Un rapporto quotidiano sul campo su cose che probabilmente vanno bene
No. 22·Lunedì 19 Ottobre 2026·Pubblicato alle 06:00 UK·Indicatore Fine 3/5: Non particolarmente bene
Apertura · Catena di fornitura
Una sola credenziale, 173 tenant: ConnectWise stacca la spina a Cloud Backup
ConnectWise ha interrotto l'accesso dei clienti al proprio servizio Cloud Backup, già SkyKick, e ha disattivato sette identità applicative dopo che una credenziale Microsoft 365 compromessa è stata usata per accedere a 173 tenant di clienti.
attendibilità0.85
Non è la storia di 173 violazioni. È la storia di un unico rapporto di fiducia, riprodotto 173 volte, a velocità di macchina, da qualcuno che dopo la prima porta non ha dovuto forzare più nulla. I ricercatori descrivono una campagna attiva che abusa di una credenziale M365 compromessa appartenente a ConnectWise Cloud Backup per raggiungere gli ambienti dei clienti; sabato ConnectWise ha dichiarato di aver disattivato sette identità applicative ConnectWise mentre indaga, e ha interrotto del tutto l'accesso dei clienti al servizio.
Tre fonti indipendenti l'hanno riportata nell'arco di nove ore: questo dice che i fatti sono solidi, ma non dice nulla sul fatto che il vostro tenant fosse uno dei 173. Per la maggior parte dei difensori, stamattina, la posizione onesta è che non lo si sa, e l'unico modo per scoprirlo è leggere i log di accesso dei service principal anziché quelli delle persone, ovvero la parte di Entra a cui nessuno ha mai concesso il tempo di imparare.
La riformulazione da portare al vostro stand-up: il prodotto di backup non è un prodotto di backup, è un amministratore privilegiato, permanente e invisibile presso ogni cliente, acquistato sulla fiducia di una scheda tecnica che usava la parola «seamless». «Seamless» è corretto. È esattamente ciò che è accaduto. Non c'erano cuciture.
Perché è rilevanteSe utilizzate ConnectWise Cloud Backup o SkyKick, trattate il service principal come compromesso e passate al setaccio i log di accesso M365 e di audit delle caselle di posta alla ricerca di attività non interattive di applicazioni, non di accessi degli utenti.
Una credenziale che funziona in 173 organizzazioni non è una credenziale. È un fenomeno atmosferico, e il meteo non si patcha.
— Sturgeon's Revelations · Probably Fine Daily No. 22
Ogni mattina06:00 UK
Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.
Un'email al giorno. L'intero giornale. Disdici con un clic.
§2
Notizie principali
Il resto delle ultime 24 ore, prove alla mano.
Vulnerabilità
Il web application firewall è ora la testa di ponte
Gli aggressori stanno sfruttando attivamente una falla di OS command injection in SiteGuard Server Edition che consente di eseguire comandi come root o SYSTEM sui server colpiti, cioè l'intero sistema operativo, consegnato dal prodotto acquistato per impedire esattamente questo. Drupal ha inoltre corretto due vulnerabilità critiche di esecuzione di codice remoto che interessano tutte le versioni supportate e ha avvertito che gli exploit potrebbero arrivare rapidamente. JetBrains ha tre CVE per TeamCity — CVE-2026-111094 con punteggio 8.1, una RCE autenticata tramite bypass della whitelist dei messaggi di build, più XSS stored a 8.0 e 6.7 — con correzioni on-premises nelle versioni 2026.2, 2026.1.4 e 2025.11.8, senza proof of concept pubblico e senza sfruttamento attivo segnalato.
Perché è rilevanteOrdine di patch per stamattina: prima SiteGuard, perché è sfruttato adesso; poi Drupal, perché la finestra è breve; infine TeamCity, perché è un server di build e i server di build firmano le cose.
