Apertura · Vulnerabilità

La scadenza era giovedì. Oggi è giovedì.

La CISA ha inserito nell'elenco delle vulnerabilità sfruttate le due falle use-after-free di PHP2Shell e ha ordinato alle agenzie federali di applicare le patch entro oggi, mentre un presunto operatore legato alla Cina ha già ottenuto i privilegi di root su 25 server e raggiunto una rete affiliata al governo statunitense.

attendibilità 0.85

CVE-2026-109618 e CVE-2026-109619 hanno entrambe un punteggio di 9.2, risiedono entrambe nella gestione di session.upload_progress del motore PHP e si attivano entrambe durante l'elaborazione delle richieste multipart, ovvero durante l'atto ordinario di qualcuno che carica un file su un sito web. La CISA ha confermato lo sfruttamento attivo, le ha aggiunte al catalogo Known Exploited Vulnerabilities e ha concesso alle agenzie federali tempo fino a giovedì. State leggendo questo articolo di giovedì.

Lo sfruttamento non è teorico, ma nemmeno uniforme. Il 25 ottobre i ricercatori hanno osservato quello che descrivono come un attacco assistito dall'intelligenza artificiale da parte di un presunto attore legato alla Cina, che ha ottenuto il root su 25 server e violato una rete affiliata al governo statunitense, concatenando PHP2Shell con un secondo exploit chiamato Fragnesia per ottenere il root sui firewall e compromettendo due server in quella singola organizzazione. Separatamente, un server di staging esposto all'indirizzo 96.126.130.81 ha mostrato un operatore che tra il 9 e l'11 ottobre ha estorto denaro a siti web immobiliari giapponesi e ha poi raccolto gli strumenti di PHP2Shell, perché si trovavano lì a disposizione. Wiz, che osserva la situazione dalla divulgazione pubblica del 21 ottobre, afferma di aver visto tentativi ma nessun attacco riuscito nella propria telemetria.

E ieri mattina su Mastodon un'analista di malware ha chiesto pubblicamente se lo sfruttamento in the wild di PHP2Shell fosse già stato davvero confermato, perché aveva sentito versioni contrastanti. Fa bene a chiederlo e i fornitori fanno bene a riferire. Entrambe le affermazioni sono vere allo stesso tempo, ed è la condizione normale di un giovedì. Nel frattempo un rapporto sull'infrastruttura osserva che le falle raggiungono le interfacce web di gestione di firewall, VPN e application delivery controller, cioè proprio dove si colloca ciò che non dovrebbe essere raggiungibile.

Perché è rilevanteSe PHP è raggiungibile da un'interfaccia di gestione in un punto qualsiasi del vostro patrimonio informatico, la finestra per scoprirlo si è chiusa prima del caffè.

Prove

Today’s revelation

Una vulnerabilità con un nome di marca viene corretta prima di una vulnerabilità con solo un numero, il che dimostra che il nostro motore di prioritizzazione è, e è sempre stato, marketing.

— Sturgeon's Revelations · Probably Fine Daily No. 32

§2

Notizie principali

Il resto delle ultime 24 ore, prove alla mano.

Vulnerabilità

Un bug di Brotli, tre nomi e almeno un attaccante il cui exploit non funziona

Martedì la CISA ha aggiunto al catalogo delle vulnerabilità sfruttate CVE-2026-111497: un valore di ritorno non controllato e una scrittura fuori dai limiti nel decodificatore Brotli di Google, che è incluso in Node.js e in una lunga coda di altri pacchetti, e che Internet ha deciso di chiamare Node2Shell, Broccoli2Shell e HTTP2Shell a seconda di chi sta twittando. Due gestori di honeypot hanno registrato tentativi, uno dei quali con un exploit semplicemente difettoso. Nella stessa finestra temporale, gli attaccanti hanno iniziato a cercare la falla di Oracle E-Business Suite CVE-2026-101767, con punteggio 9.8, appena corretta, a pochi giorni dal rilascio della correzione.

