Ouverture · Vulnérabilités

La passerelle de sécurité était la porte d'entrée, et la preuve de concept est désormais publique

La CISA a ajouté la CVE-2026-123039 de Check Point au KEV ; en quelques heures, la presse s'en emparait et un exploit fonctionnel circulait sur Telegram.

confiance 0.85

Le tableau est inconfortable. Des attaquants ont obtenu un accès initial à des Check Point Security Gateways non corrigées grâce aux failles PHP2Shell, puis ont exploité la CVE-2026-123039, une attribution de permissions incorrecte dans Gaia OS, pour devenir root, installer une porte dérobée baptisée TSGA et effacer des fichiers sur des hôtes VMware ESXi. Check Point a diffusé des correctifs d'urgence et affirme que l'exploitation dure depuis la fin octobre ; un récit situe le début des attaques au 30 octobre. L'équipement acheté pour ne pas avoir à se soucier du périmètre s'est révélé être la porte, la clé et l'homme qui détient les deux.

Le calendrier est ce sur quoi les défenseurs doivent s'arrêter. La CISA l'a inscrite le 13 novembre, la presse spécialisée l'a relayée environ huit heures plus tard, et dans la soirée un canal Telegram d'exploits renvoyait vers une preuve de concept sur GitHub pour la CVE-2026-123039. L'entrée du catalogue est un artefact public. Elle indique à votre comité de gestion des changements que quelque chose est exploité, et elle indique à quiconque dispose d'un scanner et d'un week-end quel produit viser ; or une seule de ces deux parties dispose d'une fenêtre de maintenance.

Par ailleurs, une analyse ESXi publiée le même matin décrit un parc démantelé en dix jours : quatre hôtes ESXi, les deux serveurs vCenter, chaque machine virtuelle. Personne n'a relié cette enquête à cette campagne et nous ne prétendrons pas le contraire. Mais si vous exploitez des passerelles Check Point, l'ordre honnête aujourd'hui est le suivant : appliquez les correctifs, puis allez examiner vos hyperviseurs, car le wiper, lui, se moque de savoir si vous aviez des sauvegardes des sauvegardes.

Pourquoi c'est importantCorrigez Gaia dès maintenant, puis recherchez TSGA et la persistance par webshell sur les passerelles, et vérifiez la destruction de fichiers sur ESXi et vCenter, car l'exploit n'est plus rare.

Preuves

Today’s revelation

L'entrée KEV n'est pas un avertissement pour les défenseurs. C'est une liste de lecture pour tous les autres, publiée le même matin, et ils lisent plus vite que votre comité de changement.

— Sturgeon's Revelations · Probably Fine Daily No. 49

Chaque matin06:00 UK

Recevez-le dans votre boîte de réception. Chaque matin. En principe.

Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.

§2

À la une

Le reste des dernières 24 heures, preuves à l'appui.

Vulnérabilités

Trois ajouts de plus au KEV, et 19 serveurs qui avaient déjà appliqué le correctif

Outre l'entrée Check Point, la CISA a ajouté UnrealIRCd CVE-2026-114713, une faille de neutralisation de délimiteurs au score CVSS de 8,6 qui permet à tout utilisateur d'un réseau comptant au moins deux serveurs liés d'injecter des commandes investies de l'autorité d'un serveur, ainsi qu'une traversée de chemin dans WSO2 menant à l'exécution de code à distance (CVE-2026-5430) et une faille d'autorisation incorrecte dans Adobe Commerce et Magento (CVE-2026-71362). Sur la même période, N-able a indiqué que des attaquants exploitant les failles 4EverAble2Shell et Agent2Shell ont infecté 21 serveurs N-central, dont 19 exécutaient le Hotfix 2, et qu'elle restreint désormais certaines fonctionnalités et intégrations. Enfin, Microsoft a confirmé que les mises à jour de novembre provoquent des échecs d'activation avec des erreurs 0x80041008 et peuvent perturber l'impression de documents complexes.

