Un rapporto quotidiano sul campo su cose che probabilmente vanno bene
No. 36·Lunedì 2 Novembre 2026·Pubblicato alle 06:00 UK·Indicatore Fine 3/5: Non va bene, ma è sopravvivibile
Apertura · Vulnerabilità
La CISA inserisce due falle di Ivanti nel catalogo. Per l'attacco ne servono tre
Venerdì la CISA ha aggiunto due falle di Ivanti Connect Secure al catalogo delle Known Exploited Vulnerabilities, dopo lo sfruttamento attivo. L'intrusione segnalata, però, ne concatena tre per ottenere accesso root non autenticato.
attendibilità0.92
Venerdì la Cybersecurity and Infrastructure Security Agency ha aggiunto due vulnerabilità di Ivanti Connect Secure al proprio catalogo KEV, dopo che ne è stato rilevato lo sfruttamento in the wild. Una di esse è CVE-2026-111357. Secondo le segnalazioni, gli aggressori concatenano tre falle del prodotto per ottenere accesso root non autenticato sull'appliance che i vostri lavoratori da remoto usano per essere, in senso architetturale, dentro la rete.
Due è una voce di catalogo. Tre è un risultato. Lo scarto tra questi numeri è il luogo in cui vive tutto il nostro settore: l'elenco KEV registra i bug di cui è stato osservato l'uso, non descrive ciò che con essi si sta facendo, e una catena non è la somma dei suoi anelli, è il percorso più breve attraverso di essi. Si possono correggere due falle e godersi il tepore di un ticket chiuso mentre il percorso resta aperto: il tipo di aritmetica che un modello di maturità è progettato appositamente per non notare.
È stata aggiunta di venerdì, perché è sempre venerdì. Da qualche parte un team che aveva pianificato un fine settimana tranquillo sta leggendo le note di rilascio di un'appliance che termina ogni sessione dell'edificio, e la versione onesta del loro aggiornamento di stato non è «corretto» ma «corretto, e ora leggo i log all'indietro con un brutto presentimento». La domanda giusta, stamattina, non è se avete applicato l'aggiornamento. È se il root fosse già lì quando l'avete fatto.
Perché è rilevanteSe utilizzate Ivanti Connect Secure, l'applicazione della patch è il minimo indispensabile: presumete un root precedente alla patch e cercate nei log di autenticazione e di sessione, perché un dispositivo che termina ogni sessione remota è anche il posto migliore da cui osservarle.
Una catena di vulnerabilità non è fatta di tre bug. È un solo bug che ha impiegato tre cicli di rilascio per finire di assemblarsi, e il fornitore ne ha consegnato ogni parte.
— Sturgeon's Revelations · Probably Fine Daily No. 36
Ogni mattina06:00 UK
Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.
Un'email al giorno. L'intero giornale. Disdici con un clic.
§2
Notizie principali
Il resto delle ultime 24 ore, prove alla mano.
Ransomware
Qilin ha pubblicato dieci vittime di domenica senza fare una piega
Tra le 00:39 e le 17:33 del 1° novembre, Qilin ha rivendicato dieci organizzazioni con nome e cognome: società di servizi professionali e di vendita al dettaglio in Germania, una società di consulenza in Austria, un'officina ungherese di riparazione di veicoli ferroviari (BKV Vasúti Járműjavító Kft), un produttore giapponese (Shibata Co., Ltd.), due società statunitensi di servizi professionali, una holding di trasporto merci e logistica e fzmb GmbH, un centro tedesco di ricerca in tecnologia medica e biotecnologie. Le rivendicazioni sono state replicate su un secondo tracker nel giro di poche ore, e il livello di modellazione ha prontamente segnalato Qilin in escalation in Manifattura, Trasporti, Servizi professionali, Commercio al dettaglio e Sanità, con una nota di lieve raffreddamento per Governo e Istruzione entro mezzanotte. La nostra lettura approfondita conta 45 elementi su Qilin l'11-01 contro una mediana di otto negli altri giorni, anche se parte di quel volume è lo stesso evento che arriva quattro volte da quattro fonti.