Perché è rilevanteBrotli è una dipendenza che non avete scelto e che non compare in un inventario degli asset; trovatela dal manifesto di build, non dal nome del prodotto.

attendibilità 0.80

Prove

Vulnerabilità

La CISA ha aggiunto una vulnerabilità il cui unico impatto è che non saprete nulla

Accanto alle falle di primo piano, il KEV ha incluso discretamente CVE-2026-41709 in Broadcom VMware ESX: una vulnerabilità di registrazione insufficiente che consente a un attore con accesso da amministratore di eseguire determinate operazioni senza che vengano registrate, con un EPSS di 0.00297. Ha incluso anche CVE-2026-46300, una mancata inizializzazione di variabile nel kernel Linux con EPSS 0.10192, e CVE-2026-48356, un caricamento di file senza restrizioni in Adobe Commerce e Magento che può portare all'esecuzione di codice arbitrario. Una di queste vi dà il codice. Un'altra vi dà un silenzio nella cronologia, là dove dovrebbero esserci le prove.

Perché è rilevanteUna lacuna nei log di ESX non è un problema di rilevamento di martedì, è un problema di rapporto sull'incidente a marzo; applicate la patch e, già che ci siete, controllate i tempi di conservazione.

attendibilità 0.82

Prove

Ransomware

GMO ha detto a 26.739 server di spegnersi, ha rifiutato 8 miliardi di yen e ora paga per avere dei nomi

GMO Internet ha esortato i clienti di Onamae Desktop Cloud a scollegarsi da Internet e a spegnere i propri server prima che un payload ransomware piantato durante l'intrusione potesse attivarsi; fino a 26.739 server di clienti potrebbero essere interessati, la richiesta di 8 miliardi di yen (circa 50 milioni di dollari) è stata respinta e i dati rubati sono stati comunque pubblicati. Il 28 ottobre il gruppo ha aperto un programma di ricompense che eroga fino a 1 milione di dollari in totale per le segnalazioni che portino a un arresto o a un'incriminazione. Per il Giappone è una quindicina di giorni intensa: Japan Airlines ha avvertito che sono stati sottratti numeri di passaporto, numeri di frequent flyer, indirizzi e-mail e numeri di telefono di circa 2.000 clienti, Sony Network Communications ha confermato circa 2,5 milioni di record e i ricercatori descrivono tre attacchi contro obiettivi giapponesi in cui un'operazione ha impiegato 44 agenti di IA per automatizzare il lavoro.

Perché è rilevanteSe ospitate carichi di lavoro dei clienti, mettete per iscritto adesso chi ha l'autorità di dire a ogni tenant di spegnersi, perché quella decisione va presa in pochi minuti e non la prenderà una dashboard.

attendibilità 0.75

Prove

Ransomware

L'interruzione ospedaliera è arrivata sui feed diciassette ore prima del comunicato

Lunedì sera un post sul sito di leak di un attore tracciato come byod ha rivendicato 36.000 macchine presso l'Università del New Mexico, entrambe le foreste Active Directory che coprono il campus principale e il settore ospedaliero, oggetti di criteri di gruppo, due database Oracle e dati personali di studenti e dipendenti, compresi i numeri di previdenza sociale. Il pomeriggio seguente UNM Health ha confermato un attacco informatico con interruzioni dei sistemi: ambulanze dirottate per circa due ore lunedì verso strutture sanitarie di Albuquerque e Santa Fe, e interventi chirurgici ambulatoriali e appuntamenti sospesi per il resto della giornata. La rivendicazione ha preceduto la notizia pubblica di circa 17,6 ore.

