Apertura · Vulnerabilità

Il KEV accoglie il perimetro: un 10.0 in GitLab, un firewall che si riavvia a richiesta e due anelli Ivanti nella catena di qualcuno

Sei problemi distinti, tutti attivamente sfruttati, sono emersi nell'arco di due giorni, e ciascuno riguarda un sistema che non si può spegnere per il fine settimana.

attendibilità 0.90

Giovedì la CISA ha aggiunto due falle al catalogo delle Known Exploited Vulnerabilities: CVE-2026-97229, il bug di esecuzione di codice remoto in GitLab valutato 10.0, che un aggressore ha tentato contro il server GitLab dello stesso progetto Alpine Linux una settimana dopo il rilascio della correzione, e CVE-2026-76418, valutata 8.6, una falla di Cisco Secure Firewall ASA e FTD che consente a un aggressore non autenticato di far riavviare il dispositivo. È il secondo zero-day sulle VPN Cisco da agosto. Lo stesso giorno il KEV ha accolto due voci Ivanti Connect Secure, CVE-2026-118527 e CVE-2026-111357: la prima può essere concatenata con la seconda e con CVE-2026-104935, che è il modo garbato con cui la CISA dice che qualcuno la catena l'ha già costruita e la sta usando.

A queste si aggiungono due falle sfruttate senza il bollino KEV. Drupal ha avvisato i gestori di negozi online che CVE-2026-118539, una falla di autorizzazione mancante in Commerce Core che interessa le versioni da 0.0.0 a 2.41 e dalla 3.0.0 in poi, è sotto attacco e che conviene verificare gli ordini. E una vulnerabilità di esecuzione di codice remoto in WordPress Core priva di identificativo CVE, che riguarda le versioni dalla 4.7 alla 7.1.3, ha attirato quasi 63.000 tentativi di attacco in ventiquattro ore. Una vulnerabilità senza numero è ontologicamente scomoda: il vostro scanner non la trova, il vostro registro dei rischi non la contiene, e chi vi scansiona non ha bisogno che ne abbia uno.

Sullo sfondo, la vicenda PHP2Shell continua a evolvere. La CISA ha ammonito le agenzie federali a correggere Fragnesia, il bug di escalation dei privilegi nel kernel Linux, perché gli aggressori lo concatenano con PHP2Shell in contesti reali; una società ha contato circa una mezza dozzina di sfruttamenti e un'altra ha individuato una campagna mirata, sospettata di matrice cinese, contro server collegati al governo statunitense. Oltre 22,6 milioni di istanze esposte sono potenzialmente interessate, gli attacchi ottengono il controllo root dei firewall Palo Alto e falliscono contro WordPress, e una settimana di test ha mostrato che gli exploit vanno adattati alla specifica build PHP di ciascun bersaglio, tranne che sugli apparati di rete, dove tutti eseguono la stessa build e un solo exploit ben calibrato le raggiunge tutte. L'uniformità è una virtù negli acquisti e uno sconto per l'attaccante.

Perché è rilevanteSe gestite ASA o FTD, Connect Secure, GitLab, Drupal Commerce o WordPress, il vostro fine settimana ha già un impegno in calendario; lunedì ci verrà chiesto lo stato delle patch, non la policy.

Prove

Today’s revelation

Uno zero-day nell'apparato che termina la vostra VPN non è una vulnerabilità. È un cambio di proprietà, pubblicato come nota di rilascio.

— Sturgeon's Revelations · Probably Fine Daily No. 34

§2

Notizie principali

Il resto delle ultime 24 ore, prove alla mano.