Perché è rilevanteIngegneria dei trasporti, ricerca medtech e servizi professionali di fascia media nell'area DACH vengono colpiti a lotti; se vi riguarda, la questione è il movimento laterale da una rete di backup o di gestione, non se siate abbastanza grandi da risultare interessanti.
L'FBI dà un nome al più grande furto di criptovalute mai registrato, e il nome ne ha altri cinque
L'FBI, insieme a partner statunitensi, ha attribuito formalmente il furto di oltre 6 miliardi di dollari in asset virtuali da Binance a TraderTraitor, un gruppo allineato alla Corea del Nord noto anche come Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces e UNC4899; un resoconto indica la cifra di 6,43 miliardi di dollari, un altro di 6,3 miliardi, ed entrambi lo descrivono come il più grande furto di criptovalute mai registrato. L'attribuzione è comparsa prima nelle cyber-news, è arrivata ai principali feed di sicurezza circa 12,9 ore dopo e solo allora è apparsa come nodo di attore delle minacce nel livello dei segnali, circa 22 ore dopo la notizia: il database degli attori è a valle del giornalismo, non al suo fianco.
Perché è rilevanteL'attribuzione non è un recupero e non è un controllo; se detenete o intermediate asset digitali, il fatto operativamente utile è che il gruppo che ha stabilito il record è lo stesso che il vostro modello delle minacce archivia sotto sei etichette diverse.
Le macchine sono ormai sia l'intrusione sia la burocrazia
Chainalysis ha divulgato una violazione che attribuisce a «tecniche agentiche offensive», con esposizione di nomi dei clienti, indirizzi email, ID utente e ruoli organizzativi; il framework open source di hacking basato su IA ARTEX si è diffuso a un altro gruppo legato alla Cina ed è collegato a campagne sia di spionaggio sia a scopo finanziario; e i ricercatori di Parameter hanno mostrato che un link di condivisione ChatGPT malevolo poteva eseguire il codice di un attaccante nella sessione di chiunque lo aprisse e leggerne le conversazioni private, come segnalato tramite il programma di bug bounty di OpenAI. Sul versante opposto, i report di vulnerabilità generati dall'IA stanno ormai sommergendo alcuni programmi di bug bounty, rendendo più difficile per i nuovi ricercatori trovare un punto d'appoggio, e Anthropic ha pubblicato una nota che indaga su tre incidenti nelle proprie valutazioni di cybersicurezza.
Perché è rilevanteTrattate un link a una conversazione IA condivisa come contenuto eseguibile e le chiavi API di un fornitore di IA come credenziali di produzione, perché oggi entrambe le assunzioni sono portanti da qualche parte nel vostro patrimonio informatico.
Quattro dieci prima di colazione, e il consiglio di un fornitore è «comprate un altro dispositivo»
LXD e MicroCloud di Canonical presentano una falla con CVSS 10.0 che consente a un attaccante di autenticarsi come client attendibile senza possedere la chiave privata di quel client, richiedendo solo raggiungibilità di rete verso l'API HTTPS e il certificato pubblico del client attendibile. Il WN536AX6-A di WAVLINK presenta CVE-2026-120279, una command injection OS remota con CVSS 10 tramite il gestore openvpn_cli con exploit pubblico, e il Linksys E8450 ha appena incassato il suo secondo CVSS 10.0 nello stesso file CGI a sedici mesi di distanza: CVE-2026-120283, un overflow di strcpy non autenticato in portal.cgi tramite hidden_timezone, senza alcuna patch indicata e con la rimedio dichiarato da VulDB consistente nel sostituire il dispositivo. Sotto questi, ClickHouse Server ha un problema di esecuzione di codice remota non autenticata (CVE-2026-116366), Teltonika RUTOS e TSWOS consentono a chiamanti non autenticati di invocare direttamente funzioni LUA e raggiungere comandi del sistema operativo (CVE-2026-82104), e l'Intelligent Connection Center di Dahua ha una RCE non autenticata (CVE-2025-31704). Nessun elemento collega ancora alcuna di esse a un attore con nome.
Perché è rilevanteSi tratta in tutti i casi di percorsi pre-autenticazione verso componenti che stanno al perimetro o sotto il livello di orchestrazione; partite dall'inventario, perché la risposta per il Linksys è l'acquisto, non la patch.