Pourquoi c'est importantTrois entrées KEV à trier avant lundi, et un exemple concret montrant pourquoi « nous avons appliqué le correctif » est un statut, pas un résultat.

confiance 0.80

Preuves

Rançongiciels

324 revendications en sept jours, et trois groupes qui publient par lots comme un publipostage

Le schéma de publication compte autant que le volume : pixelleaks a déposé quatorze victimes le 13 novembre avec des horodatages identiques et des échéances de divulgation complète programmées pour les 16, 17 et 18 novembre, Play en a publié neuf, et N0n a listé un mélange de grandes marques occidentales et d'entreprises anonymisées et numérotées en Éthiopie, au Qatar et au Botswana, plusieurs encore en attente de vérification. Qilin, de son côté, a listé York University, Oral Roberts University et l'University of Texas at Arlington, qui a par ailleurs confirmé que des informations personnelles ont été dérobées lors d'une cyberattaque.

Pourquoi c'est importantSi votre processus de notification des victimes suppose que les revendications arrivent au compte-gouttes, il passera à côté d'un lot de quatorze publié à la même minute, compte à rebours déjà joint.

confiance 0.75

Preuves

IA et sécurité

L'extension malveillante est passée par la place de marché, et les identifiants venaient du fournisseur d'IA

Cursor a confirmé une compromission dans laquelle des attaquants ont utilisé des identifiants volés chez le fournisseur d'infrastructure d'IA Fireworks AI pour publier une extension Claude Code malveillante via sa place de marché. Le fil conducteur n'est pas que les modèles soient dangereux ; c'est que l'outillage de développement qui les entoure constitue désormais une chaîne d'approvisionnement soumise à la même hygiène que les autres.

Pourquoi c'est importantTraitez les extensions de codage par IA et leurs places de marché comme du code tiers disposant de droits de publication sur les postes des développeurs, car c'est exactement ce qu'elles sont.

confiance 0.70

Preuves

Vulnérabilités

Onze CVE dans un plugin WordPress nommé Security For WooCommerce, toutes sans authentification

Le NVD a publié un bloc séquentiel, de CVE-2026-123695 à CVE-2026-123705, visant Security For WooCommerce jusqu'à la version 1.0.16, et la liste se lit comme une inversion délibérée du nom du produit : des utilisateurs non authentifiés peuvent générer des jetons de connexion pour tous les utilisateurs et se connecter sous n'importe lequel d'entre eux, administrateurs compris, supprimer l'enrôlement à l'authentification à deux facteurs de tous les comptes à la fois, lire l'intégralité des paramètres, y compris les clés secrètes configurées et l'URL de connexion masquée, rétablir la configuration par défaut et ainsi désactiver l'URL de connexion personnalisée, la 2FA, reCAPTCHA, la politique de mots de passe et le pare-feu, et récupérer un rapport serveur contenant l'adresse e-mail de l'administrateur. La cause est identique dans chaque cas : des routes REST sans contrôle d'autorisation. Aucune version corrigée n'est indiquée, et ces failles sont arrivées au sein d'une vague plus large de divulgations de plugins WordPress, dont Printaura, ARForms et Gravity Forms.

Pourquoi c'est importantSi vous l'utilisez, partez du principe que les contrôles qu'il annonce sont actuellement facultatifs pour quiconque dispose de curl, et envisagez de le supprimer plutôt que d'attendre un correctif.

confiance 0.75

Preuves

Vulnérabilités

Une douzaine de failles cgo de Go publiées d'un coup : votre serveur de build est la surface d'attaque

Le NVD a publié de CVE-2026-97033 à CVE-2026-97043 le même jour, presque toutes décrivant le même type de problème : un paquet malveillant utilisant cgo peut obtenir l'exécution de code arbitraire à la compilation ou à l'édition de liens via les options de compilateur et d'éditeur de liens autorisées dans les directives #cgo, de --sysroot déplaçant les sous-programmes du compilateur à des fichiers de spécification GCC non fiables, en passant par les scripts d'édition de liens, des objets .syso spécialement conçus et des fichiers .pc de pkg-config. CVE-2026-97054 fait figure d'exception : un en-tête Connection: close non synchronisé dans net/http MaxBytesReader qui peut faire paniquer un serveur HTTP/1. L'exécution à la compilation signifie que la compromission survient sur la machine qui détient les clés de signature et les identifiants du registre, pas sur celle qui a un pare-feu devant elle.