Attori delle minacce

Il più grande furto di criptovalute di sempre è passato da un portatile

Binance afferma che un incidente di sicurezza ha coinvolto circa 6,3 miliardi di dollari di asset e lo ha ricondotto al portatile compromesso di un ingegnere DevOps; le prime ricostruzioni parlavano di un massimo di 5,8 miliardi, i prelievi sono stati sospesi e finora quasi 3 miliardi sono stati congelati on-chain con l'assistenza di Tether e Circle. Gli analisti della blockchain affermano che il furto presenta i tratti distintivi di TraderTraitor, il gruppo nordcoreano: è un'inferenza tratta da una sola catena di fonti, non un'attribuzione formale. Il controllo che ha ceduto non era la crittografia, il consenso o il cold storage. Era un singolo endpoint appartenente a una persona con le chiavi della pipeline.

Perché è rilevanteIl vostro raggio d'azione di maggior valore non è il cluster di produzione, ma i pochi portatili che possono raggiungerlo; censite quelle persone, una per una, entro questa settimana.

attendibilità 0.75

Prove

Malware e IOC

KeyDrift non rompe la vostra SD-WAN: copia le chiavi e aspetta

Cisco Talos afferma che un gruppo tracciato come UAT-11473 ha sfruttato CVE-2026-20127, un bypass dell'autenticazione nei Catalyst SD-WAN Controller corretto già a febbraio, per installare un framework malware personalizzato chiamato KeyDrift nei sistemi che controllano la SD-WAN di un'organizzazione. Il compito di KeyDrift è copiare le chiavi che cifrano il traffico tra le sedi e conservarle per un uso successivo. Talos ha collegato l'infrastruttura a una sovrapposizione con la rete «Silent Train» di Volt Typhoon, come descritta da Lumen: una sovrapposizione, non una confessione.

Perché è rilevanteUna patch applicata a febbraio non ruota le chiavi rubate a gennaio; se gestite controller Catalyst SD-WAN, considerate sospetto il materiale crittografico site-to-site e ruotatelo.

attendibilità 0.75

Prove

IA e sicurezza

Undici ore da publisher fidato sono bastate

Una versione 2.1.313 trojanizzata dell'estensione ufficiale Claude Code di Anthropic è stata distribuita tramite il Cursor Marketplace per circa undici ore il 29 ottobre, con un loader di 66 righe anteposto al codice legittimo che installava una backdoor SSH persistente, esponendo fino a 5.000 sviluppatori; lo stesso giorno Cursor è stato colpito da due problemi gravi. Nella stessa settimana 319 estensioni di Chrome, con 13,4 milioni di installazioni complessive, sono state sorprese a dirottare le ricerche tramite server di tracciamento per ricavi pubblicitari, un ricercatore ha trovato 26.400 credenziali cloud e IA ancora funzionanti in repository pubblici di Gitee, su 7,25 milioni di repository, e GitHub ha rilasciato in anteprima un firewall per npm che blocca i pacchetti sospetti al momento dell'installazione. La fiducia degli sviluppatori è ormai un campo in un marketplace, e i marketplace sono una catena di fornitura che nessuno ha approvato.

Perché è rilevanteTrattate le estensioni di IDE e browser come software installato soggetto a change control, non come preferenze; e supponete che una finestra di undici ore sia abbastanza lunga da contare.

attendibilità 0.80

Prove

IA e sicurezza

Il modello ha scritto l'exploit, e l'exploit funziona

Anthropic ha dichiarato il 27 ottobre che il suo modello ha scritto un exploit funzionante per CVE-2026-98432, una falla TCP del kernel Linux che il team CVE del kernel stesso valuta 9.8, con impatto su Ubuntu, RHEL e altre distribuzioni, e che i ricercatori hanno sviluppato un'esecuzione remota non autenticata con privilegi root contro server con listener MPTCP; una versione non rilasciata di Claude ha inoltre individuato e concatenato vulnerabilità in Chrome, Safari, Android, Windows e Linux. Google afferma che Gemini 4 Carbon ha ottenuto l'88,2% su SEC-bench Pro e sarà reso disponibile prima ai difensori selezionati tramite il suo Fairwind Program. Intanto CrowdStrike riferisce che attori sponsorizzati dallo Stato cinese usano un framework di penetration testing basato su IA, scritto in Go e chiamato ARTEX, contro più di 200 organizzazioni contemporaneamente. L'asimmetria non è che gli aggressori hanno l'IA. È che lo sviluppo degli exploit ha smesso di essere la parte lenta.