N0n ha pubblicato 29 volte sabato, e il peggio riguarda i clienti di altri
N0n è passato da quasi nulla a 29 voci sul sito di leak in un giorno, e lo schema è di terze parti: SQA Services, descritto come laboratorio di test Wolters Kluwer/CCH Axcess, elencato con le credenziali di accesso VPN di tutti i 64 account dei dipendenti e la configurazione del domain controller, comprese group policy, zone DNS e mappe di rete; All Business Technologies, uno studio di contabilità e fiscalità del Massachusetts, elencato con file contabili attivi di oltre 60 aziende clienti e backup dal 2014 al 2026. ECO USA è stata pubblicata con 217.186 record di produzione e controllo e 33 account di aziende e partner con password in chiaro, Solid Trading B.V. con dati di ordini ed esecuzione dei clienti, mentre SMIC US e Telecom Egypt sono entrambe contrassegnate NOT PAID — EXPOSED. Quattro vittime sono rimaste sul sito come Company #88–#91 dalla mattina presto fino a quando sono state nominate alle 15:26. Atlas valuta l'attività di N0n negli Stati Uniti come in escalation a 0,82.
Perché è rilevanteSe il vostro commercialista, il vostro laboratorio di QA o il vostro contabile esternalizzato è in quell'elenco, i vostri dati sono nel leak anche se il vostro nome non c'è.
Helix ha scoperto il conto alla rovescia, e scorre su GoFile
Helix ha elencato quattro grandi organizzazioni statunitensi in circa quattro ore sabato sera — Smith Douglas Homes, Bay Alarm, Personify Health e, più tardi, Quikrete — ciascuna con link GoFile e password annunciate come attive entro 12 ore, poi 6, prima di aggiungere Southwire con un fatturato annuo dichiarato di circa 9 miliardi di dollari. Le inserzioni citano i dati di fatturato come una presentazione commerciale cita il mercato indirizzabile: Smith Douglas Homes a circa 971 milioni di dollari, Personify Health a circa 500 milioni, Bay Alarm a circa 256 milioni. Atlas giudica Helix in escalation nel manifatturiero statunitense, con l'andamento per paese ponderato sulla velocità a 0,82, sebbene il segnale sia arrivato circa 18,5 ore dopo le inserzioni grezze.
Perché è rilevanteGli sblocchi pubblici a tempo comprimono deliberatamente le decisioni delle vittime; se operate nel manifatturiero statunitense, supponete che il vostro orologio di incident response sia fissato dalla pagina web dell'aggressore, non dal vostro contratto di assistenza.
Qilin ha pubblicato 37 volte in un giorno, e un marchio chiamato Storm è comparso con tre vittime in un'ora
Il volume del sito di leak di Qilin il 18 ottobre ha raggiunto 37 voci contro una mediana di una negli altri giorni, con Mastelli S.r.l., Pergande, Pengurusan Aset Air Berhad, BRUTRA Logistek, Llano Independent School District e Belcorp tra i nomi; i due tracker non concordano sul settore di Mastelli, uno la indica come Manufacturing e l'altro come Healthcare Services, il genere di dettaglio che finisce in una slide per il consiglio d'amministrazione come fatto accertato. Separatamente, un gruppo che si fa chiamare Storm è apparso con Patriot Maritime, Merit Financial Group e Baltimore Tank Lines, individuato per primo su Mastodon e confermato su ransomlook circa 1,1 ore dopo — trasporto marittimo, gestione patrimoniale e trasporto di carburanti, nell'arco di circa un'ora. Trattate l'ondata di Qilin con cautela: Atlas ha preceduto le inserzioni grezze di circa 39–53 ore, nella direzione sbagliata, il che di solito indica un'ingestione in blocco anziché un'improvvisa impennata di competenza.
Perché è rilevanteI conteggi delle vittime che leggete di lunedì sono la visione di un scraper su un fine settimana, non una misura del ritmo degli aggressori; usate i nomi delle vittime, non i totali.
