Rapport de terrain quotidien sur ce qui est Probably Fine
No. 43·Lundi 9 Novembre 2026·Publié à 06:00 UK·Indicateur Fine 3/5: Pas fameux, mais pas encore la crise
Ouverture · Vulnérabilités
Cinq failles à distance dans un routeur que plus personne ne corrigera
Cinq CVE visant le D-Link DIR-878 sont tombées en même temps, avec un code d'exploitation public et sans correctif, le produit n'étant plus supporté. Les botnets grand public ont une semaine chargée.
confiance0.90
Le lot va de CVE-2026-124560 à CVE-2026-124564. Toutes visent le D-Link DIR-878 1.20B05, toutes touchent le gestionnaire HNAP, toutes sont exploitables à distance. Un dépassement de tampon sur le tas dans GetCAPTCHAsetting, jugé critique avec un risque d'exécution de code à distance. Un dépassement de pile dans SetVLANSettings, dans prog.cgi, via l'argument VID. Deux autres dépassements dans SetWanSettings, l'un via Primary/Secondary, l'autre via ConfigDNS/Primary/ConfigDNS/Secondary. Enfin, un parcours de répertoires dans GetListDirectory via ListDirectoryPath. Les avis indiquent que les exploits ont été divulgués publiquement et peuvent être utilisés, et que les vulnérabilités n'affectent que des produits qui ne sont plus supportés par leur fabricant. Le conseil de remédiation de l'analyse publique tient en une phrase : isoler ou mettre au rebut les routeurs non supportés.
La fin de vie est un statut dans un tableur. Ce n'est pas un statut en physique. Le routeur ignore qu'il a été abandonné ; il répond toujours aux requêtes HNAP avec la même aimable compétence que durant sa première semaine, comme un réfrigérateur dont la garantie a expiré en 2019 continue de garder le lait au frais, de consommer du courant et d'être, techniquement, un risque d'incendie. La seule chose qui ait pris fin, c'est la possibilité que quelqu'un le corrige. Le cycle de correctifs de cet appareil n'est donc pas un cycle de correctifs. C'est une benne.
Sur la même période, nos flux ont remonté onze nouveaux indicateurs Mirai, quatre-vingt-six nouveaux indicateurs Mozi et un goutte-à-goutte régulier de hachages d'échantillons Mirai dans ThreatFox. Personne ne nous a encore montré de trafic d'exploitation HNAP visant ces cinq CVE, et nous ne prétendrons pas le contraire. Nous notons simplement qu'une exécution de code à distance non authentifiée sur un routeur grand public non supporté, avec des exploits fonctionnels en circulation publique, ouvre une carrière bien établie, et qu'elle ne passe pas par un calendrier de divulgation responsable.
Pourquoi c'est importantSi un DIR-878 se trouve dans votre parc ou sur le bureau d'un télétravailleur disposant d'un accès d'administration vers quoi que ce soit, aucun correctif n'est à attendre ; les seuls contrôles disponibles aujourd'hui sont l'isolation réseau et la poubelle.
Un appareil en fin de vie n'a pas cessé de fonctionner. Il a cessé d'être la responsabilité de quiconque, sauf la vôtre, et l'exploit ne lit pas les notes de version.
— Sturgeon's Revelations · Probably Fine Daily No. 43
Chaque matin06:00 UK
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§2
À la une
Le reste des dernières 24 heures, preuves à l'appui.
Vulnérabilités
Le bug « sshole » est passé du papier au honeypot
Le SANS Internet Storm Center indique que ses honeypots Cowrie enregistrent une hausse des tentatives d'exploitation de CVE-2026-123158, la vulnérabilité « sshole » apparue la semaine dernière. L'ISC précise que ses propres données sont limitées en la matière, car les honeypots ne collectent que les 255 premiers caractères d'un mot de passe SSH, alors que les tentatives en utilisent de plus longs. Joli détail : l'instrument est dépassé par l'attaque qu'il mesure.
Pourquoi c'est importantLes tentatives d'exploitation sont désormais observées, et non plus théorisées : considérez dès aujourd'hui le SSH exposé sur Internet comme dans le périmètre, sans attendre le prochain week-end de maintenance.