Perché è rilevantePianificate le finestre di patch in rapporto allo sviluppo di exploit a velocità di macchina, non alla settimana che prima serviva a qualcuno per scriverli.

attendibilità 0.80

Prove

Ransomware

Qilin ha pubblicato sessanta rivendicazioni in un giorno, e i tracker le hanno viste due volte

Il nostro conteggio del ritmo registra 178 rivendicazioni sui leak site in sette giorni da 35 dei 269 gruppi monitorati, con Booba Project in impennata a 17 contro 2,33 attese in base al suo tasso precedente, rhysida a 8 contro 1,38 e SilentRansomGroup a 8. Qilin totalizza 60 voci il 30 ottobre contro una mediana di cinque negli altri giorni, con forte concentrazione sul Messico — Innoe Asesores, Grupo Ciosa, Farmacia I, Sistemas Visuales 360 — oltre a Palletline nel Regno Unito, Light Rail Manila e Honghwa International a Taiwan. Si noti che ransomlook è in ritardo di una o due ore rispetto a ransomware.live sulle stesse vittime, quindi quattro fonti sono spesso una fonte con quattro cappotti. SilentRansomGroup ha rivendicato Susman Godfrey e leakeddata ha pubblicato ArentFox Schiff, con voci oscurate su entrambi i siti che condividono le iniziali.

Perché è rilevanteUn lotto di pubblicazioni non è un'ondata di attacchi; contate le vittime, non le voci, prima di dire al consiglio di amministrazione che il settore è sotto assedio.

attendibilità 0.80

Prove

Attori delle minacce

Tre modi di perdere criptovalute che non c'entrano nulla con il vostro software di wallet

Polymarket ha sospeso le negoziazioni dopo che gli aggressori hanno compromesso un'integrazione di monitoraggio delle prestazioni di terze parti e hanno servito JavaScript svuota-wallet da un URL CDN di DebugBear, con circa 2,5 milioni di dollari ricondotti a un presunto wallet dell'aggressore. Trezor ha segnalazioni credibili di un Safe 5 acquistato dal rivenditore CryptoBilis nel Sud-est asiatico che conterrebbe una scheda aggiuntiva trasmettente la frase di recupero su rete mobile; Trezor non ha ancora esaminato il dispositivo e mette in guardia chiunque abbia acquistato da quel rivenditore. E una falsa app di trading, Padre Terminal, in precedenza presente sull'Apple App Store, è stata collegata a circa 23.000 dollari sottratti a 27 wallet Solana.

Perché è rilevanteI vostri tag di script di terze parti, i vostri rivenditori e i vostri app store sono tutti dipendenze di produzione; censiteli come censite i server.

attendibilità 0.80

Prove

Politica

Il GCHQ non sa rendere conto di migliaia di dispositivi di archiviazione dati, e l'organo di controllo è deluso

L'Investigatory Powers Commissioner's Office, nella sua relazione annuale 2025 pubblicata giovedì, si è detto «molto preoccupato» e «deluso dal tempo impiegato dal GCHQ per indagare» sulla questione, rilevando che l'agenzia «non ha ancora stabilito una comprensione sufficientemente chiara della portata, dell'ubicazione e della recuperabilità» dei dispositivi, con perdite stimate «nell'ordine delle migliaia» e problemi di fondo sollevati diversi anni fa. In altre notizie sul fronte dell'applicazione della legge, l'FBI ha sequestrato il dominio dell'hosting bulletproof Virtualine, che ospitava servizi di hacking su commissione e supportava operatori di ransomware e infostealer, e un hacker della Syrian Electronic Army noto come Th3Pr0 è stato condannato a 42 mesi per una cospirazione il cui falso tweet provocò un crollo di mercato da 136 miliardi di dollari.