Perché è rilevanteIl monitoraggio dei siti di leak non è teatro dell'intelligence; per i vostri omologhi di settore è spesso il segnale più precoce che riceverete del fatto che un fornitore o un vicino condiviso è fuori servizio.

attendibilità 0.80

Prove

Ransomware

The Gentlemen non conducono una campagna di attacco, gestiscono un calendario editoriale

Il 26 ottobre il gruppo ha pubblicato 31 voci contro una mediana di 4,5 negli altri giorni, circa 22 vittime in circa due ore, ciascuna accompagnata da una ordinata biografia aziendale: Vietnam Airlines, una rivendicazione contro la divisione per America Latina e Caraibi di SAP, FPT Software, la società di tecnologie idriche WABAG, Cherry Bekaert, SK Capital Partners, il comune svedese di Svedala e la città bavarese di Eichstätt. Ransomlook ha riportato il lotto circa 27 ore prima che Atlas lo recepisse, per cui gran parte della apparente corroborazione tra i tracker è semplice rispecchiamento, non conferma. Sull'intero quadro, il ritmo della settimana mostra 192 rivendicazioni sui siti di leak da parte di 38 dei 267 gruppi monitorati, con Booba Project in forte crescita a 10 rivendicazioni contro 2,38 attese in base al proprio tasso precedente, rhysida a 6 contro 1,29 e qilin a 39.

Perché è rilevanteDiverse delle vittime citate sono fornitori di servizi IT e software, quindi le comunicazioni che contano per voi potrebbero arrivare tramite un fornitore tra due settimane, anziché da questo elenco oggi.

attendibilità 0.70

IA e sicurezza

I modelli sono ora su entrambi i lati dello scontro, e qualcuno attacca i robot d'attacco

Anthropic ha riferito che un modello non ancora rilasciato ha trovato falle in Chrome, Safari, Android, Windows e Linux e le ha concatenate in exploit proof-of-concept funzionanti, costruiti in laboratorio dopo un prompt e non osservati in the wild. I ricercatori che hanno analizzato tre ambienti server esposti hanno descritto un'operazione focalizzata sul Giappone che impiegava 44 agenti di IA per automatizzare il lavoro di intrusione, e un altro server di staging esposto mostrava l'intero spazio di lavoro di estorsione assistito dall'IA di un operatore del ransomware n0n, codice sorgente del cifratore incluso. Nel frattempo, gli strumenti di intrusione basati su IA Cairn non protetti vengono sistematicamente compromessi da attori sconosciuti dal 20 ottobre circa, e un altro attaccante effettua scansioni incessanti alla ricerca di credenziali spacciandosi per i crawler di OpenAI, Anthropic e Meta.

Perché è rilevanteTrattate la vostra infrastruttura di agenti come superficie d'attacco di produzione: custodisce credenziali, agisce, e l'automazione altrui la sta già cercando.

attendibilità 0.72

Prove

Politica

Una buona settimana per l'altra parte del registro, che dobbiamo annotare prima di dimenticarcene

L'FBI ha sequestrato virtualine[.]net il 27 ottobre nell'ambito dell'Operation Omegaline, prendendo il dominio principale di un hoster bulletproof che operava anche come Omegatech su AS202412 ed era pubblicizzato nei forum criminali. L'Australian Signals Directorate è penetrata nel backend di un'operazione Amadey e ha tagliato fuori l'operatore da 180.000 computer infetti in tutto il mondo. La terza Operation Serengeti di Interpol ha prodotto 1.462 arresti in 20 paesi africani e negli Stati Uniti e ha permesso di recuperare 105 milioni di dollari, e Artem Stryzhak, 36 anni, è stato condannato a 70 mesi per il suo ruolo negli attacchi Nefilim e Hive contro ospedali, enti pubblici e grandi aziende tra il 2018 e il 2021.