Le tableau de bord dit « en refroidissement », le compteur dit dix-huit
Le rythme du jour relevé par Ninja Signal fait état de 252 revendications sur des sites de fuite en sept jours, émanant de 43 des 273 groupes suivis. medusalocker est en forte hausse avec 18 revendications contre 1,46 attendue d'après son propre rythme antérieur, BrainCipher en compte 12 contre 1,74, et metaencryptor 7, tous avec p inférieur à 0,001. La même fenêtre montre ce que cela donne à la vitesse de publication : N0n a mis en ligne les revendications n° 138 à n° 147 en six minutes environ, incransom en a publié trois en deux minutes environ, LockBit5 en a déposé quatre d'un coup, dont Sun Clinical Laboratories, Yatra, Grupo Telles et Starmark, Deadlock a déroulé Kadick, Chonlatee, Trinity Custom Homes, Coopebis, NoseTea et Fidex, et akira a revendiqué Calmont Wire & Cable. Pendant ce temps, Atlas a qualifié de « cooling » les séries sectorielles de medusalocker. Les deux informations figurent dans le même flux, le même matin, au sujet du même groupe.
Pourquoi c'est importantLa publication par lots fait d'un site de fuite un calendrier éditorial, non une chronologie d'incident ; comptez les revendications par semaine par rapport à la base de référence propre au groupe avant de présenter des « niveaux d'activité ».
Votre clé de modèle figure désormais sur la même liste de courses que votre clé cloud
iTnews rapporte que l'option « Don't ask again » de Claude Code d'Anthropic divulgue des secrets de développeurs : les chercheurs dénombrent 2 539 identifiants exposés, et l'éditeur étudie des correctifs. Par ailleurs, Wired rapporte que les modèles d'IA chinois gratuits deviennent redoutablement doués en piratage.
Pourquoi c'est importantLes clés d'API de modèles appellent désormais le même traitement que les clés cloud : inventaire, rotation, limitation des flux sortants et une détection de quiconque récupère des fichiers cachés à la racine de votre serveur web.
Plugins WordPress : neuf façons de devenir administrateur avant le petit-déjeuner
Le lot du NVD comprend Static Snapshot jusqu'à la version 0.2.1, où des attaquants non authentifiés peuvent injecter des métacaractères shell dans des commandes du système d'exploitation, et WP Libre Form 1.5.0.1, où des utilisateurs non authentifiés peuvent téléverser des fichiers PHP vers un emplacement accessible depuis le web et les exécuter. Wurdey jusqu'à la version 1.0.0 vous connecte en administrateur si vous connaissez son nom d'utilisateur et rien d'autre ; WHIZZ jusqu'à la version 1.1.8 permet à n'importe qui de définir un mot de passe arbitraire pour n'importe quel utilisateur ; placester jusqu'à la version 1.4.3 permet à des attaquants non authentifiés d'écraser l'adresse e-mail d'un administrateur et d'entrer par la réinitialisation du mot de passe ; GS JWT Authentication jusqu'à la version 1.0.0 et Mail Mage jusqu'à la version 0.0.25 sont tous deux sujets à une injection SQL non authentifiée. Sur Telegram, @NeuraSCTB a passé la même période à promouvoir des outils de dorking, des outils CVE de webshell et des outils de création de comptes WordPress, avant de proposer 400 journaux de comptes WordPress de domaines aléatoires.
Pourquoi c'est importantUne prise de contrôle administrateur sans authentification via un plugin n'est pas un sujet de Patch Tuesday ; inventoriez ce qui est réellement installé, et non ce que dit le bon de commande, et mettez à jour dès aujourd'hui.
Dix failles Keycloak, dont plusieurs où la couche d'identité refuse de vérifier l'identité
Un seul lot de divulgation compte dix CVE Keycloak, et le thème est inconfortable. CVE-2026-19688 : l'API REST d'administration ne vérifie pas l'audience prévue des jetons porteurs, si bien qu'un attaquant exploitant un client dans un realm peut capturer le jeton d'accès d'un administrateur et le réutiliser. CVE-2026-97367 : le propriétaire malveillant d'un client peut diriger ses propres jetons vers la session active d'un autre utilisateur, jusqu'à la prise de contrôle complète du compte via les informations de récupération. CVE-2026-107124 fixe un identifiant de session dans le navigateur de la victime via le point de terminaison de déconnexion OIDC avant la fin des contrôles de sécurité. CVE-2026-96460 permet à un demandeur de prolonger indéfiniment l'accès d'un compte de service en échangeant des jetons de façon répétée ; les autres couvrent des ProxyRestrictions SAML ignorées, des jetons sans état revenant aux noms d'utilisateur, l'injection de rôles via l'enregistrement dynamique de clients, l'abus de noms de revendications, des rôles de type Jackson échappant à l'assainissement, et l'abus des droits manage-clients sur les JWKS et les secrets de clients.