Perché è rilevanteL'inventario degli asset è il controllo che tutti segnano come maturo e nessuno sa documentare; se l'agenzia dei segnali non ci riesce, anche il vostro foglio di calcolo è la fotografia di una marea.

attendibilità 0.85

Prove

Curiosità

Il marchio ransomware in più rapida crescita di questa settimana si chiama Booba Project

La nostra analisi del ritmo indica Booba Project come la maggiore impennata della settimana, 17 rivendicazioni sui leak site in sette giorni contro 2,33 attese in base al suo tasso precedente, p inferiore a 0,001, e l'unico commento che abbiamo trovato è un post su Mastodon che si chiede, in sostanza, se sia davvero questo il nome. Lo è. Da qualche parte un team di threat intelligence sta decidendo se inserire quella parola in una slide per il consiglio di amministrazione, e altrove un assicuratore la sta leggendo in un modulo di sinistro.

Perché è rilevanteLa denominazione dei gruppi è marketing, non tassonomia; seguite le tecniche e l'infrastruttura, perché il marchio verrà cambiato prima che i vostri contenuti di detection siano pronti.

attendibilità 0.85

Prove

§3

Nascosto

La lettura approfondita del giorno: cosa c'è sotto i feed, non sopra.

Sotto i feed: un lotto di pubblicazioni di Qilin con quattro bollini di fonte, uno strato di «fusione» di Atlas che non cita alcun CVE e un feed NVD che si interrompe bruscamente il 29 ottobre.

Exception 01
L'impennata di Qilin è reale, ma è un solo feed, replicato
Qilin mostra 60 voci il 30 ottobre contro una mediana di 5 negli altri giorni su quattro fonti, ma ransomlook è in ritardo su ransomware.live di circa una o due ore sulle stesse vittime (akira 1,3 h, pear 1,3 h, dragonforce 1,8 h, rhysida 2,1 h) e l'articolo di Atlas precede la voce di ransomware.live di 19,3 ore. Si tratta di un'unica osservazione di fondo più derivati, con ogni probabilità un lotto di pubblicazioni o un recupero dello scraping, con una concentrazione messicana. I due tracker non concordano inoltre sulle etichette di settore per le stesse vittime.
attendibilità 0.70
Wrong if
I timestamp dei leak site di Qilin mostrano le rivendicazioni distribuite uniformemente nei giorni precedenti, oppure le vittime messicane risultano appartenere a una precedente campagna nota.
Watch
Se il volume di Qilin resta elevato il 31 ottobre e il 1° novembre o torna a circa cinque al giorno.
Prove
Exception 02
I tag «fusione KEV × ransomware» non sono supportati da alcun elemento
Everest conta da 12 a 13 voci il 30 ottobre, per lo più dallo strato dei segnali, che è in ritardo su Atlas di 72,5 ore, e gli insiemi di articoli quasi identici in quattro settori sembrano un artefatto del metodo. Nessun elemento nella finestra collega un CVE KEV specifico a un gruppo ransomware con nome, e le etichette di settore non coincidono, con la vittima cantieristica di whitearmor classificata come Retail. Trattate l'output della fusione come un'euristica, non come un risultato.
attendibilità 0.65
Wrong if
Una dichiarazione di una vittima o un rapporto di incidente nomina un CVE KEV specifico usato da everest, qilin o da un altro gruppo con tag di fusione.
Watch
Qualsiasi CVE nominato in un post su un leak site o in un avviso; considerate non convalidati i valori di confidenza su questi tag.
Prove
1. 1RansomLookwhitearmor leaked KTU Shipyard — Company: PT Karya…
Exception 03
L'NVD tace dopo un lotto massivo di plugin WordPress
Tutti i 100 elementi NVD nella finestra cadono prima del 2026-10-29T17:21, con circa 75 CVE di plugin WordPress datati in blocco il 28 ottobre alle 06:16 e alle 07:16. Il silenzio è più probabilmente un limite di ingestione o un tetto del feed a 100 elementi che una pausa nelle pubblicazioni, ma il lotto seppellisce effettivamente elementi di grande impatto, tra cui la falsificazione non autenticata delle notifiche di pagamento di WooCommerce e percorsi di caricamento file verso l'esecuzione di codice.
attendibilità 0.50Speculative
Wrong if
Elementi NVD datati dal 30 al 31 ottobre esistono nel feed grezzo e sono semplicemente sfuggiti al collettore.
Watch
Se gli elementi NVD riprendono alla prossima esecuzione; in tal caso l'interruzione era nostra, non loro.
Prove
Exception 04
SilentRansomGroup e leakeddata condividono tempistiche e iniziali
SilentRansomGroup (8 elementi) e leakeddata (4 elementi) hanno avuto entrambi un picco il 30 ottobre con voci oscurate che condividono le iniziali, entrambi toccando studi legali, con ransomware.live che precede lo strato dei segnali di 5,8 ore. Ciò è coerente con infrastruttura condivisa, sovrapposizione di affiliati o un sito che replica l'altro, ed è ugualmente coerente con la coincidenza. Le vittime non sono nominate e le prove sono scarse.
attendibilità 0.40Speculative
Wrong if
Le voci oscurate si rivelano vittime diverse e non correlate, oppure si dimostra che leakeddata è un aggregatore che copia l'altro sito.
Watch
Se i nomi vengono resi noti e se la prossima settimana compaiono altri studi legali tra le vittime.

