Rapport de terrain quotidien sur ce qui est Probably Fine
No. 37·Mardi 3 Novembre 2026·Publié à 06:00 UK·Indicateur Fine 3/5: Pas particulièrement fine
Ouverture · Vulnérabilités
Deux nouvelles failles zero-day d'Ivanti Connect Secure inscrites au KEV, environ un mois après leur découverte par d'autres
Ivanti a corrigé hier CVE-2026-111357 et CVE-2026-118527 ; la chaîne d'exploitation est utilisée dans des attaques depuis au moins le 1er octobre, si bien que le calendrier de divulgation ressemble surtout à un récépissé remis à l'attaquant.
confiance0.93
Ivanti a publié des correctifs pour deux autres failles de la passerelle d'accès distant Connect Secure, et la CISA a ajouté CVE-2026-111357 et CVE-2026-118527 au catalogue KEV, après que les deux vulnérabilités ont été enchaînées dans des attaques zero-day depuis au moins le 1er octobre. Lue dans l'ordre que dicte le calendrier, cette phrase dit quelque chose de légèrement différent du communiqué : pendant environ un mois, un équipement de périmètre, dont la seule fonction est d'être le périmètre, a servi de base de rebond, et les seuls à disposer d'un inventaire complet des organisations touchées étaient ceux qui l'exploitaient.
C'est le moment du rituel où quelqu'un prononce le mot « sophistiqué ». Il n'est d'aucune utilité ici. Ce qui s'est passé, c'est qu'un équipement exposé sur Internet, doté d'une interface web, présentait deux bogues combinables, et que ceux qui les ont trouvés en premier n'étaient ni l'éditeur ni nous. Le correctif met fin au problème de l'éditeur et inaugure le vôtre : un appareil exploitable pendant un mois ne se patche pas, on le considère comme visité, puis on le démontre autrement avec des journaux que l'on espère avoir conservés.
Le patron du NCSC a choisi la même semaine pour mettre en garde contre une hausse sans précédent des attaques dans les mois à venir, estimant que des vulnérabilités tolérées beaucoup trop longtemps peuvent désormais être découvertes et exploitées à une échelle autrefois inimaginable. « Tolérées » porte ici tout le poids de la phrase, et c'est le mot juste. Personne n'a accepté ce risque en réunion. Nous avons simplement continué à ne pas nous en occuper, ce qui revient au même, avec une meilleure paperasse.
Pourquoi c'est importantSi vous exploitez des passerelles ICS, appliquer le correctif aujourd'hui est la moitié facile ; fouiller la fenêtre du 1er octobre au 2 novembre est celle qui vous dira si vous avez un incident.
Chaque avis de sécurité contient deux dates, et celle qu'a utilisée l'attaquant est toujours la plus ancienne.
— Sturgeon's Revelations · Probably Fine Daily No. 37
Chaque matin06:00 UK
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§2
À la une
Le reste des dernières 24 heures, preuves à l'appui.
Vulnérabilités
Un millier de serveurs GitLab restent exposés sur Internet à une faille de gravité maximale activement exploitée
Plus de 1 000 serveurs GitLab exposés sur Internet ne sont toujours pas corrigés contre une faille de gravité maximale activement exploitée pour l'exécution de code à distance. Sur la même période, Synology a demandé aux propriétaires de NAS de mettre à jour sans délai en raison d'une vague d'attaques du rançongiciel C3RB3R contre leurs appareils. Aucun de ces cas n'a rien de mystérieux, d'étatique ou de techniquement inédit ; dans les deux, il s'agit d'une machine installée pour rendre service, sur Internet, avec un numéro de version antérieur aux mauvaises nouvelles.
Pourquoi c'est importantUn serveur GitLab contient votre code source, vos jetons d'intégration continue et vos clés de déploiement : moins un serveur qu'un passe-partout doté d'une interface web.
Une centaine de CVE sont arrivées en une matinée, presque toutes concernant WordPress, puis le NVD s'est tu
Le flux a absorbé une centaine d'entrées du NVD le 31 octobre, très majoritairement des bogues de plugins WordPress de deux ou trois types : scripts intersites stockés non authentifiés via les champs de commentaires, et absence d'autorisation sur des points d'accès qui acceptent avec bonne humeur tout ce qu'on leur envoie. Noyée dans ce flot de plugins figure CVE-2026-119977, une exécution de code à distance dans WordPress Core, versions 4.7 à 7.1.3, causée par des chemins de préparation prévisibles et accessibles depuis le web lors des mises à niveau complètes du cœur, exploitable par des attaquants non authentifiés pendant la fenêtre de mise à niveau. Puis le NVD s'est arrêté, sans rien après 21 h 05 le 1er novembre, ce qui relève soit d'une pause de publication, soit d'un trou d'ingestion, et n'est rassurant dans aucun des deux cas.