L'infrastruttura C2 di Vidar è fatta di numeri e domini brevi, ed è cacciabile
L'ultimo giorno di indicatori Vidar su ThreatFox si concentra fortemente su domini con prefisso numerico e percorsi brevi: k3.9nawin.org, tp.988boss.org, poi k9n/tx/xs/cva su 9wing.org, l.9kio.org, j7.88idr.org e f.88qr.org e n.88qr.org. Gli stessi indicatori compaiono con e senza slash finale, che è l'aspetto di un invio automatico in blocco da un unico pannello. Sotto continua il volume di fondo: 209 nuovi indicatori Mozi e 208 nuovi indicatori Mirai nella finestra, oltre a infrastruttura ClearFake, AMOS e ValleyRAT.
Perché è rilevanteUna regex sui log DNS per host brevi con prefisso numerico e percorsi URI di due caratteri vi costerà dieci minuti e potrebbe essere la rilevazione Vidar più economica che scriverete questo trimestre.
attendibilità0.60
IA e sicurezza
Le offerte di lavoro nella sicurezza negli Stati Uniti calano del 26% mentre tutti assumono per la cosa che perde
Il rapporto sul lavoro di CyberSN indica un calo del 26% delle offerte di cybersecurity negli Stati Uniti mentre la domanda di AI Security Engineer vola, il che non è una storia di carenza né di eccesso, ma una storia di riallocazione raccontata con faccia seria.
Perché è rilevanteI vostri strumenti di IA sono ora un'applicazione desktop dotata di credenziali nelle mani dei vostri sviluppatori; inseriteli nell'inventario degli asset prima di inserirli nella presentazione strategica.
Un bug abbastanza vecchio da ricordare i telefoni a disco vi dà il root su OpenBSD 7.9
Un exploit di escalation locale dei privilegi pubblicato questo fine settimana ottiene il root su OpenBSD 7.9 concatenando un integer overflow nella memoria condivisa vecchio di circa 37 anni con una distinta falla del kernel, aggirando la randomizzazione degli indirizzi del kernel KARL insieme alle protezioni hardware SMAP e SMEP. La società di sicurezza Calif l'ha trovato e segnalato. Mitigazioni accumulate in tre decenni sono state superate da un bug che le precede tutte.
Perché è rilevanteUna privesc locale sulle vostre macchine più blindate è esattamente la catena che trasforma una web shell contenuta in un incidente esteso a tutta l'infrastruttura.
Un braccialetto da 75 dollari che trasforma le persone intorno a voi in contenuti
Bee di Amazon, segnalato questo fine settimana, è un braccialetto da 75 dollari che trasforma le conversazioni in appunti e, con un'adesione a pagamento, in suggerimenti d'acquisto. Chi lo indossa aderisce. I presenti forniscono i dialoghi e non hanno alcuna possibilità di rifiuto. Come l'ha messa la persona che l'ha segnalato, una piccola filiera ordinata.
Perché è rilevanteOgni sala riunioni della vostra organizzazione è ora potenzialmente un ambiente registrato, senza accordo con il responsabile del trattamento e senza interessati che sappiano di esserlo.
La lettura approfondita del giorno: cosa c'è sotto i feed, non sopra.
Sotto i feed: una credenziale che fa il lavoro di 173, un fine settimana di leak site in parte reale e in parte uno scraper che riprende fiato, e due fonti andate in silenzio domenica mattina.
Exception 01
L'evento ConnectWise è un abuso di fiducia degli MSP, non 173 intrusioni
Tre fonti indipendenti confermano un unico segreto applicativo multi-tenant compromesso che accede a molti tenant di clienti, con sette identità applicative ConnectWise disattivate. Il raggio d'azione è costituito dai dati M365 dei clienti, e lo schema di accesso è l'integrazione legittima del fornitore stesso.
attendibilità0.80
Wrong if
ConnectWise riferisce che la cifra di 173 era sovrastimata, oppure che gli accessi erano limitati all'accesso contrattuale del fornitore senza che fossero toccati dati dei clienti.
Watch
Seguiti di ConnectWise o Microsoft e avvisi ai clienti nei prossimi 1-3 giorni; se vengono nominate altre applicazioni multi-tenant di MSP.