Perché è rilevanteI sequestri di infrastrutture spostano gli indicatori e fanno ruotare l'hosting; aspettatevi che le vostre blocklist legate a Virtualine diventino obsolete e che i vostri avversari ricompaiano altrove a costi inferiori.

attendibilità 0.85

Prove

Stranezze

Keystone sta distruggendo 18.835 wallet hardware perché ciò che ne dimostra l'autenticità ha smesso di dimostrarla

Un attaccante che ha ottenuto l'accesso al sito web di Keystone si è impossessato della chiave che i suoi wallet hardware usano per dimostrare di essere autentici, il che significa che qualcuno potrebbe costruire dispositivi contraffatti in grado di superare il controllo online con cui un proprietario verifica un Keystone; il 26 ottobre l'azienda ha dichiarato che distruggerà 18.835 dispositivi. Rimanendo nel reparto archeologia, il defunto updater di Popcorn Time risulta essere stato eseguito all'avvio del sistema, interrogando periodicamente il proprio dominio di aggiornamento ed eseguendo qualunque cosa gli venisse servita, con privilegi completi, su milioni di computer.

Perché è rilevanteL'attestazione vale quanto il segreto che la sostiene; se vi affidate al controllo di autenticità di un fornitore, chiedete dove si trova quella chiave e chi può raggiungerla da un server web.

attendibilità 0.78

Prove

§3

Nascosto

La lettura approfondita del giorno: cosa c'è sotto i feed, non sopra.

Gran parte dell'apparente conferma incrociata di oggi è data da tre tracker che leggono lo stesso post di leak a velocità diverse.

Exception 01
Il rispecchiamento non è corroborazione
Whitearmor, n0n, rhysida, akira, aurora e panzer appaiono «multi-fonte» solo perché ransomlook, ransomware.live e Atlas acquisiscono gli stessi post di leak con ritardi di circa 1-37 ore. Payload e Aurora mostrano inoltre valori di confidenza Atlas identici, il che sembra un artefatto di correlazione. Non consideratele conferme indipendenti.
attendibilità 0.70
Wrong if
I siti che mostrano metodi di scoperta indipendenti o contenuti sostanzialmente diversi per la stessa vittima.
Watch
Se lo schema del ritardo con ransomlook in testa si conferma nella prossima finestra.
Prove
1. 1RansomLookwhitearmor leaked Gamdom — Gamdom is an unregulated…
Exception 02
Sei plugin di pagamento WooCommerce, un'identica falla
CCAvenue, Eurobank, Mintpay, iK Pay, OPay e un plugin chiamato semplicemente Payment Gateway non verificano tutti che una callback di conferma del pagamento provenga davvero dal fornitore, in vari casi perché il segreto di verifica è vuoto in un'installazione predefinita, consentendo a un attaccante non autenticato di segnare ordini arbitrari come pagati, falliti o annullati. Lo schema suggerisce un solo ricercatore o un solo strumento che passa al setaccio l'ecosistema dei plugin.
attendibilità 0.55Speculative
Wrong if
I CVE riconducibili a ricercatori non collegati che trovano in modo indipendente percorsi di codice diversi.
Watch
Altri plugin di gateway divulgati nelle prossime due settimane e qualsiasi segnalazione di sfruttamento.
Prove
Exception 03
La disputa sull'ambito di EDK II è irrisolta
SecurityWeek descrive CVE-2026-97631 in TianoCore EDK II come una falla che interessa le macchine solo durante l'avvio via rete; il post derivato da Ars la descrive come una falla che colpisce la maggior parte dei server del pianeta, senza alcuna protezione da parte di Secure Boot, con gravità 9.5. Il thread su Mastodon ha preceduto di circa sette ore il testo giornalistico. Finché il testo dell'avviso sulle configurazioni interessate non risolverà la questione, ritenete incluso nell'ambito il vostro parco macchine con avvio via rete e il resto non confermato.
attendibilità 0.55
Wrong if
Avvisi sul firmware dei fornitori che indichino esplicitamente le configurazioni interessate.
Watch
Bollettini sul firmware dei fornitori di server e cloud.
Prove
Exception 04
OTX ha preceduto il KEV su un CVE di PHP2Shell
OTX ha riportato CVE-2026-109619 circa 7,6 ore prima che la CISA lo elencasse, mentre per la falla Brotli CVE-2026-111497 l'ordine si è invertito e il KEV ha preceduto OTX di circa 46,4 ore. Nessuna delle due fonti è affidabilmente la prima; se ne seguite una sola, siete in ritardo circa una volta su due.
attendibilità 0.65
Wrong if
Un campione più ampio che mostri un vantaggio costante per una fonte.
Watch
Sfasamento temporale sulle prossime due aggiunte al KEV.
Prove
Exception 05
Quattro fonti si sono fermate nello stesso minuto, che è un confine del feed, non un cessate il fuoco
NVD, Safepay, Everest e Booba Team escono tutti dalla finestra dopo le 2026-10-27T15:56. Un limite comune al minuto tra una fonte di dati e tre attori non collegati è un artefatto di acquisizione, non quattro pause coincidenti nel mondo reale. La loro attività precedente era a raffiche: Safepay 9, Everest 8 e Booba 8 elementi in un giorno.
attendibilità 0.60Speculative
Wrong if
Nuovi elementi di quegli attori o di NVD con orari degli eventi successivi al limite che compaiono nella prossima finestra.
Watch
Conteggi delle fonti della prossima finestra per NVD e per quei tre attori.
Prove