Pourquoi c'est importantLe moment vulnérable de CVE-2026-119977 est la mise à niveau elle-même : la seule tâche de maintenance dont on vous félicitait est aussi la fenêtre d'attaque.
The Gentlemen ont publié près de deux douzaines de victimes en une matinée, et N0n les numérote comme des factures
The Gentlemen ont publié 24 entrées sur leur site de fuite le 2 novembre, contre une médiane de zéro les autres jours, des victimes allant d'un cabinet juridique écossais spécialisé en droit immobilier et d'une holding logistique française à un département de la santé d'un État brésilien et à Mitsubishi Motors Ukraine ; notre comptage de cadence situe le groupe à 50 revendications en sept jours contre 24,97 attendues d'après son propre rythme antérieur, p inférieur à 0,001, au cours d'une semaine où 217 revendications provenaient de 39 des 269 groupes suivis. N0n, de son côté, publie des entrées anonymisées et numérotées, de Company #113 à #122, marquées PENDING EXPOSURE et décrites uniquement par secteur, de l'assurance dentaire à un conglomérat de distribution des Émirats arabes unis : une extorsion menée comme un pipeline de publication, dont le levier est le nom retenu. Everstake est allé plus loin en affichant des comptes à rebours : 582,69 Gb prévus pour le 10 novembre, 473,05 Gb pour le 12 novembre, victimes toujours masquées. Par ailleurs, Interlock a publié deux districts scolaires américains, Redact a revendiqué 29,7 Go et 11 156 fichiers du cabinet d'avocats Holland & Knight, et SilentRansomGroup connaît un pic à 11 revendications contre 2,55 attendues.
Pourquoi c'est importantUn déversement massif fausse vos courbes de tendance : il s'agit d'un événement de publication, et non de vingt-quatre intrusions survenues lundi, et votre diapositive de conseil d'administration ne fera pas la différence si vous ne le lui dites pas.
confiance0.85
Acteurs de la menace
Ils ont appelé en se faisant passer pour le support informatique sur Teams, pris le contrôle à distance, puis demandé un certificat à Active Directory
Dans deux intrusions menées par des opérateurs humains, les attaquants se sont fait passer pour le support informatique par messages et appels Microsoft Teams, ont convaincu des employés d'accorder un accès à distance via Quick Assist, puis ont abusé de configurations non sécurisées d'Active Directory Certificate Services selon les voies ESC1 et ESC8 pour émettre des certificats de connexion pour des comptes privilégiés, dont un pour un contrôleur de domaine. Aucun exploit, aucun logiciel malveillant digne de ce nom au point d'entrée : juste un collègue convaincant et une autorité de certification qui fait ce qu'on lui dit. Le certificat est le cœur de l'affaire : il est durable, légitime, et survit à la réinitialisation de mot de passe que vous effectuerez en vous sentant productif.
Pourquoi c'est importantAuditez vos modèles AD CS pour repérer les noms de sujet fournis par le demandeur et l'inscription web en HTTP, et traitez les contacts Teams externes et les sessions Quick Assist comme un événement d'authentification, car c'est ainsi que l'attaquant les a traités.
Les modèles sont désormais des deux côtés de la facture : ARTEX a touché 200 organisations, et les outils d'IA eux-mêmes ont été compromis
Des opérateurs chinois ont utilisé ARTEX, un cadre open source multi-agents d'IA pour les tests d'intrusion, dans des attaques contre plus de 200 organisations dans 14 pays, la campagne VAPOR PANDA ayant mené des intrusions parallèles depuis le 17 octobre à l'aide de DeepSeek et de modèles commerciaux ; un autre cadre open source, CyberStrikeAI, a été employé contre des établissements d'enseignement en Afrique et en Amérique latine ; et l'infostealer VOLTA interroge Claude, Gemini et Kimi pour classer les données volées selon la valeur de la victime. Dans l'autre sens, la place de marché d'extensions de Cursor a servi de malveillantes extensions Claude Code, versions 2.1.312 et 2.1.313, le 29 octobre, qui effectuaient une reconnaissance de l'hôte et tentaient d'installer des portes dérobées SSH sur les postes de développeurs ; Chainalysis a révélé une compromission au cours de laquelle des attaquants ont employé des techniques agentiques offensives contre ses systèmes et ses outils internes ; et au moins neuf plateformes de développement d'IA ont été compromises en octobre, avec vol d'identifiants et abus d'accès aux modèles. Unit 42 a également signalé SysGoRAT contre des infrastructures Linux gouvernementales, avec des scripts soupçonnés d'être générés par IA. Le fil conducteur n'est pas l'intelligence, mais le débit.