Pourquoi c'est importantC'est le composant auquel tout le reste fait confiance : corrigez-le selon le calendrier de l'équipe identité, non selon l'arriéré des applications, puis passez en revue les audiences des jetons d'administration.
Iris Ohyama : 7,7 millions de personnes, et le fichier se trouvait dans le cloud d'un autre
Le fabricant japonais Iris Ohyama, exploitant de la plateforme d'achats Iris Plaza, a révélé que les données personnelles d'environ 7,7 millions de personnes pourraient avoir été exposées à la suite d'un accès non autorisé à un service cloud tiers qu'il utilisait. La répartition est de 5,8 millions de membres et anciens membres, plus 1,9 million de non-membres ; un fichier suspect a été découvert dans le service tiers, et les noms, adresses, e-mails, dates de naissance et mots de passe chiffrés pourraient être exposés, aucune donnée de carte n'y étant stockée. « Anciens membres » est le terme sur lequel s'arrêter : des gens partis, comptés quand même.
Pourquoi c'est importantVos services cloud tiers détiennent les données de vos clients sous votre nom ; le calendrier de conservation des anciens clients est donc un contrôle de sécurité et doit être audité comme tel.
ShinyHunters se rebaptise d'après l'étiquette que lui ont donnée les chercheurs
Le canal Telegram @espeonsh a été rebaptisé « Scattered Lapsus Hunters UNC6783 », a publié un canal de secours, a lié un profil patched.to pour shinyhunters, puis a annoncé un nouveau stock : des pistes de clients de banques européennes pour la France, la Suisse et la Belgique avec fullz inclus, et des bases de données de plateformes d'échange de cryptomonnaies « high-tier verified ». Quatre publications en une journée. Rien dans ces éléments ne vérifie que le stock est réel, que les opérateurs sont ceux qu'ils prétendent, ni que l'adoption du nom d'un groupe de suivi comme marque signifie autre chose que du marketing.
Pourquoi c'est importantTraitez le nom d'un canal comme une déclaration, non comme une attribution ; si un rapport d'éditeur cite ce changement de nom comme preuve d'une identité de groupe, demandez sur quoi d'autre il repose.
Le modèle de langage qui a avoué n'avoir rien, au milieu d'un message d'extorsion
Eclipse a revendiqué globalair.com.sg avec une description de la victime se lisant, en entier et marquée « [AI generated] » : « N/A I don't have reliable, verified information about a specific company operating at globalair.com.sg. Rather than speculate about its business activities, industry classification, or operational details, which could produ— ». Ailleurs, @DarkfeedNews a noté cinq alertes distinctes « AI Risk Level: 10/10 », dont deux fuites de bases de données de commerce en ligne différentes, des dossiers d'agents du gouvernement malaisien et une banque équatorienne. Et Atlas a généré cinquante articles pour thegentlemen en une journée, contre une médiane de zéro. Quelque part au milieu de tout cela, il y a de vraies victimes ; tout ce qui les entoure relève de l'autocomplétion.
Pourquoi c'est importantLa moitié du « renseignement » de l'écosystème, criminel comme commercial, est désormais du texte généré assorti d'un score de confiance ; vérifiez la victime, non le compte rendu.
La lecture approfondie du jour : ce qui est sous les flux, et non au-dessus.
L'essentiel de la « confirmation entre sources » du jour est un seul message de site de fuite portant trois chapeaux, et une évasion de bac à sable que personne n'a encore intégrée à un article.
Exception 01
Atlas et ransomlook sont en aval de ransomware.live, non indépendants de lui
Pour N0n, BYOD, incransom, akira et Deadlock, ransomware.live a publié en premier, ransomlook a suivi de 1 à 9 heures et signal:atlas de 6 à 8,5 heures. Les décomptes multi-sources pour ces acteurs reflètent un seul événement sous-jacent qui se propage à travers des agrégateurs, ce qui signifie qu'un indicateur d'escalade d'Atlas ne corrobore pas la revendication d'origine.
confiance0.80
Wrong if
Des éléments d'Atlas pour ces acteurs portant des horodatages d'événement antérieurs aux publications de ransomware.live, ou citant une source distincte.
