécutives visant les quatre mêmes produits dans les deux prochaines semaines.
L'exploitation d'Ivanti et de Cisco n'a pour l'instant aucun acteur attitré
Les ajouts au KEV, les exécutions de code à distance pré-authentification chez Teltonika, ClickHouse et Dahua, et les articles modélisés de fusion KEV-rançongiciels coïncident dans le temps, mais aucun élément ne relie l'exploitation d'Ivanti à un groupe nommé, et le lien entre Cisco SD-WAN et Volt Typhoon repose sur un seul hashtag. Quiconque présente aujourd'hui à un conseil d'administration le « qui » remplit une case vide.
confiance0.40Speculative
Wrong if
Un avis d'éditeur ou de la CISA rattache l'exploitation d'Ivanti ou de Cisco SD-WAN à un acteur nommé ou à un affilié de rançongiciel.
Watch
Avis d'éditeurs et de la CISA nommant un acteur sur l'une ou l'autre chaîne.
Nothing to seeAucune grappe temporelle, pas une. Le flux NVD a fourni 100 éléments puis s'est tu après 00 h 18 le 11-01, et les grappes quotidiennes autour de Gravity Forms, ProFTPD, Elixir et Dell OpenManage relèvent d'une publication par lots à 06 h 16 et 12 h 16 plutôt que d'une quelconque coordination. La grande poussée d'escalade de thegentlemen a été générée en un seul passage à 11 h 50 le 10-31, sans revendication de victime derrière elle sur cette fenêtre : c'est une sortie de modèle, pas une activité de terrain. Les décomptes d'indicateurs n'ont ici aucune référence, de sorte que 179 indicateurs Mirai sont un nombre, non une anomalie. Et la publication Mastodon demandant « what if rogue ai stole 6 billion dollar » est presque certainement l'œuvre d'une personne lisant le titre sur Binance à quatre heures du matin.
Deep read: 284 articles consultés
§4
Prévisions
Analyses datées et réfutables. Nous notons notre propre copie, publiquement.
Today’s calls
DueCallConfidence
DueMon 9 Nov7d
Qilin publie au moins cinq autres victimes nommées sur son site de fuite, reprises par au moins un traceur, d'ici le 2026-11-09.
Wrong ifMoins de cinq nouvelles revendications de victimes Qilin distinctes apparaissent sur ransomware.live et ransomlook entre le 2026-11-02 et le 2026-11-09.
Le décompte glissant sur sept jours des revendications de Booba Project sur site de fuite tombe sous 17 dans le rapport de rythme du 2026-11-09, alors qu'il était déjà noté en refroidissement dans l'ensemble de ses secteurs.
Wrong ifLe rapport de rythme du 2026-11-09 montre Booba Project à 17 revendications ou plus sur les sept jours précédents.
Aucun avis public d'éditeur ou de la CISA ne rattache, d'ici le 2026-11-12, la chaîne d'exploitation d'Ivanti Connect Secure à un acteur de la menace ou à un groupe de rançongiciel nommément désigné.
Wrong ifLa CISA, Ivanti ou un grand éditeur nomme un acteur derrière la chaîne de la CVE-2026-111357 au plus tard le 2026-11-12.
At least three of N0n's five placeholder listings (Company #99 to #103) are replaced by named victims on ransomware.live or ransomlook.
Called Thu 22 Oct · due Sun 1 Nov
The 1 November due date has passed. No item shows N0n placeholders (Company #99 to #103) replaced by named victims.
open
At least one of N0n's anonymised 'Company #104' to '#109' entries is replaced by a named victim on ransomware.live or ransomlook.
Called Fri 23 Oct · due Mon 2 Nov
2 November is the due date and has not ended. No item mentions N0n or Company #104 to #109.
partly
Qilin leak-site postings fall back to fewer than 15 claims on any single day across ransomware.live and ransomlook between 1 and 4 November, confirming the 60-item day was a batch rather than a campaign.
Called Sat 31 Oct · due Wed 4 Nov
Roughly 10 Qilin claims were posted on ransomware.live on 1 November, below 15. The window runs to 4 November, so a later day could still reach 15 or more.
No government body or law enforcement agency formally attributes the Binance theft to North Korea in these feeds by 14 November; the TraderTraitor link stays an analyst inference.
Called Sat 31 Oct · due Sat 14 Nov
On 1 November the FBI officially attributed the Binance theft to North Korea's TraderTraitor, before the 14 November deadline.
Glossaire des termes que vous êtes censé connaître
Techniques agentiques offensives(n.)
la même intrusion que l'an dernier, menée par quelque chose qui ne se fatigue pas, ne s'ennuie pas et n'a pas besoin de tarif journalier ; connu autrefois sous le nom de script, avant que le script n'acquière de l'initiative et un communiqué de divulgation.
§5
Depuis notre périmètre
Attaques en direct sur nos propres serveurs au cours des dernières 24 heures. Oui, vraiment les nôtres.
Notre propre périphérie a connu une nuit ordinaire, ce qui est le plus troublant. En 24 heures, le capteur local a profilé 62 sources hostiles — 42 scanners, 13 robots d'indexation, quatre opérateurs ciblés, deux outils de force brute — qui ont envoyé 10 371 requêtes au total ; 13 d'entre elles ont dépassé la reconnaissance pour de véritables tentatives d'exploitation, et cinq groupes d'adresses partageaient une empreinte comportementale, dont un outil ou opérateur tournant sur 13 IP sous l'ADN dfef4501b216. Sur 5 712 adresses vues en périphérie dans 110 pays, 2 566 étaient nouvelles aujourd'hui. Le visiteur le plus assidu, 44.249.143.106, a envoyé 334 requêtes à raison de 52 par minute sur deux de nos sites, réclamant /.git/config et quatre variantes de .env, et la correspondance de campagne la plus sûre du jour selon le capteur en fait à 62 % un scanner d'énumération de secrets. Un autre a lancé 122 requêtes en 1,2 seconde environ, toutes visant des fichiers d'identifiants AWS et Docker, ce qui n'est pas une personne et ne l'a jamais été. Une adresse a envoyé six requêtes calquées sur la CVE-2024-4577 vers un /index.php qui n'existe pas, parce que l'exploit reste moins coûteux à pulvériser qu'à retirer. Les journaux bruts n'ont jamais quitté le serveur ; seuls ces constats l'ont fait. Rien de tout cela ne nous visait, et tout cela aurait fonctionné contre quelqu'un.