Pourquoi c'est importantVos ordinateurs de développeurs disposent désormais d'une place de marché d'extensions au rayon d'impact d'un gestionnaire de paquets, et personne n'en est responsable.
Google a démantelé un botnet de 1,3 million d'appareils et affirme que le fabricant a installé la porte dérobée délibérément
Google et ses partenaires du secteur ont mis hors service le botnet XCPE, plus de 1,3 million d'appareils Android, principalement des décodeurs TV, qui louaient la connexion Internet de leurs propriétaires à des inconnus et servaient à la fraude publicitaire. Google se dit hautement confiant que le fabricant Videostrong a volontairement intégré la porte dérobée aux boîtiers et vendu l'accès à des criminels, et lui a interdit sa plateforme. Voilà le changement à retenir : non pas une chaîne d'approvisionnement compromise par un tiers, mais une chaîne d'approvisionnement fonctionnant exactement comme son propriétaire l'entendait, le client étant le produit livré.
Pourquoi c'est importantLes boîtiers grand public bon marché sur les réseaux domestiques des salariés relèvent désormais de la confiance accordée au fournisseur plutôt que de la gestion des correctifs, et l'on ne peut pas patcher un modèle économique.
Le FBI attribue le vol de 6,43 milliards de dollars chez Binance à TraderTraitor, tandis que trois autres incidents crypto se déroulent en parallèle
Le FBI a attribué le vol de plus de 6 milliards de dollars d'actifs virtuels chez Binance à TraderTraitor, le groupe aligné sur la Corée du Nord également suivi sous les noms Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces et UNC4899, et a signalé plus de 600 adresses au fur et à mesure du blanchiment du produit. Dans le flux du même jour, et sans aucun élément de lien entre eux : la plus grande plateforme d'échange du Brésil, Mercado Bitcoin, a confirmé une cyberattaque, avec plus de 46 millions de dollars sortis de la plateforme ; BTCPay Server a averti que les portefeuilles chauds d'instances obsolètes sont vidés ; et Polymarket rembourse 3,9 millions de dollars à des traders après la compromission des enregistrements DNS de DebugBear via son bureau d'enregistrement de domaines. Les comptes rendus d'analyse post-incident de Binance font le constat inconfortable avec netteté : un ordinateur portable compromis, une faible séparation des systèmes, une perte systémique.
Pourquoi c'est importantLa compromission d'un bureau d'enregistrement ou d'un script tiers échappe à la plupart des inventaires d'actifs et se retrouve dans la session de navigation de chaque client.
Quelqu'un a modifié à distance les réglages de température de congélateurs de supermarchés, dans plusieurs pays
Une cyberattaque visant des systèmes de réfrigération a perturbé des magasins exploités par plusieurs enseignes de supermarchés dans plusieurs pays européens, après que des attaquants ont modifié à distance les réglages de température de congélateurs et de systèmes de refroidissement. L'affaire ne comporte aucune CVE, aucune note de rançon mentionnée, rien d'ingénieux : un système de contrôle qui acceptait une consigne de la part de quiconque la lui demandait. Dans la rubrique de l'étrange, l'agence fédérale russe des statistiques Rosstat a confirmé une cyberattaque revendiquée par une alliance de pirates biélorusses et pro-ukrainiens.
Pourquoi c'est importantSi une consigne peut être écrite à distance sans authentification forte, votre système de contrôle d'ambiance est un actionneur doté d'une page de connexion, et il a sa place dans le même registre d'actifs que le contrôleur de domaine.
La lecture approfondie du jour : ce qui est sous les flux, et non au-dessus.
Sous les flux : deux trackers qui se copient, une rafale prise pour une vague criminelle, et un nombre d'indicateurs qui mesure la plomberie plutôt que les infections.