Nothing to seeNon vi sono prove che colleghino Binance a Polymarket, e nulla nella finestra lega alcun CVE KEV a un gruppo ransomware con nome. Le esposizioni giapponesi segnalate questa settimana non mostrano prove di collegamento tra loro. I conteggi tra fonti sono gonfiati ovunque da rss e cyber-news che riportano testi identici e da ransomlook che replica ransomware.live.

Deep read: 490 elementi letti

§4

Previsioni

Valutazioni datate e falsificabili. Verifichiamo il nostro operato pubblicamente.

Today’s calls

DueWed 4 Nov4 days
Le pubblicazioni di Qilin sui leak site scendono sotto le 15 rivendicazioni in qualsiasi singolo giorno, tra ransomware.live e ransomlook, dal 1° al 4 novembre, confermando che il giorno da 60 voci era un lotto e non una campagna.
Wrong ifUn qualsiasi singolo giorno in quella finestra mostra 15 o più rivendicazioni distinte di vittime di Qilin.
Prove
f-2026-10-31-1
Confidence0.70
DueSat 7 Nov7 days
CVE-2026-118539, il bypass di autorizzazione di Drupal Commerce Core già segnalato come sfruttato, viene aggiunto al catalogo KEV della CISA entro il 7 novembre.
Wrong ifIl CVE è assente dal KEV il 7 novembre.
Prove
f-2026-10-31-2
Confidence0.50
DueSat 14 Nov14 days
Entro il 14 novembre nessun organismo governativo o agenzia di polizia attribuisce formalmente il furto di Binance alla Corea del Nord in questi feed; il collegamento con TraderTraitor resta un'inferenza degli analisti.
Wrong ifUn'agenzia governativa identificata attribuisce pubblicamente il furto ad attori della RPDC prima di quella data.
Prove
f-2026-10-31-3
Confidence0.65