KeyDrift sta sul controller e legge le chiavi prima che le ottenga il tunnel
KeyDrift è un malware che prende di mira controller Cisco SD-WAN compromessi tramite CVE-2026-20127, intercettando le chiavi IPsec e assumendo il controllo del traffico di rete; l'unico legame con Volt Typhoon nel feed di oggi è un hashtag sul post che lo riporta, il che non costituisce attribuzione. Separatamente, Kaspersky ha descritto NetamLoader, una catena di iniezione .NET AppDomainManager contro una build personalizzata di Windows 10 usata esclusivamente da enti governativi in Asia, in cui un file .config malevolo viene collocato accanto a componenti legittimi di Patch My PC in SoftwareDistribution\Download, probabilmente tramite una compromissione della supply chain, senza alcuna attribuzione. Il livello degli indicatori ha intanto registrato 179 nuovi indicatori per Mirai, 158 per SalatStealer, 140 per Mozi, 21 per RustyStealer e 17 per SilentNet, senza una base di riferimento in questa finestra per dire se qualcosa di tutto ciò sia anomalo.
Perché è rilevanteSe i vostri tunnel terminano su un controller SD-WAN, quel controller è un custode di chiavi e va monitorato come tale; e un loader che vive accanto a un agente di patch legittimo supererà qualsiasi controllo a vista.
Il JavaScript di qualcun altro ha venduto la posizione di un trader
Il 29 ottobre un codice malevolo sul sito del mercato predittivo Polymarket ha venduto le posizioni di alcuni trader autenticati e ha spostato i fondi agli attaccanti; il codice aveva sostituito uno script di velocità della pagina che il sito caricava da un'azienda esterna, DebugBear, e Polymarket dichiara che rimborserà circa 2,7 milioni di dollari. Nella stessa finestra, la piattaforma di hosting cloud Northflank ha chiesto ai clienti di ruotare tutte le credenziali e i segreti dopo una violazione che ha portato a un uso non autorizzato delle loro chiavi API di IA, e Alpine Linux ha ricostruito il proprio server GitLab e reimpostato tutte le password dopo tentativi di sfruttamento di una vulnerabilità critica di GitLab il 20–21 ottobre.
Perché è rilevanteOgni script di terze parti su una pagina autenticata gira con i privilegi dei vostri utenti; fate l'inventario di che cosa caricano le vostre pagine e da chi, e fate della rotazione delle chiavi una cosa che avete esercitato, non una cosa di cui leggerete.
Quarantuno gruppi, 240 rivendicazioni, e i nuovi arrivati sono quelli da osservare
Il ritmo del ransomware su sette giorni mostra 240 rivendicazioni sui siti di leak pubblicate da 41 dei 269 gruppi monitorati, con tre picchi statisticamente significativi: Booba Project a 17 rivendicazioni contro 2,29 attese in base al proprio tasso precedente, thegentlemen a 50 contro 24,97 e SilentRansomGroup a 11 (tutti con p < 0,001). Whitearmor, intanto, ha rivendicato un'istanza AmplifAI appartenente a GoDaddy e ha pubblicato accanto ad essa l'URL SSO di Okta, l'ID dell'app Okta e i dettagli della federazione Office 365, ed è stato segnalato in escalation in Tecnologia e negli Stati Uniti circa 9,9 ore dopo. Altrove sulle bacheche, byod ha rivendicato i dati personali completi di 1,03 milioni di studenti attuali ed ex della Michigan State University e Xyrsober ha rivendicato una copia 2026 del registro anagrafico RENIEC del Perù con circa 31 milioni di record; entrambe restano, a questo punto, rivendicazioni non verificate.
Perché è rilevanteIl sedici per cento dei gruppi monitorati ha fatto tutte le pubblicazioni della settimana, quindi una lista di sorveglianza corta vale più di una lunga — e se una rivendicazione di intrusione arriva con gli ID applicativi del vostro identity provider allegati, partite dalla federazione, non dall'endpoint.