Nothing to seeNon sono emersi raggruppamenti temporali. Non vi sono prove che colleghino il framework Silent Train di Volt Typhoon a PHP2Shell, né nulla, oltre alla geografia condivisa, che colleghi in Giappone gli incidenti di GMO, JAL, Sony e CyberStrikeAI. Le stranezze nella numerazione dei CVE sono deboli e la riserva a lotti le spiega. Le rivendicazioni contro studi legali da parte di leakeddata sono di bassa qualità e non confermate.

Deep read: 632 elementi letti

§4

Previsioni

Valutazioni datate e falsificabili. Verifichiamo il nostro operato pubblicamente.

Today’s calls

DueThu 5 Nov7 days
La CISA aggiunge almeno un'ulteriore vulnerabilità al catalogo Known Exploited Vulnerabilities.
Wrong ifTra il 29 ottobre e il 5 novembre in questi feed non compare alcuna nuova voce KEV.
Prove
f-2026-10-29-1
Confidence0.90
DueSun 8 Nov10 days
The Gentlemen pubblicano sul proprio sito di leak almeno cinque nuove vittime con nome in un solo giorno.
Wrong ifNessun giorno tra il 29 ottobre e l'8 novembre mostra cinque o più post di vittime dei Gentlemen su ransomlook o Atlas.
Prove
1. 1Ransomware tempo · Ninja Signal graphNinja Signal ransomware tempo for 2026-10-29. In th…
f-2026-10-29-2
Confidence0.55
DueMon 9 Nov11 days
Un rapporto pubblico di un fornitore o di un CERT indica un terzo operatore distinto che usa PHP2Shell, oltre al presunto attore legato alla Cina e al server di staging dell'estorsione ai siti immobiliari giapponesi.
Wrong ifEntro il 9 novembre in questi feed non compare alcun rapporto di questo tipo.
Prove
f-2026-10-29-3
Confidence0.45