Il sabato di N0n è per lo più un'esposizione a valle di fiscalità e contabilità
N0n è passato da quasi zero a 29 voci in un giorno, e le due inserzioni più rilevanti riguardano fornitori di servizi: un laboratorio di test CCH Axcess e uno studio di contabilità che detiene file contabili attivi di oltre 60 aziende clienti. Le vittime nominate non sono l'elenco completo delle vittime.
attendibilità0.65
Wrong if
Prove che le 29 voci siano un unico backfill dello scraper di pubblicazioni originariamente datate su diverse settimane.
Watch
Se N0n continuerà a pubblicare il 19-20 ottobre, e se Wolters Kluwer o CCH diranno qualcosa sul laboratorio di test.
Exception 03
L'ondata di Qilin potrebbe essere ingestione, non ritmo
37 voci di Qilin il 18 ottobre contro una mediana di una, con Atlas che precede le inserzioni grezze del sito di leak di circa 39–53 ore — la direzione opposta a quella consueta, che indica retrodatazione o scraping in blocco anziché un'autentica impennata.
attendibilità0.50Speculative
Wrong if
I timestamp del sito di leak mostrano che i post delle vittime sono stati effettivamente pubblicati nel corso del 18 ottobre anziché ingeriti in un unico blocco.
Watch
Se il volume di Qilin resta elevato il 19-20 ottobre e se la storia del Manufacturing otterrà nuove vittime a conferma.
NVD e OTX si fermano entrambi alle 00:04 del 18 ottobre
Entrambi i feed non hanno nulla dopo le 2026-10-18T00:04, e il set NVD è in gran parte un unico lotto con data 16 ottobre, quindi qualsiasi attività CVE o OTX del 18 e del 19 è invisibile in questa lettura. Più probabilmente si tratta di un comportamento di ingestione in blocco, non di un vero calo delle segnalazioni.
attendibilità0.60
Wrong if
Verifiche dirette di NVD e OTX mostrano una pubblicazione continua nei giorni 18-19 ottobre che questa pipeline non è riuscita a raccogliere.
Watch
Se la prossima ingestione ripristina entrambi; in caso contrario, a essere guasti sono i collettori, non il mondo.
Nothing to seeL'ondata di punteggi di dannosità delle estensioni Chrome, le storie di Atlas sulla «crisi composta che converge su un paese» con confidenza tra 0,43 e 0,51, il lotto di avvisi WordPress del fine settimana senza prove di sfruttamento, e un lungo e appassionato thread del fediverso su un film horror degli anni Settanta. Nulla di tutto ciò ha mostrato una struttura tra fonti diverse, e uno dei temi riguardava un organo che è anche un ascensore.
Deep read: 483 elementi letti
§4
Previsioni
Valutazioni datate e falsificabili. Verifichiamo il nostro operato pubblicamente.
Today’s calls
DueCallConfidence
DueMon 26 Oct7d
ConnectWise o Microsoft pubblicano un ulteriore aggiornamento pubblico sull'incidente Cloud Backup / SkyKick — numeri rivisti dei tenant, portata dell'accesso ai dati o indicazioni per i clienti — entro il 26 ottobre.
Wrong ifNessuna nuova dichiarazione di ConnectWise o Microsoft su questo incidente compare in queste fonti entro la fine del 26 ottobre.
Compare una segnalazione pubblica di sfruttamento in the wild o di un proof of concept pubblico per le due RCE critiche di Drupal entro il 1° novembre.
Wrong ifNessuna segnalazione di sfruttamento né PoC pubblico per le RCE di Drupal in queste fonti entro la fine del 1° novembre.
No official T-Mobile breach notification or verified data sample corroborating BYOD's claim appears in these feeds.
Called Fri 9 Oct · due Fri 16 Oct
Past due. No T-Mobile statement, filing or verified sample appears in any of today's items.
open
None of KFC, MoneyGram, Confluent, BigID or Placer AI publicly confirms a breach in these feeds by 18 October.
Called Tue 13 Oct · due Sun 18 Oct
Due 18 Oct passed. No confirmation from KFC, MoneyGram, Confluent, BigID or Placer AI appears in any item.
right
Qilin will not sustain yesterday's volume: at least one day between 17 and 21 October will show fewer than ten Qilin leak-site items on ransomware.live.