Exception 01
Multi-source ne veut pas dire corroboré
ransomware.live précède systématiquement ransomlook d'environ une à une heure et demie sur les publications de N0n, Everstake et safepay, et de quatre heures et demie dans le seul cas orova où ransomlook est arrivé en premier. Les décomptes de victimes multi-sources pour Qilin, Akira et N0n reflètent en grande partie un moissonnage partagé des mêmes sites de fuite, et non une confirmation indépendante.
confiance0.70
Wrong if
Preuve que les trackers collectent indépendamment, comme des ensembles de victimes différents ou un ordre d'avance variable selon le groupe.
Watch
Si le décalage d'environ une heure se confirme, et si les dates de révélation programmées d'Everstake, les 10 et 12 novembre, arrivent effectivement.
La journée de The Gentlemen est une publication, pas un rythme d'intrusion
24 entrées en environ trois heures et demie le 2 novembre, contre une médiane nulle les autres jours, couvrant la santé, le droit, l'industrie, l'éducation et l'automobile en Europe, dans les Amériques, en Afrique et en Océanie, ressemblent à la publication par lots d'un arriéré ou à une campagne d'affiliés. Les décomptes par victime qui en découlent surestimeront la compromission en temps réel.
confiance0.70
Wrong if
Des divulgations de victimes datant les intrusions des mêmes jours, ou le groupe maintenant le même rythme pendant une semaine.
Watch
La cadence au cours des trois à sept prochains jours, et toute confirmation de la part des organisations nommées.
Exception 03
Les 2 221 indicateurs de SalatStealer sont un artefact de flux jusqu'à preuve du contraire
SalatStealer a produit 2 221 indicateurs en environ 23 heures, contre 5 à 52 pour chaque autre famille sur la période, tandis que Mirai et Mozi démarrent à la même minute et que SilverFox et ValleyRAT sont identiques en nombre et en horodatage. Ce schéma évoque une ingestion par lots et des alias plutôt qu'une vague d'infections.
confiance0.50Speculative
Wrong if
Une télémétrie indépendante montrant un véritable pic de campagne SalatStealer.
Watch
Si le rythme des indicateurs reste élevé une fois le lot écoulé.
Exception 04
L'éducation est le secteur de la semaine, par accumulation plutôt que par campagne
La revendication non confirmée de BYOD contre la Michigan State University, visant 1,03 million d'étudiants et de personnels actuels et anciens, est apparue sur ransomware.live et a atteint la presse environ 16 heures plus tard ; elle côtoie la compromission du site d'aide financière aux étudiants de Floride, qui expose 4,9 millions de personnes, et les deux fuites de districts scolaires d'Interlock. Il s'agit d'acteurs distincts, sans élément de coordination.
confiance0.50
Wrong if
La MSU niant toute intrusion, ou le nombre de victimes revendiqué se révélant incohérent.
Watch
Une déclaration de la MSU, et si BYOD publie des données.
Nothing to seeAucun lien n'a été trouvé entre les victimes de rançongiciels du jour et les CVE de périphérie. Sageworks et Akira, Polymarket et l'extension Cursor, ainsi que l'incident de réfrigération des supermarchés relèvent de la simple coïncidence, sans entité commune ni preuve de causalité. Le groupe de 41 éléments sur Mastodon à 04 h 00 correspond à des gens qui se réveillent, pas à un signal. L'affirmation d'un zero-day ESXi de WARP PANDA repose sur une seule source et n'est pas confirmée, et une journée ne constitue pas une base de référence pour la moindre tendance que vous vous apprêtez à mettre sur une diapositive.
Deep read: 343 articles consultés
§4
Prévisions
Analyses datées et réfutables. Nous notons notre propre copie, publiquement.
Today’s calls
DueCallConfidence
DueFri 6 Nov72h
La publication du NVD reprend dans ces flux, avec au moins 20 nouvelles entrées CVE ingérées, d'ici le 6 novembre 2026.
Wrong ifAucun nouvel élément du NVD dans le flux après le 1er novembre 21 h 05 à la fin du 6 novembre.
The Gentlemen ne publient pas d'autre journée de 20 entrées ou plus sur leur site de fuite d'ici le 10 novembre 2026 ; la rafale du 2 novembre était une publication par lots, non un nouveau rythme.
Wrong ifToute journée jusqu'au 10 novembre avec 20 entrées ou plus de The Gentlemen sur ransomware.live ou ransomlook.