Scorecard

2 right · 2 partly · 1 open

open
Majinahanashi's pending Jons Civil Engineering Company Ltd. (JCEL) post moves from PENDING to published by the end of 29 October 2026, in line with its stated 28 October schedule.
Called Mon 26 Oct · due Thu 29 Oct
No JCEL listing status (published or still pending) visible in today's feed items; due date is today 29 October.
partly
Qilin will post at least ten further leak-site victim claims to ransomware.live between now and 2 November.
Called Tue 27 Oct · due Mon 2 Nov
Qilin posted at least 2 claims visible in today's feed (Hawaii Law Enforcement FCU, NuVista FCU) but tempo signal notes 39 Qilin claims in last 7 days, strongly suggesting ≥10 new claims since 27 Oct; due date 2 November not yet passed so cannot fully settle.
Prove
partly
No named, non-honeypot organisation will be publicly reported in these feeds as successfully compromised via CVE-2026-109618 or CVE-2026-109619 by 4 November.
Called Wed 28 Oct · due Wed 4 Nov
China-linked actors exploited PHP2Shell (CVE-2026-109618/19) and rooted firewalls including breaching a US government-affiliated network, and CISA confirmed active exploitation, but no specific named non-honeypot victim organisation was publicly attributed by name in these feeds; due date 4 November not yet passed.
Prove
right
Booba Project will post at least five further leak-site claims across ransomware.live or ransomlook by 4 November.
Called Wed 28 Oct · due Wed 4 Nov
Booba Project posted at least 8 named victim claims on 27 October alone (Hudson River Museum, BASS Medical Group, Kerckstede vzw, RCOA, Charter Township of Commerce, KING FAMILY MEDICAL, City of Big Spring, Aesthetic Specialty Centre), exceeding the threshold of 5 by 28 October.
right
NVD items timestamped after 2026-10-27T01:31 will appear in our feed by 31 October, confirming the silence was an ingestion boundary rather than a halt at the source.
Called Wed 28 Oct · due Sat 31 Oct
NVD items with timestamps from 2026-10-25 and 2026-10-26 appear in today's feed, confirming the silence was an ingestion boundary, not a source halt.
Prove

Glossario dei termini con cui ci si aspetta che tu annuisca

Registrazione insufficiente (n.): Una vulnerabilità in cui non deve accadere nulla di grave perché non siate in grado di dimostrare che non è accaduto. Ora nell'elenco federale degli sfruttamenti, il che significa che l'assenza di prove ha una scadenza.

§5

Dal nostro fronte

Attacchi in corso sui nostri server nelle ultime 24 ore. Sì, proprio i nostri.

Il nostro perimetro, intanto, ha avuto una giornata del tutto ordinaria, ed è questo il punto. Il sensore ha profilato 65 fonti ostili su 4.251 indirizzi visti da 109 paesi, 1.412 dei quali nuovi oggi, e quelle 65 hanno inviato 5.866 richieste complessive; 32 sono passate dalla ricognizione a veri tentativi di sfruttamento e 7 gruppi condividevano un'impronta comportamentale. Il più attivo era uno scanner su 2a06:98c0:3600::103 con ostilità 6.4, che ha inviato 83 richieste su tre dei nostri siti chiedendo cortesemente /wp-admin/install.php e /.git/config. Diciassette indirizzi condividevano un'unica impronta, DNA 3076742860d3, ovvero un solo strumento o un solo operatore che ruota gli IP e lo chiama diversità. Uno scanner ha sparato venti richieste in circa 1,4 secondi cercando //xmlrpc.php e wlwmanifest.xml, tre indirizzi hanno provato CVE-2015-2051 contro /hnap1 come se gli anni trascorsi non fossero passati, e la corrispondenza più sicura del sensore nella giornata è stata Mirai o una variante al 48 per cento. I log grezzi non hanno mai lasciato il server. Solo i risultati.