Called Fri 16 Oct · due Wed 21 Oct
On 18 Oct, ransomware.live shows only 5 Qilin claims (Mastelli, Pergande, Pengurusan, BRUTRA, Llano). On 17 Oct it shows 1. Both are under ten, though the feed may be a sample.
N0n posts at least one further numbered anonymised victim above #88 on its leak site.
Called Sun 18 Oct · due Fri 23 Oct
N0n posted Company #89 and #90 (5:52–5:53 UTC) and #91 (8:54 UTC) on 18 Oct. ransomlook shows the same listings.
Glossario dei termini con cui ci si aspetta che tu annuisca
Applicazione multi-tenant(n.)
Un solo segreto che funziona presso tutti i vostri clienti contemporaneamente, venduto come integrazione, descritto nell'avviso di incidente come sette identità applicative e disattivato di sabato.
§5
Dal nostro fronte
Attacchi in corso sui nostri server nelle ultime 24 ore. Sì, proprio i nostri.
Il nostro edge ha profilato 53 fonti ostili in 24 ore — 42 scanner, 9 crawler bot, 2 operatori mirati — che hanno inviato complessivamente 6.394 richieste, di cui 7 sono andate oltre la ricognizione in veri tentativi di sfruttamento, da 4.919 indirizzi di 92 paesi, 1.040 dei quali visti per la prima volta oggi. L'elemento che dovrebbe interessarvi: 34.53.212.113 ha percorso /.env-example, /.aws/config e /.env.aws e poi ha chiesto /.env.anthropic, il che significa che le chiavi API dei modelli sono ormai nella lista della spesa standard accanto alle chiavi cloud. Altrove, 35.240.58.49 ha lanciato 118 richieste in circa 0,4 secondi cercando file .env di Laravel e Docker, undici indirizzi condividevano un'unica impronta comportamentale (DNA dfef4501b216) ruotando gli host, 20.196.193.222 ha inviato 470 richieste al ritmo costante di una al minuto cercando un file manager WordPress HelloPress, e due indirizzi stavano ancora spruzzando CVE-2017-9841 contro di noi, il che dice cosa Internet crede davvero riguardo al patching. L'ostilità più alta della classifica, 7,7 su 10, era di 84.17.60.236, che ha inviato solo 20 richieste, ha raggiunto il credential-access e cercava xmlrpc.php. I log grezzi non hanno mai lasciato il server. Solo i risultati.
53fonti ostili profilate
6.394richieste da esse provenienti
7arrivate allo sfruttamento
6cluster a DNA condiviso
7,7/10ostilità massima
4.919indirizzi sul nostro edge
1.040visti per la prima volta oggi
92paesi
La lista WTF
WTF #1
Alla ricerca delle vostre chiavi IA
34.53.212.113, uno scanner (ostilità 5,7/10), ha inviato 234 richieste a 2 dei nostri siti, sondando /.env-example, /.aws/config, /.env.aws, /.aws/.env.
Perché è anomaloÈ andato dritto alle credenziali IA: /.env.anthropic. Le chiavi API dei modelli sono ormai nella lista della spesa degli scanner accanto alle chiavi cloud.
attribution: scanner personalizzato di raccolta credenziali (miglior corrispondenza del sensore, 45%)Sun 18 Oct, 05:00 UTC
Detail
kill chain: reconnaissance → weaponization · DNA 9427f6c77bf1
WTF #2
Il visitatore più determinato
84.17.60.236, un operatore mirato (ostilità 7,7/10), ha inviato 20 richieste a uno dei nostri siti, sondando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Perché è anomaloOstilità più alta della classifica; la sua kill chain ha raggiunto il credential-access.
2 indirizzi hanno inviato 16 richieste con la forma di uno sfruttamento di CVE-2017-9841 (/vendor/phpunit/phpunit/…), tra cui 170.64.211.230, 94.26.0.103.