62sources hostiles profilées
10 371requêtes émises
13ayant atteint l'exploitation
5grappes à ADN partagé
8,3/10hostilité maximale
5 712adresses à notre périphérie
2 566vues pour la première fois aujourd'hui
110pays
La liste WTF
WTF #1
Le visiteur le plus déterminé
132.196.59.85, un scanner (hostilité 6,7/10), a envoyé 130 requêtes à l'un de nos sites, en sondant /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /3PJcpMFsD8B_261013034223.php, /pw.php.
Pourquoi c'est étrangeHostilité la plus élevée du tableau ; sa chaîne d'attaque a atteint l'armement.
34.176.200.106, un scanner (hostilité 6,3/10), a envoyé 277 requêtes à raison de 271 par minute à l'un de nos sites, en sondant /.git/config, /.env, /.env.local, /.env.production.
Pourquoi c'est étrange13 IP partagent une même empreinte comportementale (ADN dfef4501b216) : un même outil ou un même opérateur qui fait tourner les adresses : 216.73.161.156, 2001:41d0:601:2000::166e, 34.6.113.19, 92.222.24.199, 45.92.229.15 et d'autres.
1 adresse a envoyé 6 requêtes calquées sur l'exploitation de la CVE-2024-4577 (/index.php), dont 109.238.86.65.
Pourquoi c'est étrangeUn exploit connu et nommé encore pulvérisé sur Internet ; notre périphérie l'a vu aujourd'hui, quoi que disent les notes de correctif sur l'année.
attribution: inconnu
Detail
famille de sondes : webshell
WTF #4
La liste de courses la plus étrange
20.211.122.120, un scanner (hostilité 6,4/10), a envoyé 46 requêtes à l'un de nos sites, en sondant /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php.
Pourquoi c'est étrangeA réclamé des fichiers que presque personne d'autre ne demande : /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php, /rip.php.
34.77.241.117, un scanner (hostilité 5,4/10), a envoyé 122 requêtes à l'un de nos sites, en sondant /.aws/.env, /.aws/credentials.bak, /.docker/config.json, /.docker/laravel/app/.env.
Pourquoi c'est étrangeA lancé 122 requêtes en 1,2 seconde environ.
44.249.143.106, un scanner (hostilité 6,6/10), a envoyé 334 requêtes à raison de 52 par minute à 2 de nos sites, en sondant /.git/config, /.env, /.env.local, /.env.production.
Pourquoi c'est étrangeLa correspondance de campagne la plus sûre du jour selon le capteur : scanner d'énumération de secrets (compatible Nuclei ou outil sur mesure) à 62 %.
attribution: Scanner d'énumération de secrets (compatible Nuclei ou outil sur mesure) (meilleure correspondance du capteur, 62 %)Mon 2 Nov, 02:00 UTC
UpTransportation — 2.1× its own prior share (71 claims, 34 expected)
UpEducation — 2.0× its own prior share (55 claims, 27 expected)
UpHealthcare — 1.2× its own prior share (107 claims, 88 expected)
DownAgriculture and Food Production — 0.7× its own prior share (23 claims, 34 expected)
23% of claims carry no sector label.
Brand churn
Of the 231 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 62% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 213 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 11 — newest: Shiba (2026-10-29, 5 claims), everstake (2026-10-29, 5 claims), Whitearmor (2026-10-23, 19 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.2× every other brand's share); N0n put 33% of its claims on Transportation (7.4× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.0× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 196 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 33% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§8
Colophon
Comment cette édition a été fabriquée, sans détour.
L'édition 36 a été faite par une machine et vérifiée par du code. Chaque élément publié par 11 flux publics de menaces dans les 24 heures précédant 05 h 05 (heure du Royaume-Uni) (284 éléments) a été lu intégralement : statistiques calculées par du code, chaque tranche lue par Claude Sonnet, structure synthétisée par Claude Opus. Claude Opus a ensuite édité le journal. Chaque article cite les éléments sur lesquels il repose ; les articles dont les justificatifs ne se résolvaient pas, ou dont les chiffres ne figuraient pas dans leurs sources, ont été écartés avant publication (0 aujourd'hui). Les prévisions sont évaluées publiquement dans les éditions ultérieures. « Depuis notre périphérie » correspond à des données d'attaque en direct issues de nos propres serveurs. Coût de cette édition : 0,00 $. Elle est rédigée par une machine, dans la voix de ScottG, auteur d'Everything Is Probably Fine, et personne ne l'a retouchée à la main, ce qui est soit le but, soit le problème.
284items read
24hour window
$0.00cost of this edition
05:05 UTCgenerated
Sources de ce matin
NVD100ok
Signal Atlas48ok
infosec.exchange37ok
atlas27ok
Security news22ok
ransomware.live17ok
RansomLook17ok
signal:ioc-family9ok
RSS3ok
signal:actor3ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 284|SOURCES: 11|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.00|STATUS: PAS BIEN, MAIS SURVIVABLE
OWNER: la machine|EDITOR: les règles|CALLS OPEN: 3|NEXT REVIEW: demain 06:00 UK