Pourquoi c'est importantMettez à jour votre chaîne d'outils et traitez les exécuteurs CI comme de la production : tout ce qui compile des dépendances non fiables les exécute.

confiance 0.60

Preuves

Politique

L'opération Endgame saisit 235 serveurs, 354 arrestations sur les marchés, et le FBI débranche FaceStealer

Une opération internationale a saisi 235 serveurs et 257 domaines derrière Gootloader, CastleRAT et StealC, ainsi qu'environ 6,4 millions d'identifiants volés appartenant à des victimes. Une action conjointe distincte a conduit à l'arrestation de 354 suspects qui achetaient et vendaient sur les marchés du dark web Archetyp, Nemesis, Tor2Door, Bohemia et Kingdom. Et le FBI affirme avoir saisi l'infrastructure de FaceStealer, un stratagème d'ingénierie sociale nord-coréen recourant à des appels vidéo en deepfake et à des extraits de webcam volés de plus de 900 victimes pour dérober plus de 400 millions de dollars en cryptomonnaies en dix-huit mois.

Pourquoi c'est importantSix millions et demi d'identifiants ont été saisis, non retirés de la circulation : partez du principe que tout ce que vos utilisateurs ont réutilisé circule déjà, et forcez les réinitialisations.

confiance 0.80

Preuves

Curiosités

Trezor confirme la présence d'une carte électronique supplémentaire dans trois portefeuilles, qui lit l'écran et communique avec l'extérieur

Trezor a confirmé que trois appareils Safe 5 vendus par l'ancien revendeur CryptoBilis contenaient un implant matériel, une carte électronique supplémentaire qui lit la phrase de récupération sur l'écran même de l'appareil et la transmet via le réseau mobile. Un correctif a été publié, mais l'entreprise est claire : une mise à jour du micrologiciel n'annule pas l'exposition passée. C'est le cas rare où le modèle de menace que tout le monde esquisse sans y croire, celui qui comprend un revendeur malveillant, s'est révélé être la description des faits.

Pourquoi c'est importantLa chaîne d'approvisionnement inclut aussi la chaîne d'approvisionnement physique : la provenance du distributeur est un contrôle, et pour tout appareil vendu par ce revendeur, la phrase de récupération est compromise.

confiance 0.80

Preuves

Curiosités

La panne de la FAA ressemble à une mise à jour logicielle, ce que personne ne souhaite

Les autorités affirment ne disposer d'aucun élément indiquant une cyberattaque derrière l'arrêt général des vols décidé par la FAA, le FBI examinerait selon certaines informations une mise à jour logicielle ; des éléments rapportés par des praticiens pointent une mise à jour du réseau de communications privé exploité par L3Harris, qui a redémarré puis planté. L'incident est survenu la même semaine qu'une panne mondiale de la messagerie Microsoft, qui a suscité sur le fédivers une quantité de spéculations à peu près proportionnelle au nombre de personnes incapables de lire leur boîte de réception. Rien n'a démontré que ces événements soient liés, et y voir une cascade unique est une histoire que nous nous racontons, non une conclusion.

Pourquoi c'est important« Pas une cyberattaque » est une cause racine légitime, et votre communication de crise devrait pouvoir le dire sans paraître déçue.

confiance 0.60

Preuves

§3

Masqué

La lecture approfondie du jour : ce qui est sous les flux, et non au-dessus.