Watch
Décalage par acteur au cours des 24 à 48 prochaines heures ; considérez Atlas comme une couche dérivée.
Les étiquettes des agrégateurs pour Deadlock ne correspondent pas à la localisation des victimes
Kadick, au Nigeria, est étiqueté US, NOSE TEA, en Thaïlande, est étiqueté US Retail et Coopebis, en Colombie, est étiqueté Coûta Rica, Agriculture. Toute statistique par pays ou par secteur construite à partir de ces étiquettes est fausse avant même d'arriver sur votre diapositive, de même que les escalades par pays qui en découlent.
confiance0.70
Wrong if
Les domaines et adresses enregistrés des victimes correspondent aux pays indiqués.
Watch
Si les étiquettes sont corrigées lors des actualisations ultérieures.
Cinquante articles thegentlemen en une heure : probablement un traitement par lots
Atlas a produit 50 éléments pour thegentlemen le 2026-11-08, contre une médiane de zéro les autres jours, au sein d'une grappe horaire de 12:00 de 61 éléments contre une moyenne de 9,91 par heure. Cela ressemble à une démultiplication d'articles générés selon des permutations de secteurs et de pays plutôt qu'à 50 événements distincts.
confiance0.55Speculative
Wrong if
Cinquante événements distincts de victimes ou de sites de fuite existent pour thegentlemen à cette date.
Watch
Si le schéma se reproduit lors de la prochaine exécution d'Atlas.
Exception 04
Un bug du noyau hôte qui sape le bac à sable acheté pour contenir le précédent
iTnews rapporte que des chercheurs ont transformé la faille Linux PwnEscape en évasion de Firecracker, démontrant un bug du noyau hôte qui met à mal l'isolation en défense en profondeur. Si l'isolation par microVM est un pilier de votre architecture multi-locataire ou CI, c'est cette hypothèse qu'il faut réexaminer cette semaine.
confiance0.65
Wrong if
L'évasion démontrée s'avère nécessiter des conditions absentes des déploiements Firecracker standard.
Watch
Avis d'éditeurs et de distributions nommant le correctif du noyau.
Le silence du flux NVD après le 07 novembre tient presque certainement à notre tuyauterie
Les éléments du NVD s'arrêtent après 2026-11-07T19:36 malgré exactement 100 éléments antérieurs, et ThreatFox s'arrête lui aussi à exactement 100. Des nombres ronds de ce type sont des plafonds d'ingestion, non une pause dans la publication des CVE, et personne ne devrait la présenter comme une semaine calme.
confiance0.60Speculative
Wrong if
Une nouvelle extraction complète ne montre aucun horodatage de publication du NVD postérieur au 2026-11-07.
Nothing to seeAucun lien n'a été trouvé entre les grappes de CVE Keycloak, undici, Foxit et JetBrains et un quelconque acteur de la menace ; il s'agit de lots de divulgation courants d'éditeurs. Les indicateurs de crise composite d'Atlas pour Taïwan, l'Indonésie, le Panama, la Colombie, le Japon, la Russie et les Philippines ne comportent ni acteurs nommés ni événements, et sont peu significatifs. L'annonce sur Telegram d'un exploit Safari « DarkSword » est arrivée accolée à une publicité de casino en cryptomonnaie et nous ne la reprenons pas. La grappe de soirées cinéma #monsterdon sur Mastodon n'est pas un ensemble d'intrusion.
Deep read: 432 articles consultés
§4
Prévisions
Analyses datées et réfutables. Nous notons notre propre copie, publiquement.
Today’s calls
DueCallConfidence
DueMon 23 Nov14d
Aucune entrée du KEV de la CISA n'existera pour l'une quelconque des CVE-2026-124560 à CVE-2026-124564 (D-Link DIR-878) d'ici la fin de la journée du 23 novembre 2026, malgré l'existence d'un code d'exploitation public, l'appareil n'étant plus supporté.
Wrong ifUne entrée du KEV apparaît pour l'une des cinq CVE du DIR-878 avant cette date.
medusalocker publiera au moins cinq nouvelles revendications visibles sur ransomware.live ou ransomlook d'ici le 16 novembre 2026, restant au-dessus de son propre rythme antérieur de 1,46 par semaine.