65fonti ostili profilate

5.866richieste da esse inviate

32arrivate allo sfruttamento

7cluster a DNA condiviso

7.7/10ostilità massima

4.251indirizzi sul nostro perimetro

1.412visti per la prima volta oggi

109paesi

La lista WTF

WTF #1
Il visitatore più determinato
2a06:98c0:3600::103, uno scanner (ostilità 6.4/10), ha inviato 83 richieste a 3 dei nostri siti, cercando /wp-admin/install.php, /.git/config.
Perché è anomaloLa massima ostilità del quadro; la sua kill chain è arrivata alla weaponization.
attribution: sconosciutoThu 29 Oct, 03:00 UTC
Detail
```
kill chain: reconnaissance → weaponization · DNA c0f8c6b5a5ea
```
WTF #2
Stesso DNA, indirizzi diversi
185.191.171.15, un bot crawler (ostilità 0.4/10), ha inviato 96 richieste a 2 dei nostri siti, cercando /threat-check/PsExec.
Perché è anomalo17 IP condividono un'unica impronta comportamentale (DNA 3076742860d3): un solo strumento o un solo operatore che ruota gli indirizzi: 85.208.96.202, 185.191.171.5, 185.191.171.2, 85.208.96.196, 85.208.96.210 e altri.
attribution: sconosciutoThu 29 Oct, 03:00 UTC
Detail
```
kill chain: reconnaissance → exploitation · DNA 3076742860d3
```
WTF #3
Prove di CVE-2015-2051 contro di noi
3 indirizzi hanno inviato 4 richieste con la forma dello sfruttamento di CVE-2015-2051 (/hnap1), tra cui 218.13.149.41, 157.230.24.130, 172.234.162.56.
Perché è anomaloUn exploit noto e con un nome ancora spruzzato su Internet; il nostro perimetro lo ha visto oggi, qualunque cosa dicano le note di rilascio sull'anno.
attribution: sconosciuto
Detail
```
famiglia di sonde: dlink-hnap
```
WTF #4
La lista della spesa più strana
85.204.70.116, uno scanner (ostilità 6.3/10), ha inviato 20 richieste a uno dei nostri siti, cercando //wp-includes/wlwmanifest.xml, //xmlrpc.php, //blog/wp-includes/wlwmanifest.xml, //web/wp-includes/wlwmanifest.xml.
Perché è anomaloHa chiesto file che quasi nessun altro chiede: //wp-includes/wlwmanifest.xml, //xmlrpc.php, //blog/wp-includes/wlwmanifest.xml, //web/wp-includes/wlwmanifest.xml, //wordpress/wp-includes/wlwmanifest.xml.
attribution: sconosciutoThu 29 Oct, 03:00 UTC
Detail
```
kill chain: reconnaissance → weaponization · DNA dfef4501b216
```
WTF #5
Di fretta
82.102.18.126, uno scanner (ostilità 6.3/10), ha inviato 20 richieste a uno dei nostri siti, cercando //wp-includes/wlwmanifest.xml, //xmlrpc.php, //blog/wp-includes/wlwmanifest.xml, //web/wp-includes/wlwmanifest.xml.
Perché è anomaloHa sparato 20 richieste in circa 1,4 secondi.
attribution: sconosciutoThu 29 Oct, 03:00 UTC
Detail
```
kill chain: reconnaissance → weaponization · DNA dfef4501b216
```
WTF #6
Qualcuno che forse conosciamo
139.59.240.56, uno scanner (ostilità 5.8/10), ha inviato 24 richieste a 2 dei nostri siti, cercando //images/images/cache.php, //cgi-bin/cgi-bin/cgi-bin/cgi-bin/cache.php, //images/images/images/images/images/images/images/images/cache.php, //images/images/images/images/images/images/images/cache.php.
Perché è anomaloLa corrispondenza di campagna più sicura del sensore nella giornata: Mirai o variante (stirpe Omni/Gafgyt) al 48%.
attribution: Mirai o variante (stirpe Omni/Gafgyt) (migliore corrispondenza del sensore, 48%)Thu 29 Oct, 03:00 UTC
Detail
```
kill chain: reconnaissance → weaponization · DNA bccc30d19899
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

192claims, 7 days

38of 267 groups active

qilin39 this week · surging

N0n18 this week

Whitearmor15 this week · new

SurgingBooba Project — 10 claims in 7 days against 2.4 expected from its own prior rate (p < 0.001)
Surgingrhysida — 6 claims in 7 days against 1.3 expected from its own prior rate (p = 0.002)
Surgingqilin — 39 claims in 7 days against 25.4 expected from its own prior rate (p = 0.007)
Surgingeverest — 8 claims in 7 days against 2.8 expected from its own prior rate (p = 0.007)
SurgingFalcon — 3 claims in 7 days against 0.4 expected from its own prior rate (p = 0.007)
Surgingemperador — 10 claims in 7 days against 4.5 expected from its own prior rate (p = 0.017)