Sous les flux : une entrée KEV qui devance sa propre couverture, trois groupes qui publient selon un calendrier, et un bloc de plugin qui inverse le nom de son propre produit.

Exception 01
Du KEV à la presse puis à la PoC publique, en moins d'une journée
La CVE-2026-123039 est apparue d'abord dans le KEV, dans la presse spécialisée environ huit heures plus tard, puis sous la forme d'une preuve de concept GitHub liée sur un canal Telegram d'exploits le soir même. La couverture la relie à l'accès initial PHP2Shell, à la porte dérobée TSGA et à l'effacement de fichiers sur ESXi, mais les médias divergent sur la question de savoir s'il s'agissait d'un véritable zero-day et si les correctifs ont précédé les attaques.
confiance 0.75
Wrong if
Des avis d'éditeur montrant des correctifs publiés avant le début de l'exploitation, le 30 octobre, ou le pulse OTX sur la destruction d'ESXi nommant un acteur et une chaîne d'outils sans rapport.
Watch
De nouveaux rapports d'exploitation, d'autres victimes du wiper ESXi et des forks de PoC au cours des trois à sept prochains jours.
Preuves
Exception 02
Publication par lots synchronisée avec des échéances prédéfinies
pixelleaks a publié 14 éléments le 13 novembre contre une médiane de 1,5 les autres jours, avec des horodatages identiques et des divulgations complètes programmées du 16 au 18 novembre ; N0n en a publié 10 contre une médiane de 3 et a entremêlé de grandes marques occidentales et des entreprises anonymisées et numérotées en Éthiopie, au Qatar et au Botswana ; Play en a publié 9 contre une médiane de 2. Certaines entrées sont explicitement en attente de vérification, de sorte que l'ampleur revendiquée peut être gonflée.
confiance 0.60
Wrong if
Des victimes nommées, telles que Samsung ou Starbucks, démentant les revendications, ou des horodatages identiques se révélant être un artefact d'agrégateur.
Watch
Si les divulgations programmées du 16 au 18 novembre se concrétisent effectivement, et si une marque nommée les confirme.
Preuves
Exception 03
Les agrégateurs divergent de plusieurs heures : un seul flux ne constitue donc pas une couverture
ransomware.live précède généralement ransomlook sur les mêmes revendications (toyokiki-thailand.com de 43,5 heures, N0n de 16, doommageddon de 11, endzone de 9, bravox de 4,1), et Telegram devance souvent les deux pour Play, Everest et Qilin. Ces données ne permettent pas de distinguer s'il s'agit de visibilité des revendications ou de cadence de collecte.
confiance 0.55
Wrong if
L'ordre qui s'inverse ou s'effondre pour les publications du 16 au 18 novembre, signe d'une cadence plutôt que d'une visibilité.
Watch
Ordre d'antériorité sur le prochain lot de revendications.
Preuves
Exception 04
Trois sources s'arrêtent net à la même minute
NVD, OTX et Vexy Ransomware cessent toutes de produire des éléments après 2026-11-13T14:46. Une coupure identique sur trois sources sans lien est une limite d'ingestion ou de fenêtre, non une dormance d'acteurs, et ne doit pas être interprétée comme le silence de qui que ce soit.
confiance 0.50Speculative
Wrong if
De nouveaux éléments NVD, OTX ou Vexy horodatés après le 13 novembre 14 h 46 une fois l'ingestion revérifiée.
Watch
La prochaine exécution de l'ingestion.
Preuves

Nothing to seeLe fil sur Taïwan et les semi-conducteurs, les signaux pays de crise composée et le schéma de réutilisation de ports de ThreatFox sont issus d'une source unique ou purement descriptifs. La revendication d'extorsion d'un milliard d'enregistrements chez Expedia n'est pas vérifiée. Le fil sur la démission de Jensen Huang relève de la satire et est traité comme tel. Le décalage de 71 heures entre le NVD et Telegram sur CVE-2026-64669, 64671 et 64686 est presque certainement dû à la cadence de collecte.