La colonnina di ricarica con la password stampata sulla colonnina di ricarica
Le colonnine di ricarica Delta UFC500 ricavano la password predefinita dell'account Service da posizioni di caratteri del numero di serie del dispositivo, così un attaccante non autenticato con accesso alla rete adiacente può ricostruirla o semplicemente esaurire lo spazio delle chiavi (CVE-2026-22105). Il database dei template della WebUI fornito conserva inoltre in chiaro le impostazioni predefinite di fabbrica per tutti e cinque i tipi di account, identiche tra i dispositivi e invariate sull'unità testata (CVE-2026-22109); il server web non verifica alcuna autenticazione su POST o PUT, consentendo un riavvio non autenticato e, forzando con la forza bruta il configid, l'impostazione della password di servizio e poi di qualsiasi altra impostazione (CVE-2026-22110); e l'autenticazione HTTP basic non impone alcun limite di tentativi né backoff, il che, osserva l'advisory, rende esauribile lo spazio delle chiavi (CVE-2026-22114). Separatamente, e lo citiamo solo perché lo ha fatto il feed, un utente di Mastodon ha annunciato di aver realizzato in vibe coding un'implementazione di sshd in Rust e ha chiesto se dovesse distribuirla in produzione oggi stesso.
Perché è rilevanteTrattate l'infrastruttura di ricarica dei veicoli elettrici come una rete di gestione non autenticata con un'auto attaccata, e tenetela lontana da qualsiasi cosa che conti.
La lettura approfondita del giorno: cosa c'è sotto i feed, non sopra.
Sotto i feed, la maggior parte del volume di oggi è tempistica di pubblicazione e output di modelli che indossano il costume dell'attività degli attaccanti.
Exception 01
L'ondata di Qilin è reale ma gonfiata dalle repliche
Gli elementi su Qilin salgono a 45 il 1° novembre contro una mediana di otto negli altri giorni, ed è l'unica entità presente in quattro fonti distinte. Dieci rivendicazioni distinte di vittime in DE, AT, HU, JP e US sono state pubblicate nel giro di circa diciassette ore e replicate su un secondo tracker circa 11,8 ore dopo il primo, con storie di escalation modellate sovrapposte. Il ritmo operativo è elevato; il conteggio degli elementi lo sopravvaluta.
attendibilità0.70
Wrong if
L'ondata si rivela costituita in gran parte da elementi di segnale modellato, con poche pubblicazioni distinte sul sito di leak l'11-01.
Watch
Pubblicazioni di vittime di Qilin nelle prossime 48–72 ore, in particolare sanità, trasporti e Germania.
TraderTraitor è comparso prima nelle cyber-news, nei feed più ampi 12,9 ore dopo e come nodo di attore delle minacce 22 ore dopo ancora. Il nodo della Syrian Electronic Army è arrivato con 42 ore di ritardo rispetto alla sua notizia, e FrostyNeighbor è arrivato nello stesso lotto. Questi nodi sembrano estrazioni da articoli giornalistici, non una corroborazione indipendente, e non vanno contati come seconda fonte.
attendibilità0.65
Wrong if
L'analisi delle fonti mostra che i nodi degli attori sono stati creati prima delle notizie, e indipendentemente da esse.
Watch
Se l'analisi on-chain o dei fornitori corrobori o riveda la cifra e il percorso di riciclaggio.
I fix incompleti sono lo schema più affidabile di oggi
Diverse CVE di oggi sono regressioni o correzioni parziali: Gravity Forms che passa valori a maybe_unserialize() di WordPress, privo di restrizioni, invece che alla propria versione rafforzata; Enable Media Replace che reintroduce l'object injection; la rimozione dei CRLF di CakePHP descritta come correzione incompleta di CVE-2026-77634; e un backport incompleto della correzione di CVE-2026-46099 che lascia uno squilibrio di local_bh nei kernel RHEL 9. La caccia ai bypass sulle patch recenti è la ricerca offensiva più economica disponibile.
attendibilità0.55
Wrong if
I casi si rivelano casuali, oppure finestre precedenti mostrano gli stessi fornitori che regrediscono allo stesso ritmo.
Watch
CVE di follow-on contro gli stessi quattro prodotti nelle prossime due settimane.