Wrong ifMoins de cinq nouvelles revendications de medusalocker apparaissent sur ces flux durant la période.
Au moins l'une des revendications n° 138 à n° 147 de N0n passera du statut d'exposition en attente à celui de victime nommée sur ransomware.live ou ransomlook d'ici le 19 novembre 2026.
Wrong ifLes dix revendications restent sans nom ou sont retirées sans victime nommée.
f-2026-11-09-3
Confidence0.50
Scorecard
1 wrong · 2 open
open
None of the CGM CLININET CVEs published on 23 October is added to CISA KEV by 9 November 2026.
Called Mon 26 Oct · due Mon 9 Nov
No KEV-addition items appear in today's feed, so a negative call can't be settled either way.
wrong
At least one of Everstake's scheduled releases (the 494 Gb entry dated 4 November or the 370.73 Gb entry dated 6 November) appears as published on ransomlook or ransomware.live.
Called Fri 30 Oct · due Sat 7 Nov
Due 7 Nov and past. No item shows an Everstake entry published on ransomlook or ransomware.live.
open
Booba Project's rolling seven-day leak-site claim count falls below 17 in the tempo report for 2026-11-09, having already been scored as cooling across its sectors.
Called Mon 2 Nov · due Mon 9 Nov
The 2026-11-09 tempo item is truncated and the visible part doesn't mention Booba Project.
Glossaire des termes que vous êtes censé connaître
Fin de vie (matériel)(n.)
Un statut commercial, non physique. L'appareil continue d'acheminer des paquets, d'accepter des requêtes HNAP et de répondre à tout Internet exactement comme avant ; la seule chose qui ait pris fin, c'est la possibilité que quelqu'un le corrige. Voir aussi : toujours branché derrière le classeur.
§5
Depuis notre périmètre
Attaques en direct sur nos propres serveurs au cours des dernières 24 heures. Oui, vraiment les nôtres.
Notre propre périmètre, cette nuit : le capteur Adversary DNA a profilé 84 sources hostiles — 50 robots d'indexation, 33 scanners et un opérateur ciblé — qui ont envoyé entre eux 7 504 requêtes, dont 49 ont dépassé la reconnaissance pour des tentatives d'exploitation. Onze groupes d'adresses partageaient une empreinte comportementale, dont une grappe de dix IP réclamant toutes les mêmes fichiers cachés ; 5 079 adresses ont touché le périmètre depuis 79 pays, dont 1 596 pour la première fois. Le score d'hostilité le plus élevé, 7,7 sur 10, revient à 82.102.18.222, qui a envoyé 20 requêtes vers des chemins WordPress wlwmanifest et xmlrpc et a atteint l'accès aux identifiants. Un scanner a demandé /.env.anthropic en même temps que /.aws/credentials, signe que la liste de courses se met discrètement à jour. Un autre a tiré 20 requêtes en 1,4 seconde environ, et une adresse a essayé CVE-2024-4577 sur /index.php à trois reprises, car les vieux exploits ne prennent jamais leur retraite, ils deviennent seulement moins chers. Les journaux bruts n'ont jamais quitté le serveur ; seules ces conclusions l'ont fait.
84sources hostiles profilées
7 504requêtes émanant d'elles
49ont atteint l'exploitation
11grappes à ADN commun
7,7/10hostilité maximale
5 079adresses à notre périmètre
1 596vues pour la première fois aujourd'hui
79pays
La liste WTF
WTF #1
À la recherche de vos clés d'IA
34.38.19.77, un scanner (hostilité 5,4/10), a envoyé 122 requêtes à l'un de nos sites, à la recherche de /.env, /.aws/.env, /.env.anthropic, /.aws/credentials.
Pourquoi c'est étrangeIl est allé droit aux identifiants d'IA : /.env.anthropic. Les clés d'API de modèles figurent désormais sur la liste de courses des scanners, à côté des clés cloud.
82.102.18.222, un opérateur ciblé (hostilité 7,7/10), a envoyé 20 requêtes à l'un de nos sites, à la recherche de /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Pourquoi c'est étrangeHostilité la plus élevée du classement ; sa chaîne d'attaque a atteint l'accès aux identifiants.