Deep read: 674 articles consultés

§4

Prévisions

Analyses datées et réfutables. Nous notons notre propre copie, publiquement.

Today’s calls

DueSun 22 Nov7d
pixelleaks publie au moins cinq nouvelles revendications sur son site de fuites dans les sept jours précédant le 22 novembre, donnant suite aux dates de divulgation complète qu'il avait programmées du 16 au 18 novembre.
Wrong ifMoins de cinq revendications de pixelleaks apparaissent sur ransomlook et ransomware.live sur cette période.
Preuves
f-2026-11-15-1
Confidence0.70
DueSun 22 Nov7d
La poussée d'incransom persiste : au moins 20 revendications dans les sept jours précédant le 22 novembre, contre les 7,4 que prédit son propre rythme antérieur.
Wrong ifMoins de 20 revendications d'incransom enregistrées sur cette période.
Preuves
f-2026-11-15-2
Confidence0.55
DueSun 29 Nov14d
Les failles de prise de contrôle sans authentification de Security For WooCommerce n'atteignent pas le KEV d'ici le 29 novembre : aucun rapport d'exploitation, aucune entrée au catalogue, CVE-2026-123695 reste hors de la liste.
Wrong ifLa CISA ajoute CVE-2026-123695 (ou l'une des CVE-2026-123696 à 123705) au KEV avant le 29 novembre.
Preuves
f-2026-11-15-3
Confidence0.80

Scorecard

3 right · 1 partly · 2 wrong · 3 open

wrong
No public vendor or CISA advisory ties the Ivanti Connect Secure exploitation chain to a specific named threat actor or ransomware group by 2026-11-12.
Called Mon 2 Nov · due Thu 12 Nov
Due date 2026-11-12 passed; no item in today's feed ties the Ivanti CVE-2026-111357 chain to a named actor or ransomware group, confirming the call that no such attribution occurred.
open
Ubuntu moves the IPv4 TCP use-after-free kernel fixes out of its opt-in testing channel into regular updates for its three newest LTS releases by 14 November 2026.
Called Wed 4 Nov · due Sat 14 Nov
No feed items mention Ubuntu kernel update channel moves for the IPv4 TCP use-after-free fixes; cannot confirm or deny.
open
IHG Hotels & Resorts does not publicly confirm the BYOD intrusion claim.
Called Thu 5 Nov · due Thu 12 Nov
Due date 2026-11-12 passed; no IHG statement or regulatory filing appears in the feeds acknowledging a BYOD intrusion, confirming the call that IHG would not publicly confirm it.
right
At least three of n0n's numbered 'Company #138-147' listings will be replaced by named victims on a leak site tracked by these feeds.
Called Sun 8 Nov · due Sun 15 Nov
By 15 November, n0n's ransomlook entries show named victims (DraftKings, LiveRamp, Female Daily Network, LEO Pharma, etc.) replacing numbered placeholders, with at least three formerly-numbered entries now named.
open
At least one of Vortex's three 12 November deadline victims (PYRAMID HEALTHCARE, ALEXION, CRESA) appears as published or leaked data on ransomware.live or ransomlook.
Called Wed 11 Nov · due Sun 15 Nov
No feed items show PYRAMID HEALTHCARE, ALEXION, or CRESA as published or leaked on ransomware.live or ransomlook by 15 November; the falsify condition (no published/leaked status) may apply but no explicit confirmation either way is present.
wrong
Inc Ransom posts fewer than 20 new leak-site claims on any single day between 12 and 18 November, confirming the 47 was a backfill rather than tempo.
Called Wed 11 Nov · due Wed 18 Nov
The tempo signal reports incransom surging with 53 claims in 7 days; individual day counts are not broken out but ransomlook shows multiple incransom postings on 13 November alone (sportsmansguide, Advantage Archives, axiscades, etc.), and the tempo signal flags a p<0.001 surge well above the <20/day threshold.
Preuves
partly
Microsoft confirms the SignDrop CLFS issue or assigns it a CVE by 27 November 2026.
Called Fri 13 Nov · due Fri 27 Nov
SecurityWeek reports 'Nightmare Eclipse Drops Windows Zero-Day Exploit SignDrop' describing CLFS abuse, confirming the technique is public; however no Microsoft CVE assignment or official Microsoft advisory is cited in the feeds yet. Due date is 2026-11-27.
Preuves
1. 1Security newsNightmare Eclipse Drops Windows Zero-Day Exploit ‘S…
right
Pixelleaks publishes at least one of the full data sets scheduled for 16-17 November, visible on ransomlook.
Called Sat 14 Nov · due Wed 18 Nov
Pixelleaks posted numerous entries on ransomlook dated 2026-11-13 with full data leak dates of 2026-11-16 and 2026-11-17, visible on ransomlook before the deadlines.
Preuves
right
Qilin posts five or more new victims across the ransomware trackers, holding its position at the top of the 2026 tally.
Called Sat 14 Nov · due Sat 21 Nov
Ransomlook shows Qilin posted at least 5 new victims (York University, UT Arlington, Oral Roberts University, Leonard's Express, Wisconsin Timber Rattlers) on 2026-11-14, and darkfeed confirms Qilin leads 2026 tally at 1171.
Preuves

