Apertura · Vulnerabilità

Cinque falle remote in un router che non ha più nessuno a ripararlo

Cinque CVE sul D-Link DIR-878 sono arrivate insieme, con codice di exploit pubblico e nessuna patch, perché il prodotto è fuori supporto. Per le botnet commodity è una settimana intensa.

attendibilità 0.90

Il lotto va da CVE-2026-124560 a CVE-2026-124564. Riguarda tutti il D-Link DIR-878 1.20B05, tutti il gestore HNAP, tutti sfruttabili da remoto. Un buffer overflow basato su heap in GetCAPTCHAsetting, classificato come critico con rischio di esecuzione di codice remoto. Un overflow basato su stack in SetVLANSettings in prog.cgi tramite l'argomento VID. Altri due overflow in SetWanSettings, uno tramite Primary/Secondary e uno tramite ConfigDNS/Primary/ConfigDNS/Secondary. Infine un path traversal in GetListDirectory tramite ListDirectoryPath. Gli avvisi precisano che gli exploit sono stati divulgati pubblicamente e potrebbero essere utilizzati, e che le vulnerabilità riguardano solo prodotti non più supportati dal produttore. L'unico consiglio di mitigazione della relazione pubblica è: isolare o dismettere i router non supportati.

La fine del ciclo di vita è uno stato in un foglio di calcolo. Non è uno stato fisico. Il router non sa di essere stato dismesso: continua a rispondere alle richieste HNAP con la stessa allegra competenza della sua prima settimana, come un frigorifero con la garanzia scaduta nel 2019 che continua a tenere il latte al fresco, a consumare corrente e a essere, tecnicamente, un incendio in potenza. L'unica cosa finita è la possibilità che qualcuno lo ripari. Il che significa che il ciclo di patch per questo dispositivo non è un ciclo di patch. È un cassonetto.

Nella stessa finestra temporale i nostri feed hanno riportato undici nuovi indicatori Mirai, ottantasei nuovi indicatori Mozi e un flusso costante di hash di campioni Mirai su ThreatFox. Nessuno ci ha ancora mostrato traffico di exploit HNAP contro queste cinque CVE, e non faremo finta del contrario. Ci limitiamo a osservare che l'esecuzione di codice remoto non autenticata su un router consumer non supportato, con exploit funzionanti in pubblico, ha una sola carriera ben consolidata, e questa non prevede una tempistica di divulgazione responsabile.

Perché è rilevanteSe un DIR-878 è presente nella vostra infrastruttura o sulla scrivania di un lavoratore da casa con un percorso di gestione verso qualsiasi sistema, non arriverà alcuna patch; gli unici controlli disponibili oggi sono l'isolamento di rete e il cestino.

Prove

Today’s revelation

Un dispositivo a fine vita non ha smesso di funzionare. Ha smesso di essere responsabilità di chiunque tranne voi, e l'exploit non legge le note di rilascio.

— Sturgeon's Revelations · Probably Fine Daily No. 43

§2

Notizie principali

Il resto delle ultime 24 ore, prove alla mano.

Vulnerabilità

Il bug sshole è passato dalla carta all'honeypot

Il SANS Internet Storm Center riferisce che i suoi honeypot Cowrie registrano un aumento dei tentativi di sfruttamento di CVE-2026-123158, la vulnerabilità «sshole» emersa la settimana scorsa. L'ISC precisa che i propri dati sono limitati, perché gli honeypot raccolgono solo i primi 255 caratteri di una password SSH e i tentativi ne usano di più lunghe. Un dettaglio delizioso: lo strumento di misura viene superato dall'attacco che sta misurando.