Au moins l'une des deux publications programmées d'Everstake (582,69 Gb prévus le 10 novembre, 473,05 Gb le 12 novembre) apparaît sur les sites de fuite, avec la victime nommée, d'ici le 13 novembre 2026.
Wrong ifLes deux entrées restent masquées, ou le calendrier a glissé en silence au-delà du 13 novembre sans publication.
At least one of N0n's anonymised 'Company #104' to '#109' entries is replaced by a named victim on ransomware.live or ransomlook.
Called Fri 23 Oct · due Mon 2 Nov
The due date has passed. The only N0n items are new anonymised entries (#113-#117 and #118-#122, all with placeholder names), and none shows #104-#109 being named.
right
CISA adds a third Ivanti Connect Secure CVE from the reported chain to the KEV catalogue by 8 November 2026.
Called Sun 1 Nov · due Sun 8 Nov
SecurityWeek reports CISA added two more Ivanti Connect Secure chain CVEs, CVE-2026-111357 and CVE-2026-118527, to KEV. This assumes the call's earlier two chain CVEs were already listed, so these are the third and fourth.
TheGentlemen posts fewer than ten new leak-site claims on ransomware.live between 2 and 8 November 2026, confirming the 31 October figure as a single burst rather than a new operating rate.
Called Sun 1 Nov · due Sun 8 Nov
On 2 November alone ransomlook shows about 24 new the gentlemen leaks, and the tempo report shows 50 claims in 7 days. That is already well over ten.
Glossaire des termes que vous êtes censé connaître
Agentique(n.)
Capable d'accomplir la partie centrale et ennuyeuse d'une intrusion à trois heures du matin sans réclamer de tarif journalier, de réunion de lancement ni de cahier des charges. Anciennement : un junior. Voir aussi : Chainalysis, qui en a reçu la visite.
§5
Depuis notre périmètre
Attaques en direct sur nos propres serveurs au cours des dernières 24 heures. Oui, vraiment les nôtres.
Notre propre capteur en périphérie a profilé 22 sources hostiles au cours des dernières 24 heures — 15 scanners, 4 robots d'exploration, 2 outils de force brute et 1 opérateur ciblé — qui ont envoyé 1 741 requêtes à eux tous, dont 4 sont passées de la reconnaissance à des tentatives d'exploitation, sur 5 262 adresses vues depuis 95 pays, dont 1 564 pour la première fois. Le visiteur le plus déterminé de la journée, 84.17.60.236, d'hostilité 7,7 sur 10, a envoyé 20 requêtes à la recherche de /login/wp-includes/wlwmanifest.xml et de /login/xmlrpc.php et a atteint l'accès aux identifiants dans sa chaîne d'attaque ; cinq adresses partageaient une même empreinte comportementale en demandant /.git/config, /.env et /.env.production, ce qui désigne un seul opérateur doté d'un budget de rotation ; 34.156.56.208 a lancé 123 requêtes visant des fichiers d'identifiants AWS et Docker en une demi-seconde environ ; et deux adresses ont arrosé /hnap1 à notre intention sous la forme de CVE-2015-2051, un exploit nommé de 2015, parce qu'Internet ne jette jamais rien. La correspondance de campagne la plus fiable de la journée, à 45 pour cent, était un scanner de vulnérabilités de plugins WordPress, soit précisément le public auquel s'adressaient les cent CVE de plugins WordPress d'hier. Les journaux bruts n'ont jamais quitté le serveur ; seules ces conclusions l'ont fait.
22sources hostiles profilées
1 741requêtes de leur part
4ont atteint l'exploitation
3grappes à ADN commun
8,2/10hostilité maximale
5 262adresses à notre périphérie
1 564vues pour la première fois aujourd'hui
95pays
La liste WTF
WTF #1
Le visiteur le plus déterminé
84.17.60.236, un opérateur ciblé (hostilité 7,7/10), a envoyé 20 requêtes à l'un de nos sites, à la recherche de /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Pourquoi c'est étrangeHostilité la plus élevée du tableau ; sa chaîne d'attaque a atteint l'accès aux identifiants.
35.200.118.164, un scanner (hostilité 6,5/10), a envoyé 170 requêtes à l'un de nos sites, à la recherche de /.git/config, /.env, /.env.local, /.env.production.