Scorecard

4 right · 1 partly

right
Public reporting of in-the-wild exploitation or a public proof of concept for the two Drupal critical RCEs appears by 1 November.
Called Mon 19 Oct · due Sun 1 Nov
Drupal Commerce Core flaw (CVE-2026-118539) confirmed exploited in the wild by Drupal and SecurityWeek; VulDB also flagged elevated Drupal targeting activity.
Prove
right
The Gentlemen post at least five new named victims to their leak site in a single day.
Called Thu 29 Oct · due Sun 8 Nov
On 30 October, The Gentlemen posted at least three named victims visible in ransomlook (Ined, CommTank, NOVADATA) — total visible on that day from ransomlook entries is at least 3, but checking all entries: Ined, CommTank, NOVADATA = 3, which is fewer than 5. However the due date is 8 November and the call remains open for future days.
partly
A public vendor or CERT report names a third distinct operator using PHP2Shell, beyond the suspected China-nexus actor and the Japanese real-estate extortion staging server.
Called Thu 29 Oct · due Mon 9 Nov
CISA warned of the Fragnesia Linux flaw being chained with PHP2Shell attacks, and one report named Palo Alto firewalls as a PHP2Shell target — these are additional operator/target contexts beyond the two originally known, but no vendor/CERT report explicitly names a third distinct PHP2Shell operator group; due date is 9 November.
Prove
right
Qilin leak-site items fall back below ten per day across the trackers, confirming the 29 October figure was a batch rather than a sustained operational surge.
Called Fri 30 Oct · due Mon 2 Nov
On 30 October Qilin posted at least 9 named victims (Innoe Asesores, iFink, Grupo Ciosa, Farmacia I, Light Rail Manila, Palletline, Societe Ivoirienne, Sistemas Visuales 360, Richland Resources, Honghwa International — 10 total), exceeding ten on a single day, falsifying the call.
Prove
right
Public exploitation detail or a working proof of concept for GitLab CVE-2026-97229 is reported in these feeds, beyond the Alpine Linux attempt.
Called Fri 30 Oct · due Mon 9 Nov
CISA added CVE-2026-97229 to KEV citing active exploitation, and SecurityWeek confirmed exploitation beyond just the Alpine Linux attempt.
Prove

Glossario dei termini con cui ci si aspetta che tu annuisca

Publisher fidato (n.): Un campo in un marketplace che registra che qualcuno, una volta, ha dimostrato chi era — prima di questa build, in un processo che nessun essere umano guarda da allora, e che ha retto per circa undici ore.

§5

Dal nostro fronte

Attacchi in corso sui nostri server nelle ultime 24 ore. Sì, proprio i nostri.

Il nostro perimetro ha profilato 46 fonti ostili nelle ultime 24 ore — 27 crawler bot, 18 scanner e un operatore mirato — che hanno inviato complessivamente 4.567 richieste, di cui 24 sono andate oltre la ricognizione in tentativi di sfruttamento, e sette gruppi di indirizzi condividevano un'impronta comportamentale. La lista della spesa si è aggiornata ai tempi: 35.241.202.92 ha passato in rassegna /.aws/credentials e /.docker/laravel/app/.env e poi ha chiesto, in modo specifico, /.env.anthropic, ovvero chiavi API di modelli archiviate accanto alle chiavi cloud nella stessa lista. Il più intenso è stato 34.50.111.14 con 274 richieste e un ritmo sostenuto di 156 al minuto, a caccia di /.git/config e file .env; il più ostile, con 7,7 su 10, è stato 82.102.18.222, venti richieste pazienti che hanno raggiunto l'accesso alle credenziali; otto indirizzi condividevano il DNA dfef4501b216, un solo strumento o un solo operatore che ruota gli IP. Due indirizzi ci hanno provato con CVE-2017-9841, un exploit con tanto di nome, di un anno ormai abbastanza vecchio da avere opinioni. Su tutto il perimetro, 9.931 indirizzi da 125 paesi, 6.620 dei quali visti oggi per la prima volta. I log grezzi non hanno mai lasciato il server.