1 adresse a envoyé 3 requêtes conçues comme une exploitation de CVE-2024-4577 (/index.php), dont 101.1.16.25.
Pourquoi c'est étrangeUn exploit connu et nommé continue d'être pulvérisé sur Internet ; notre périmètre l'a vu aujourd'hui, quoi que disent les notes de correctif sur l'année.
attribution: inconnu
Detail
famille de sondes : webshell
WTF #4
Même ADN, adresses différentes
34.62.82.207, un scanner (hostilité 5,1/10), a envoyé 132 requêtes à l'un de nos sites, à la recherche de /.aws/.env, /.docker/laravel/app/.env, /.env, /.docker/.env.
Pourquoi c'est étrange10 IP partagent une même empreinte comportementale (ADN 18e39c4b41fb) : un seul outil ou un seul opérateur changeant d'adresses : 2400:6180:10:200::f6a7:9000, 34.156.35.188, 2a03:b0c0:1:e0:0:1:f004:9001, 35.195.41.101, 170.64.170.136 et d'autres.
52.179.208.167, un scanner (hostilité 6,7/10), a envoyé 99 requêtes à l'un de nos sites, à la recherche de /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /dehnl.php, /motu.php.
Pourquoi c'est étrangeA demandé des fichiers que presque personne d'autre ne demande : /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /dehnl.php, /motu.php, /tpg-contato.php.
85.204.70.88, un scanner (hostilité 6,3/10), a envoyé 20 requêtes à l'un de nos sites, à la recherche de //wp-includes/wlwmanifest.xml, //xmlrpc.php, //blog/wp-includes/wlwmanifest.xml, //web/wp-includes/wlwmanifest.xml.
Pourquoi c'est étrangeA tiré 20 requêtes en 1,4 seconde environ.
UpTransportation — 2.0× its own prior share (72 claims, 37 expected)
UpEducation — 1.3× its own prior share (43 claims, 33 expected)
DownAgriculture and Food Production — 0.6× its own prior share (20 claims, 37 expected)
26% of claims carry no sector label.
Brand churn
Of the 235 leak-site brands first seen since 2021-09-30, 75% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 38% made at least half their claims in their first week. New brands this month: 4 — newest: Destello (2026-11-05, 1 claim), Aoqin (2026-11-04, 5 claims), OBSOFT (2026-11-03, 7 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.2× every other brand's share); N0n put 29% of its claims on Transportation (6.5× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.2× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 2 of 197 claims at weekends and half its claims in 12:00–13:59 UTC; half of thegentlemen's claims appeared in 06:00–09:59 UTC. Leak sites overall are 32% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Recevez-le dans votre boîte de réception. Chaque matin. En principe.
Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.
§8
Colophon
Comment cette édition a été fabriquée, sans détour.
L'édition 43 a été réalisée par une machine et vérifiée par du code. Chaque élément publié par 13 flux publics de renseignement sur les menaces au cours des 24 heures précédant 05h05, heure du Royaume-Uni (432 éléments), a été lu intégralement : statistiques calculées par du code, chaque tranche lue par Claude Sonnet, structure synthétisée par Claude Opus. Claude Opus a ensuite édité le journal. Chaque article cite les éléments sur lesquels il repose ; les articles dont les références ne se résolvaient pas, ou dont les chiffres ne figuraient pas dans leurs sources, ont été écartés avant publication (0 aujourd'hui). Les prévisions sont évaluées publiquement dans les éditions suivantes. « From our edge » désigne des données d'attaque en direct provenant de nos propres serveurs. Coût de cette édition : 0,76 $. Elle est rédigée par une machine dans la voix de ScottG, auteur de Everything Is Probably Fine, et personne ne l'a éditée à la main, ce qui est soit le but, soit le problème.
432items read
24hour window
$0.76cost of this edition
05:05 UTCgenerated
Sources de ce matin
NVD100ok
ThreatFox100ok
Signal Atlas82ok
Telegram42ok
infosec.exchange36ok
ransomware.live24ok
RansomLook19ok
atlas18ok
Security news4ok
signal:ioc-family4ok
RSS1ok
signal:actor1ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 432|SOURCES: 13|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.76|STATUS: PAS FAMEUX, MAIS PAS ENCORE LA CRISE
OWNER: la machine|EDITOR: les règles|CALLS OPEN: 3|NEXT REVIEW: demain 06:00 UK