Glossaire des termes que vous êtes censé connaître

Correctif (n.): Un correctif appliqué assez vite pour figurer dans la chronologie de l'incident. Voir N-able, où 19 des 21 serveurs infectés exécutaient le Hotfix 2.

§5

Depuis notre périmètre

Attaques en direct sur nos propres serveurs au cours des dernières 24 heures. Oui, vraiment les nôtres.

Notre propre périphérie a profilé 99 sources hostiles au cours des dernières 24 heures — 52 scanners, 42 robots d'indexation, 3 opérateurs ciblés, 2 attaquants par force brute — qui ont envoyé 10 989 requêtes au total, dont 36 sont allées au-delà de la reconnaissance pour constituer de véritables tentatives d'exploitation. Neuf mille cent soixante-dix-sept adresses nous ont contactés depuis 127 pays, dont 4 932 pour la première fois aujourd'hui. Quatorze adresses distinctes partageaient une même empreinte comportementale, ce qui signale un seul outil ou un seul opérateur qui fait tourner ses IP et non, quoi qu'en dise le marketing, un paysage de menaces diversifié. Le score d'hostilité le plus élevé, 8,2 sur 10, est moins intéressant que 35.195.245.38, qui a émis 187 requêtes vers /.env, /api/.env, /backend/.env et /laravel/.env en environ six dixièmes de seconde, ou que les deux adresses qui arrosent encore aujourd'hui nos serveurs de chemins phpunit de la CVE-2017-9841, quelle que soit l'année que croient indiquer les notes de correctif. Les journaux bruts n'ont jamais quitté la machine ; seules les conclusions l'ont fait.