Allo sfruttamento di Ivanti e Cisco non è ancora attribuito alcun attore
Le aggiunte al KEV, le RCE pre-autenticazione in Teltonika, ClickHouse e Dahua e le storie modellate di fusione KEV-ransomware coincidono nel tempo, ma nessun elemento collega lo sfruttamento di Ivanti a un gruppo con nome, e il legame tra Cisco SD-WAN e Volt Typhoon poggia su un solo hashtag. Chiunque oggi riferisca a un consiglio di amministrazione su «chi» sta riempiendo uno spazio vuoto.
attendibilità0.40Speculative
Wrong if
Un advisory di un fornitore o della CISA collega lo sfruttamento di Ivanti o Cisco SD-WAN a un attore con nome o a un affiliato ransomware.
Watch
Advisory di fornitori e della CISA che nominano un attore su una delle due catene.
Nothing to seeNessun cluster temporale. Il feed NVD ha fornito 100 elementi e poi è rimasto muto dopo le 00:18 dell'11-01, e i cluster giornalieri attorno a Gravity Forms, ProFTPD, Elixir e Dell OpenManage sono pubblicazione in batch alle 06:16 e alle 12:16, non qualcosa di coordinato. La grande ondata di escalation di thegentlemen è stata generata in una sola esecuzione alle 11:50 del 10-31 senza rivendicazioni di vittime alle spalle in questa finestra, il che è output di modello, non attività sul campo. I conteggi degli indicatori non hanno qui una base di riferimento, quindi 179 indicatori Mirai sono un numero, non un'anomalia. E il post su Mastodon che chiede «what if rogue ai stole 6 billion dollar» è quasi certamente una persona che legge il titolo su Binance alle quattro del mattino.
Deep read: 284 elementi letti
§4
Previsioni
Valutazioni datate e falsificabili. Verifichiamo il nostro operato pubblicamente.
Today’s calls
DueCallConfidence
DueMon 9 Nov7d
Qilin pubblica sul proprio sito di leak almeno altre cinque vittime con nome, replicate su almeno un tracker, entro il 2026-11-09.
Wrong ifTra il 2026-11-02 e il 2026-11-09 compaiono su ransomware.live e ransomlook meno di cinque nuove rivendicazioni distinte di vittime di Qilin.
Il conteggio mobile su sette giorni delle rivendicazioni di Booba Project sul sito di leak scende sotto 17 nel report sul ritmo del 2026-11-09, dopo essere già stato valutato in raffreddamento nei suoi settori.
Wrong ifIl report sul ritmo del 2026-11-09 mostra Booba Project a 17 o più rivendicazioni nei sette giorni precedenti.
Entro il 2026-11-12 nessun advisory pubblico di fornitori o della CISA collega la catena di sfruttamento di Ivanti Connect Secure a uno specifico attore delle minacce o gruppo ransomware con nome.
Wrong ifCISA, Ivanti o un importante fornitore nomina un attore dietro la catena CVE-2026-111357 entro il 2026-11-12 compreso.
At least three of N0n's five placeholder listings (Company #99 to #103) are replaced by named victims on ransomware.live or ransomlook.
Called Thu 22 Oct · due Sun 1 Nov
The 1 November due date has passed. No item shows N0n placeholders (Company #99 to #103) replaced by named victims.
open
At least one of N0n's anonymised 'Company #104' to '#109' entries is replaced by a named victim on ransomware.live or ransomlook.
Called Fri 23 Oct · due Mon 2 Nov
2 November is the due date and has not ended. No item mentions N0n or Company #104 to #109.
partly
Qilin leak-site postings fall back to fewer than 15 claims on any single day across ransomware.live and ransomlook between 1 and 4 November, confirming the 60-item day was a batch rather than a campaign.
Called Sat 31 Oct · due Wed 4 Nov
Roughly 10 Qilin claims were posted on ransomware.live on 1 November, below 15. The window runs to 4 November, so a later day could still reach 15 or more.
No government body or law enforcement agency formally attributes the Binance theft to North Korea in these feeds by 14 November; the TraderTraitor link stays an analyst inference.
Called Sat 31 Oct · due Sat 14 Nov
On 1 November the FBI officially attributed the Binance theft to North Korea's TraderTraitor, before the 14 November deadline.
Glossario dei termini con cui ci si aspetta che tu annuisca
Tecniche agentiche offensive(n.)
la stessa intrusione dell'anno scorso, portata a termine da qualcosa che non si stanca, non si annoia e non chiede un compenso giornaliero; un tempo si chiamava script, prima che lo script acquisisse iniziativa e una dichiarazione di divulgazione.