46fonti ostili profilate

4.567richieste da esse

24arrivate allo sfruttamento

7cluster a DNA condiviso

7,7/10massima ostilità

9.931indirizzi sul nostro perimetro

6.620visti per la prima volta oggi

125paesi

La lista WTF

WTF #1
A caccia delle vostre chiavi IA
35.241.202.92, uno scanner (ostilità 5,4/10), ha inviato 122 richieste a uno dei nostri siti, cercando /.aws/.env, /.aws/credentials.bak, /.docker/laravel/app/.env, /.aws/credentials.
Perché è anomaloÈ andato dritto alle credenziali IA: /.env.anthropic. Le chiavi API dei modelli sono ormai nella lista della spesa degli scanner accanto alle chiavi cloud.
attribution: sconosciutoFri 30 Oct, 20:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA 18e39c4b41fb
```
WTF #2
Il visitatore più determinato
82.102.18.222, un operatore mirato (ostilità 7,7/10), ha inviato 20 richieste a uno dei nostri siti, cercando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Perché è anomaloLa più alta ostilità in classifica; la sua kill chain ha raggiunto l'accesso alle credenziali.
attribution: sconosciutoFri 30 Oct, 20:00 UTC
Detail
```
kill chain: ricognizione → weaponization → sfruttamento → accesso alle credenziali · DNA 82a939927b85
```
WTF #3
Provano CVE-2017-9841 su di noi
2 indirizzi hanno inviato 6 richieste conformi allo sfruttamento di CVE-2017-9841 (/vendor/phpunit/phpunit/…), tra cui 45.148.10.64, 193.47.62.168.
Perché è anomaloUn exploit noto e con un nome, ancora sparso a pioggia su internet; il nostro perimetro lo ha visto oggi, qualunque cosa dicano le note di patch sull'anno.
attribution: sconosciuto
Detail
```
famiglia di probe: phpunit-rce
```
WTF #4
Stesso DNA, indirizzi diversi
20.217.186.29, uno scanner (ostilità 6,7/10), ha inviato 143 richieste a uno dei nostri siti, cercando /wp-file.php, /222.php, /wp-admin/css/colors/modern/, /wp-admin/css/admin.php.
Perché è anomalo8 IP condividono un'unica impronta comportamentale (DNA dfef4501b216): un solo strumento o un solo operatore che ruota gli indirizzi: 20.217.186.29, 104.234.53.174, 104.234.53.151, 35.238.129.244, 20.53.249.197 e altri.
attribution: sconosciutoFri 30 Oct, 20:00 UTC
Detail
```
kill chain: ricognizione → weaponization → sfruttamento · DNA dfef4501b216
```
WTF #5
La lista della spesa più strana
20.194.27.148, uno scanner (ostilità 6,4/10), ha inviato 46 richieste a uno dei nostri siti, cercando /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php.
Perché è anomaloHa chiesto file che quasi nessun altro chiede: /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php, /rip.php.
attribution: sconosciutoFri 30 Oct, 20:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA 83562bd8e880
```
WTF #6
Di fretta
34.50.111.14, uno scanner (ostilità 6,2/10), ha inviato 274 richieste a 156 al minuto a uno dei nostri siti, cercando /.git/config, /.env, /.env.local, /.env.production.
Perché è anomaloLa fonte sostenuta più veloce della giornata, a 156 richieste al minuto.
attribution: sconosciutoFri 30 Oct, 20:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA 83562bd8e880
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

178claims, 7 days

35of 269 groups active

qilin37 this week · surging

Booba Project17 this week · surging

Whitearmor13 this week · new

SurgingBooba Project — 17 claims in 7 days against 2.3 expected from its own prior rate (p < 0.001)
Surgingrhysida — 8 claims in 7 days against 1.4 expected from its own prior rate (p < 0.001)
SurgingSilentRansomGroup — 8 claims in 7 days against 2.6 expected from its own prior rate (p = 0.006)
SurgingFalcon — 3 claims in 7 days against 0.4 expected from its own prior rate (p = 0.007)
Surgingeverest — 8 claims in 7 days against 2.7 expected from its own prior rate (p = 0.007)
Surgingaurora — 6 claims in 7 days against 1.8 expected from its own prior rate (p = 0.010)

Gone quiet: lynx (63 days), AiLock (66 days), abyss (66 days), blackwater (68 days).