99sources hostiles profilées

10 989requêtes émises par ces sources

36ont atteint l'exploitation

14grappes à ADN partagé

8,2/10hostilité maximale

9 177adresses à notre périphérie

4 932vues pour la première fois aujourd'hui

127pays

La liste WTF

WTF #1
Le visiteur le plus déterminé
2400:6180:100:d0:0:1:c39d:c001, un scanner (hostilité 6,9/10), a envoyé 30 requêtes à l'un de nos sites, à la recherche de /.aws/credentials, /.aws/config, /.env.aws, /.docker/config.json.
Pourquoi c'est étrangeHostilité la plus élevée du classement ; sa chaîne d'attaque a atteint l'exploitation.
attribution: inconnuSun 15 Nov, 05:00 UTC
Detail
```
chaîne d'attaque : reconnaissance → militarisation → exploitation · ADN 851a17b90a85
```
WTF #2
Même ADN, adresses différentes
45.148.10.14, un scanner (hostilité 6,7/10), a envoyé 666 requêtes à l'un de nos sites, à la recherche de /.docker/laravel/app/.env, /.env.config, /.env.copy, /.env.bkp.
Pourquoi c'est étrange14 IP partagent une même empreinte comportementale (ADN dfef4501b216) : un seul outil ou un seul opérateur qui fait tourner ses adresses : 54.203.154.170, 34.80.2.173, 172.213.26.234, 20.106.103.160, 20.205.56.255 et d'autres.
attribution: inconnuSat 14 Nov, 19:00 UTC
Detail
```
chaîne d'attaque : reconnaissance → militarisation · ADN dfef4501b216
```
WTF #3
Une tentative de CVE-2017-9841 contre nous
2 adresses ont envoyé 3 requêtes conformes à l'exploitation de la CVE-2017-9841 (/lib/vendor/phpunit/…, /yii/vendor/phpunit/…, /zend/vendor/phpunit/…), dont 185.177.72.9, 185.177.72.23.
Pourquoi c'est étrangeUn exploit connu et nommé continue d'être pulvérisé sur l'internet ; notre périphérie l'a constaté aujourd'hui, quoi qu'en disent les notes de correctif sur l'année.
attribution: inconnu
Detail
```
famille de sondes : phpunit-rce
```
WTF #4
La liste de courses la plus étrange
20.219.139.13, un scanner (hostilité 6,3/10), a envoyé 49 requêtes à l'un de nos sites, à la recherche de /inputs.php, /ioxi-o.php, /function/function.php, /rip.php.
Pourquoi c'est étrangeA demandé des fichiers que presque personne d'autre ne demande : /inputs.php, /ioxi-o.php, /function/function.php, /rip.php, /admin.php.
attribution: inconnuSun 15 Nov, 05:00 UTC
Detail
```
chaîne d'attaque : reconnaissance → militarisation · ADN 83562bd8e880
```
WTF #5
Pressé
35.195.245.38, un scanner (hostilité 5,1/10), a envoyé 187 requêtes à l'un de nos sites, à la recherche de /.env, /api/.env, /backend/.env, /laravel/.env.
Pourquoi c'est étrangeA émis 187 requêtes en environ 0,6 seconde.
attribution: inconnuSat 14 Nov, 19:00 UTC
Detail
```
chaîne d'attaque : reconnaissance → militarisation · ADN ce6ecdfacbe3
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

324claims, 7 days

47of 277 groups active

N0n77 this week · surging

incransom53 this week · surging

thegentlemen22 this week

Surgingincransom — 53 claims in 7 days against 7.4 expected from its own prior rate (p < 0.001)
SurgingN0n — 77 claims in 7 days against 29.4 expected from its own prior rate (p < 0.001)
Surginginterlock — 13 claims in 7 days against 1.2 expected from its own prior rate (p < 0.001)
SurgingBlack X — 3 claims in 7 days against 0.5 expected from its own prior rate (p = 0.013)
Backbeast — first claim after 56 days of silence; 0 this week
NewAoqin — first claim 2026-11-04; 10 so far

Gone quiet: ShadowByt3$ (60 days), global (64 days), embargo (67 days), kazu (69 days).

Sector pressure, 30 days

UpEducation — 1.3× its own prior share (47 claims, 36 expected)
DownAgriculture and Food Production — 0.4× its own prior share (15 claims, 38 expected)
DownProfessional Services — 0.8× its own prior share (127 claims, 149 expected)

29% of claims carry no sector label.

Brand churn