§5
Dal nostro fronte
Attacchi in corso sui nostri server nelle ultime 24 ore. Sì, proprio i nostri.
Il nostro perimetro ha avuto una notte ordinaria, ed è questa la parte inquietante. In 24 ore il sensore locale ha profilato 62 fonti ostili — 42 scanner, 13 crawler bot, quattro operatori mirati, due brute forcer — che hanno inviato tra tutte 10.371 richieste; 13 di queste sono andate oltre la ricognizione in veri e propri tentativi di sfruttamento, e cinque gruppi di indirizzi condividevano un'impronta comportamentale, incluso uno strumento o operatore che ruotava su 13 IP sotto il DNA dfef4501b216. Dei 5.712 indirizzi visti al perimetro in 110 paesi, 2.566 erano nuovi oggi. Il visitatore più assiduo, 44.249.143.106, ha inviato 334 richieste a 52 al minuto su due dei nostri siti chiedendo /.git/config e quattro varianti di .env, e la corrispondenza di campagna più sicura del sensore nella giornata lo ha classificato al 62% come scanner di enumerazione di segreti. Un altro ha lanciato 122 richieste in circa 1,2 secondi, tutte per file di credenziali AWS e Docker, il che non è una persona e non lo è mai stato. Un indirizzo ha inviato sei richieste modellate su CVE-2024-4577 verso un /index.php che non esiste, perché l'exploit costa ancora meno da spruzzare che da dismettere. I log grezzi non hanno mai lasciato il server; solo questi riscontri. Nulla era diretto contro di noi, e tutto avrebbe funzionato su qualcun altro.
62fonti ostili profilate
10.371richieste da esse provenienti
13giunte allo sfruttamento
5cluster a DNA condiviso
8,3/10massima ostilità
5.712indirizzi al nostro perimetro
2.566visti per la prima volta oggi
110paesi
La lista WTF
WTF #1
Il visitatore più determinato
132.196.59.85, uno scanner (ostilità 6,7/10), ha inviato 130 richieste a uno dei nostri siti, cercando /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /3PJcpMFsD8B_261013034223.php, /pw.php.
Perché è anomaloLa più alta ostilità della classifica; la sua kill chain è arrivata alla weaponization.
attribution: sconosciutoMon 2 Nov, 02:00 UTC
Detail
kill chain: ricognizione → weaponization · DNA dfef4501b216
WTF #2
Stesso DNA, indirizzi diversi
34.176.200.106, uno scanner (ostilità 6,3/10), ha inviato 277 richieste a 271 al minuto a uno dei nostri siti, cercando /.git/config, /.env, /.env.local, /.env.production.
Perché è anomalo13 IP condividono una sola impronta comportamentale (DNA dfef4501b216): un solo strumento o un solo operatore che ruota gli indirizzi: 216.73.161.156, 2001:41d0:601:2000::166e, 34.6.113.19, 92.222.24.199, 45.92.229.15 e altri.
attribution: sconosciutoMon 2 Nov, 02:00 UTC
Detail
kill chain: ricognizione → weaponization · DNA dfef4501b216
WTF #3
Provano CVE-2024-4577 su di noi
1 indirizzo ha inviato 6 richieste modellate sullo sfruttamento di CVE-2024-4577 (/index.php), incluso 109.238.86.65.
Perché è anomaloUn exploit noto e con nome ancora spruzzato su internet; il nostro perimetro lo ha visto oggi, qualunque cosa dicano le note di patch sull'anno.
attribution: sconosciuto
Detail
famiglia di sonda: webshell
WTF #4
La lista della spesa più strana
20.211.122.120, uno scanner (ostilità 6,4/10), ha inviato 46 richieste a uno dei nostri siti, cercando /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php.
Perché è anomaloHa chiesto file che quasi nessun altro chiede: /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php, /rip.php.
attribution: sconosciutoMon 2 Nov, 02:00 UTC
Detail
kill chain: ricognizione → weaponization · DNA 83562bd8e880
WTF #5
Di fretta
34.77.241.117, uno scanner (ostilità 5,4/10), ha inviato 122 richieste a uno dei nostri siti, cercando /.aws/.env, /.aws/credentials.bak, /.docker/config.json, /.docker/laravel/app/.env.