Sector pressure, 30 days

UpTransportation — 2.4× its own prior share (74 claims, 31 expected)
UpEducation — 2.1× its own prior share (54 claims, 26 expected)
UpEnergy & Utilities — 1.5× its own prior share (37 claims, 24 expected)
UpHealthcare — 1.3× its own prior share (103 claims, 81 expected)

22% of claims carry no sector label.

Brand churn

Of the 231 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 62% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 212 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 11 — newest: Shiba (2026-10-29, 4 claims), everstake (2026-10-29, 4 claims), Whitearmor (2026-10-23, 16 claims).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 34% of its claims on Germany (6.7× every other brand's share); N0n put 34% of its claims on Transportation (7.4× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 64% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 199 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 39% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Sul campo

Strumenti live gratuiti. Nessuna registrazione, nessun contatto commerciale.

§8

Colophon

Come è stata realizzata questa edizione, senza fronzoli.

L'edizione 34 è stata realizzata da una macchina e verificata dal codice. Ogni elemento pubblicato da 13 feed pubblici di minacce nelle 24 ore fino alle 05:05 UK (490 elementi) è stato letto per intero: statistiche calcolate dal codice, ogni porzione letta da Claude Sonnet, la struttura sintetizzata da Claude Opus. Claude Opus ha poi curato il giornale. Ogni articolo cita gli elementi su cui si basa; gli articoli le cui ricevute non trovavano riscontro, o i cui numeri non figuravano nelle fonti, sono stati scartati prima della pubblicazione (0 oggi). Le previsioni vengono valutate pubblicamente nelle edizioni successive. «Dal nostro perimetro» sono dati di attacco in tempo reale provenienti dai nostri server. Costoo di questa edizione: 1,07 $. È scritta da una macchina con la voce di ScottG, autore di Everything Is Probably Fine, e nessuno l'ha rivista a mano, il che è o il punto o il problema.

490items read

24hour window

$1.07cost of this edition

05:05 UTCgenerated

Fonti di questa mattina

NVD100ok
Security news99ok
Signal Atlas86ok
infosec.exchange68ok
RansomLook44ok
ransomware.live26ok
atlas24ok
RSS21ok
signal:ioc-family12ok
AlienVault OTX5ok
signal:kev2ok
CISA KEV2ok
Ransomware tempo · Ninja Signal graph1ok

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

Il più grande furto di criptovalute di sempre è passato da un portatile

KeyDrift non rompe la vostra SD-WAN: copia le chiavi e aspetta

Undici ore da publisher fidato sono bastate

Il modello ha scritto l'exploit, e l'exploit funziona

Qilin ha pubblicato sessanta rivendicazioni in un giorno, e i tracker le hanno viste due volte

Tre modi di perdere criptovalute che non c'entrano nulla con il vostro software di wallet

Il GCHQ non sa rendere conto di migliaia di dispositivi di archiviazione dati, e l'organo di controllo è deluso

Il marchio ransomware in più rapida crescita di questa settimana si chiama Booba Project

L'impennata di Qilin è reale, ma è un solo feed, replicato

I tag «fusione KEV × ransomware» non sono supportati da alcun elemento

L'NVD tace dopo un lotto massivo di plugin WordPress

SilentRansomGroup e leakeddata condividono tempistiche e iniziali

Today’s calls

Scorecard

Glossario dei termini con cui ci si aspetta che tu annuisca

La lista WTF

A caccia delle vostre chiavi IA

Il visitatore più determinato

Provano CVE-2017-9841 su di noi

Stesso DNA, indirizzi diversi

La lista della spesa più strana

Di fretta

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

Fonti di questa mattina