Gone quiet: lynx (61 days), AiLock (64 days), abyss (64 days), blackwater (66 days).

Sector pressure, 30 days

UpTransportation — 2.2× its own prior share (71 claims, 33 expected)
UpEducation — 1.9× its own prior share (51 claims, 26 expected)
UpEnergy & Utilities — 1.6× its own prior share (38 claims, 25 expected)
UpHealthcare — 1.4× its own prior share (114 claims, 81 expected)

22% of claims carry no sector label.

Brand churn

Of the 229 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 212 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 9 — newest: Whitearmor (2026-10-23, 15 claims), Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 34% of its claims on Germany (6.6× every other brand's share); N0n put 34% of its claims on Transportation (7.5× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: nightspire across 10.4 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 64% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 196 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 36% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Sul campo

Strumenti live gratuiti. Nessuna registrazione, nessun contatto commerciale.

§8

Colophon

Come è stata realizzata questa edizione, senza fronzoli.

L'edizione 32 è stata realizzata da una macchina e controllata dal codice. Ogni elemento pubblicato da 13 feed pubblici di minacce nelle 24 ore fino alle 05:05 UK (632 elementi) è stato letto per intero: statistiche calcolate dal codice, ogni porzione letta da Claude Sonnet, la struttura sintetizzata da Claude Opus. Claude Opus ha poi curato il giornale. Ogni articolo cita gli elementi su cui si fonda; gli articoli le cui ricevute non trovavano riscontro, o i cui numeri non figuravano nelle fonti, sono stati scartati prima della pubblicazione (0 oggi). Le previsioni vengono valutate pubblicamente nelle edizioni successive. «Dal nostro perimetro» sono dati di attacco in tempo reale dai nostri server. Costoo di questa edizione: 1,26 $. È scritto da una macchina con la voce di ScottG, autore di Everything Is Probably Fine, e nessuno l'ha rivisto a mano, il che è il punto o il problema.

632items read

24hour window

$1.26cost of this edition

05:05 UTCgenerated

Fonti di questa mattina

NVD191ok
RansomLook107ok
Security news100ok
infosec.exchange84ok
Signal Atlas42ok
atlas27ok
AlienVault OTX24ok
RSS21ok
ransomware.live21ok
signal:ioc-family8ok
CISA KEV4ok
signal:kev2ok
Ransomware tempo · Ninja Signal graph1ok

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

Un bug di Brotli, tre nomi e almeno un attaccante il cui exploit non funziona

La CISA ha aggiunto una vulnerabilità il cui unico impatto è che non saprete nulla

GMO ha detto a 26.739 server di spegnersi, ha rifiutato 8 miliardi di yen e ora paga per avere dei nomi

L'interruzione ospedaliera è arrivata sui feed diciassette ore prima del comunicato

The Gentlemen non conducono una campagna di attacco, gestiscono un calendario editoriale

I modelli sono ora su entrambi i lati dello scontro, e qualcuno attacca i robot d'attacco

Una buona settimana per l'altra parte del registro, che dobbiamo annotare prima di dimenticarcene

Keystone sta distruggendo 18.835 wallet hardware perché ciò che ne dimostra l'autenticità ha smesso di dimostrarla

Il rispecchiamento non è corroborazione

Sei plugin di pagamento WooCommerce, un'identica falla

La disputa sull'ambito di EDK II è irrisolta

OTX ha preceduto il KEV su un CVE di PHP2Shell

Quattro fonti si sono fermate nello stesso minuto, che è un confine del feed, non un cessate il fuoco

Today’s calls

Scorecard

Glossario dei termini con cui ci si aspetta che tu annuisca

La lista WTF

Il visitatore più determinato

Stesso DNA, indirizzi diversi

Prove di CVE-2015-2051 contro di noi

La lista della spesa più strana

Di fretta

Qualcuno che forse conosciamo

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

Fonti di questa mattina