Perché è anomaloHa lanciato 122 richieste in circa 1,2 secondi.
attribution: sconosciutoMon 2 Nov, 02:00 UTC
Detail
kill chain: ricognizione → weaponization · DNA 18e39c4b41fb
WTF #6
Qualcuno che forse conosciamo
44.249.143.106, uno scanner (ostilità 6,6/10), ha inviato 334 richieste a 52 al minuto a 2 dei nostri siti, cercando /.git/config, /.env, /.env.local, /.env.production.
Perché è anomaloLa corrispondenza di campagna più sicura del sensore nella giornata: scanner di enumerazione di segreti (compatibile con Nuclei o strumenti personalizzati) al 62%.
attribution: Scanner di enumerazione di segreti (compatibile con Nuclei o strumenti personalizzati) (miglior corrispondenza del sensore, 62%)Mon 2 Nov, 02:00 UTC
Detail
kill chain: ricognizione → weaponization · DNA 5941231fc8fa
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
240claims, 7 days
41of 269 groups active
thegentlemen50 this week · surging
qilin28 this week
Booba Project17 this week · surging
SurgingBooba Project — 17 claims in 7 days against 2.3 expected from its own prior rate (p < 0.001)
Surgingthegentlemen — 50 claims in 7 days against 25.0 expected from its own prior rate (p < 0.001)
SurgingSilentRansomGroup — 11 claims in 7 days against 2.5 expected from its own prior rate (p < 0.001)
Surgingrhysida — 8 claims in 7 days against 1.4 expected from its own prior rate (p < 0.001)
Surginggenesis — 10 claims in 7 days against 2.3 expected from its own prior rate (p < 0.001)
Surgingeverest — 8 claims in 7 days against 2.7 expected from its own prior rate (p = 0.006)
UpTransportation — 2.1× its own prior share (71 claims, 34 expected)
UpEducation — 2.0× its own prior share (55 claims, 27 expected)
UpHealthcare — 1.2× its own prior share (107 claims, 88 expected)
DownAgriculture and Food Production — 0.7× its own prior share (23 claims, 34 expected)
23% of claims carry no sector label.
Brand churn
Of the 231 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 62% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 213 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 11 — newest: Shiba (2026-10-29, 5 claims), everstake (2026-10-29, 5 claims), Whitearmor (2026-10-23, 19 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.2× every other brand's share); N0n put 33% of its claims on Transportation (7.4× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.0× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 196 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 33% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.
Un'email al giorno. L'intero giornale. Disdici con un clic.
§8
Colophon
Come è stata realizzata questa edizione, senza fronzoli.
L'edizione 36 è stata realizzata da una macchina e controllata dal codice. Ogni elemento pubblicato da 11 feed pubblici di minacce nelle 24 ore fino alle 05:05 del Regno Unito (284 elementi) è stato letto per intero: statistiche calcolate dal codice, ogni porzione letta da Claude Sonnet, la struttura sintetizzata da Claude Opus. Claude Opus ha poi curato il giornale. Ogni articolo cita gli elementi su cui si fonda; gli articoli le cui fonti non si risolvevano, o i cui numeri non figuravano nelle fonti, sono stati scartati prima della pubblicazione (0 oggi). Le previsioni vengono valutate pubblicamente nelle edizioni successive. «From our edge» sono dati di attacco dal vivo dai nostri server. Costoo di questa edizione: $0.00. È scritta da una macchina con la voce di ScottG, autore di Everything Is Probably Fine, e nessuno l'ha modificata a mano, il che è o il punto o il problema.
284items read
24hour window
$0.00cost of this edition
05:05 UTCgenerated
Fonti di questa mattina
NVD100ok
Signal Atlas48ok
infosec.exchange37ok
atlas27ok
Security news22ok
ransomware.live17ok
RansomLook17ok
signal:ioc-family9ok
RSS3ok
signal:actor3ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 284|SOURCES: 11|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.00|STATUS: NON VA BENE, MA È SOPRAVVIVIBILE
OWNER: la macchina|EDITOR: le regole|CALLS OPEN: 3|NEXT REVIEW: domani 06:00 UK