Pourquoi c'est étrange5 IP partagent une même empreinte comportementale (ADN dfef4501b216) : un seul outil ou un seul opérateur qui fait tourner les adresses : 158.23.85.214, 172.182.199.29, 20.194.27.148, 35.200.118.164, 143.244.57.84.
2 adresses ont envoyé 2 requêtes dont la forme correspond à l'exploitation de CVE-2015-2051 (/hnap1), dont 157.230.23.187, 165.227.172.91.
Pourquoi c'est étrangeUn exploit connu et nommé est toujours pulvérisé sur Internet ; notre périphérie l'a vu aujourd'hui, quoi que disent les notes de correctif sur l'année.
attribution: inconnu
Detail
famille de sondes : dlink-hnap
WTF #4
La plus étrange liste de courses
20.218.73.251, un scanner (hostilité 6,1/10), a envoyé 68 requêtes à l'un de nos sites, à la recherche de /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /gtc.php, /simple.php.
Pourquoi c'est étrangeA demandé des fichiers que presque personne d'autre ne demande : /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /gtc.php, /simple.php, /dairg.php.
attribution: Scanner de vulnérabilités automatisé ou outil de reconnaissance (meilleure correspondance du capteur, 50 %)Tue 3 Nov, 01:00 UTC
34.156.56.208, un scanner (hostilité 5,4/10), a envoyé 123 requêtes à l'un de nos sites, à la recherche de /.aws/credentials.bak, /.docker/.env, /.aws/config, /.aws/.env.
Pourquoi c'est étrangeA lancé 123 requêtes en 0,5 seconde environ.
74.162.157.79, un scanner (hostilité 5,8/10), a envoyé 162 requêtes au rythme de 2 par minute à 2 de nos sites, à la recherche de /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /1index.php, /wp-content/plugins/index.php.
Pourquoi c'est étrangeLa correspondance de campagne la plus fiable du capteur pour la journée : scanner de vulnérabilités de plugins WordPress / Nuclei / WPScan à 45 %.
attribution: Scanner de vulnérabilités de plugins WordPress / Nuclei / WPScan (meilleure correspondance du capteur, 45 %)Tue 3 Nov, 01:00 UTC
UpTransportation — 2.1× its own prior share (72 claims, 34 expected)
UpEducation — 2.1× its own prior share (56 claims, 27 expected)
DownAgriculture and Food Production — 0.7× its own prior share (22 claims, 34 expected)
23% of claims carry no sector label.
Brand churn
Of the 231 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 62% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 213 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 11 — newest: everstake (2026-10-29, 7 claims), Shiba (2026-10-29, 5 claims), Whitearmor (2026-10-23, 19 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 32% of its claims on Germany (6.2× every other brand's share); N0n put 33% of its claims on Transportation (7.3× every other brand's share); genesis put 95% of its claims on the United States (2.6× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 63% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 1 of 195 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 32% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§8
Colophon
Comment cette édition a été fabriquée, sans détour.
L'édition 37 a été réalisée par une machine et vérifiée par du code. Chaque élément publié par 11 flux publics de menaces au cours des 24 heures précédant 05 h 05 heure du Royaume-Uni (343 éléments) a été lu intégralement : statistiques calculées par du code, chaque tranche lue par Claude Sonnet, structure synthétisée par Claude Opus. Claude Opus a ensuite édité le journal. Chaque article cite les éléments sur lesquels il repose ; les articles dont les sources ne se résolvaient pas, ou dont les chiffres ne figuraient pas dans leurs sources, ont été écartés avant publication (0 aujourd'hui). Les prévisions sont évaluées publiquement dans les éditions suivantes. « From our edge » désigne des données d'attaque en direct issues de nos propres serveurs. Coût de cette édition : 0,73 $. Elle est rédigée par une machine dans la voix de ScottG, auteur de Everything Is Probably Fine, et personne ne l'a retouchée à la main, ce qui est soit le but, soit le problème.
343items read
24hour window
$0.73cost of this edition
05:05 UTCgenerated
Sources de ce matin
NVD100ok
RansomLook56ok
Signal Atlas44ok
Security news43ok
infosec.exchange38ok
ransomware.live19ok
AlienVault OTX13ok
RSS10ok
signal:ioc-family10ok
atlas9ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 343|SOURCES: 11|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.73|STATUS: PAS PARTICULIÈREMENT FINE
OWNER: la machine|EDITOR: les règles|CALLS OPEN: 3|NEXT REVIEW: demain 06:00 UK