Perché è anomaloUn exploit noto e con un nome ancora spruzzato su Internet; il nostro edge lo ha visto oggi, qualunque cosa dicano le note di patch sull'anno.
attribution: sconosciuto
Detail
famiglia di sonde: phpunit-rce
WTF #4
Stesso DNA, indirizzi diversi
34.131.254.38, uno scanner (ostilità 6,3/10), ha inviato 277 richieste a uno dei nostri siti, sondando /.git/config, /.env, /.env.local, /.env.production.
Perché è anomalo11 IP condividono un'unica impronta comportamentale (DNA dfef4501b216): un solo strumento o un solo operatore che ruota gli indirizzi: 20.194.96.223, 20.207.202.183, 74.225.146.100, 2001:41d0:601:2000::166e, 20.214.147.109 e altri.
attribution: sconosciutoSun 18 Oct, 20:00 UTC
Detail
kill chain: reconnaissance → weaponization · DNA dfef4501b216
WTF #5
La lista della spesa più strana
20.196.193.222, uno scanner (ostilità 6,5/10), ha inviato 470 richieste al ritmo di 1 al minuto a 3 dei nostri siti, sondando /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /3PJcpMFsD8B.php, /sm.php.
Perché è anomaloHa chiesto file che quasi nessun altro chiede: /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /3PJcpMFsD8B.php, /sm.php, /ebkid.php.
attribution: scanner RCE per WordPress HelloPress File Manager (miglior corrispondenza del sensore, 55%)Sun 18 Oct, 05:00 UTC
Detail
kill chain: reconnaissance → weaponization · DNA 8e306493632a
WTF #6
Di fretta
35.240.58.49, uno scanner (ostilità 5,5/10), ha inviato 118 richieste a uno dei nostri siti, sondando /.aws/.env, /.env, /.docker/.env, /.docker/laravel/app/.env.
Perché è anomaloHa lanciato 118 richieste in circa 0,4 secondi.
attribution: Raccoglitore automatico di credenziali/segreti (miglior corrispondenza del sensore, 55%)Sun 18 Oct, 05:00 UTC
Detail
kill chain: reconnaissance → weaponization · DNA 18e39c4b41fb
§6
Sul campo
Strumenti live gratuiti. Nessuna registrazione, nessun contatto commerciale.
Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.
Un'email al giorno. L'intero giornale. Disdici con un clic.
§7
Colophon
Come è stata realizzata questa edizione, senza fronzoli.
L'edizione 22 è stata realizzata da una macchina e verificata dal codice. Ogni elemento pubblicato da 12 feed pubblici di threat intelligence nelle 24 ore fino alle 05:05 UK (483 elementi) è stato letto per intero: statistiche calcolate dal codice, ogni porzione letta da Claude Sonnet, la struttura sintetizzata da Claude Opus. Claude Opus ha poi curato il giornale. Ogni articolo cita gli elementi su cui si basa; gli articoli le cui ricevute non trovavano riscontro, o i cui numeri non erano nelle fonti, sono stati scartati prima della pubblicazione (0 oggi). Le previsioni vengono valutate pubblicamente nelle edizioni successive. «Dal nostro edge» sono dati di attacco in tempo reale dai nostri server. Costoo di questa edizione: 0,74 $. È scritta da una macchina con la voce di ScottG, autore di Everything Is Probably Fine, e nessuno l'ha rivista a mano, il che è o il punto o il problema.
483items read
24hour window
$0.74cost of this edition
04:05 UTCgenerated
Fonti di questa mattina
ThreatFox150ok
NVD100ok
infosec.exchange77ok
Signal Atlas56ok
ransomware.live26ok
RansomLook26ok
atlas20ok
Security news10ok
signal:ioc-family6ok
signal:actor6ok
RSS3ok
AlienVault OTX3ok
ITEMS READ: 483|SOURCES: 12|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.74|STATUS: NON PARTICOLARMENTE BENE
OWNER: la macchina|EDITOR: le regole|CALLS OPEN: 3|NEXT REVIEW: domani 06:00 UK