Of the 239 leak-site brands first seen since 2021-09-30, 75% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 37% made at least half their claims in their first week. New brands this month: 8 — newest: Curious Worm (2026-11-11, 12 claims), osiris (2026-11-11, 8 claims), Climax Inc (2026-11-10, 17 claims).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 32% of its claims on Germany (6.2× every other brand's share); N0n put 28% of its claims on Transportation (6.2× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.3× every other brand's share). Widest spread: nightspire across 10.7 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; Deadlock released 61% of its claims on Fridays, half of them in 12:00–13:59 UTC; akira posted only 2 of 197 claims at weekends and half its claims in 12:00–13:59 UTC; half of thegentlemen's claims appeared in 06:00–09:59 UTC. Leak sites overall are 37% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 07:00–15:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Reportages terrain

Outils en accès libre. Sans inscription ni démarche commerciale.

Chaque matin06:00 UK

Recevez-le dans votre boîte de réception. Chaque matin. En principe.

Un e-mail par jour. L'intégralité du journal. Désinscription en un clic.

§8

Colophon

Comment cette édition a été fabriquée, sans détour.

L'édition 49 a été réalisée par une machine et vérifiée par du code. Chaque élément publié par 14 flux publics de renseignement sur les menaces au cours des 24 heures précédant 05 h 05, heure du Royaume-Uni (674 éléments), a été lu intégralement : statistiques calculées par le code, chaque tranche lue par Claude Sonnet, structure synthétisée par Claude Opus. Claude Opus a ensuite édité le journal. Chaque article cite les éléments sur lesquels il repose ; les articles dont les références ne se résolvaient pas, ou dont les chiffres ne figuraient pas dans leurs sources, ont été écartés avant publication (0 aujourd'hui). Les prévisions sont notées publiquement dans les éditions ultérieures. « Depuis notre périphérie » correspond à des données d'attaque en direct provenant de nos propres serveurs. Coût de cette édition : 1,11 $. Elle est rédigée par une machine dans la voix de ScottG, auteur d'Everything Is Probably Fine, et personne ne l'a retouchée à la main, ce qui est soit le but, soit le problème.

674items read

24hour window

$1.11cost of this edition

05:05 UTCgenerated

Sources de ce matin

ThreatFox200ok
NVD100ok
Telegram84ok
infosec.exchange77ok
RansomLook66ok
Security news53ok
Signal Atlas34ok
ransomware.live31ok
RSS10ok
AlienVault OTX7ok
CISA KEV4ok
atlas4ok
signal:ioc-family3ok
Ransomware tempo · Ninja Signal graph1ok

Recevez-le dans votre boîte de réception. Chaque matin. En principe.

Trois ajouts de plus au KEV, et 19 serveurs qui avaient déjà appliqué le correctif

324 revendications en sept jours, et trois groupes qui publient par lots comme un publipostage

L'extension malveillante est passée par la place de marché, et les identifiants venaient du fournisseur d'IA

Onze CVE dans un plugin WordPress nommé Security For WooCommerce, toutes sans authentification

Une douzaine de failles cgo de Go publiées d'un coup : votre serveur de build est la surface d'attaque

L'opération Endgame saisit 235 serveurs, 354 arrestations sur les marchés, et le FBI débranche FaceStealer

Trezor confirme la présence d'une carte électronique supplémentaire dans trois portefeuilles, qui lit l'écran et communique avec l'extérieur

La panne de la FAA ressemble à une mise à jour logicielle, ce que personne ne souhaite

Du KEV à la presse puis à la PoC publique, en moins d'une journée

Publication par lots synchronisée avec des échéances prédéfinies

Les agrégateurs divergent de plusieurs heures : un seul flux ne constitue donc pas une couverture

Trois sources s'arrêtent net à la même minute

Today’s calls

Scorecard

Glossaire des termes que vous êtes censé connaître

La liste WTF

Le visiteur le plus déterminé

Même ADN, adresses différentes

Une tentative de CVE-2017-9841 contre nous

La liste de courses la plus étrange

Pressé

Recevez-le dans votre boîte de réception. Chaque matin. En principe.

Sources de ce matin