Perché è rilevanteI tentativi di sfruttamento sono ormai osservati, non teorizzati: considerate l'SSH esposto su internet nel perimetro di intervento oggi, non al prossimo fine settimana di manutenzione.

attendibilità 0.80

Prove

1Security newsScans for Sshole Vulnerability (CVE-2026-123158), (…

Ransomware

Il cruscotto dice raffreddamento, il contatore dice diciotto

Il tempo di Ninja Signal per oggi registra 252 rivendicazioni su leak site in sette giorni da parte di 43 dei 273 gruppi monitorati, con medusalocker in impennata a 18 rivendicazioni contro le 1,46 attese dal suo tasso precedente, BrainCipher a 12 contro 1,74 e metaencryptor a 7, tutti con p inferiore a 0,001. La stessa finestra mostra come appare tutto questo alla velocità di pubblicazione: N0n ha caricato le rivendicazioni dalla #138 alla #147 in circa sei minuti, incransom ne ha pubblicate tre in circa due, LockBit5 ne ha rilasciate quattro in un colpo, tra cui Sun Clinical Laboratories, Yatra, Grupo Telles e Starmark, Deadlock ha smaltito Kadick, Chonlatee, Trinity Custom Homes, Coopebis, NoseTea e Fidex, e akira ha rivendicato Calmont Wire & Cable. Intanto Atlas ha etichettato come «in raffreddamento» le serie settoriali di medusalocker. Entrambe le cose sono nello stesso feed, nella stessa mattina, riguardo allo stesso gruppo.

Perché è rilevanteLa pubblicazione a lotti fa di un leak site un calendario editoriale, non una cronologia degli incidenti; contate le rivendicazioni settimanali rispetto alla base di riferimento del gruppo stesso prima di fare un briefing sui «livelli di attività».

attendibilità 0.85

Prove

IA e sicurezza

La chiave del vostro modello è ora sulla stessa lista della spesa della chiave cloud

iTnews riferisce che l'opzione «Don't ask again» di Claude Code di Anthropic fa trapelare segreti degli sviluppatori: i ricercatori hanno contato 2.539 credenziali esposte e il fornitore sta valutando correzioni. Separatamente, Wired riferisce che i modelli di IA cinesi gratuiti stanno diventando spaventosamente bravi nell'hacking.

Perché è rilevanteLe chiavi API dei modelli richiedono ormai lo stesso trattamento delle chiavi cloud: inventario, rotazione, limiti in uscita e un controllo di rilevamento per chiunque scarichi dotfile dalla radice del vostro sito web.

attendibilità 0.75

Prove

Vulnerabilità

Plugin WordPress: nove modi per diventare amministratore prima di colazione

Il lotto NVD include Static Snapshot fino alla 0.2.1, dove attaccanti non autenticati possono iniettare metacaratteri di shell in comandi del sistema operativo, e WP Libre Form 1.5.0.1, dove utenti non autenticati possono caricare file PHP in una posizione accessibile dal web ed eseguirli. Wurdey fino alla 1.0.0 vi fa accedere come amministratore se conoscete il nome utente dell'amministratore e nient'altro; WHIZZ fino alla 1.1.8 consente a chiunque di impostare una password arbitraria per qualsiasi utente; placester fino alla 1.4.3 permette ad attaccanti non autenticati di sovrascrivere l'email di un amministratore e di entrare tramite reimpostazione della password; GS JWT Authentication fino alla 1.0.0 e Mail Mage fino alla 0.0.25 subiscono entrambi SQL injection non autenticata. Su Telegram, @NeuraSCTB nella stessa finestra ha pubblicizzato strumenti di dorking, strumenti per CVE su webshell e strumenti di creazione di account WordPress, poi ha offerto 400 log di account WordPress di domini casuali.

Perché è rilevanteUna presa di controllo admin non autenticata tramite plugin non è una questione da patch Tuesday; fate l'inventario di ciò che è davvero installato, non di ciò che dice il modulo degli acquisti, e aggiornate oggi stesso.

attendibilità 0.85

Prove

Vulnerabilità

Dieci falle in Keycloak, diverse delle quali sono il livello di identità che rifiuta di verificare l'identità

Un unico lotto di divulgazione comprende dieci CVE di Keycloak, e il tema è scomodo. CVE-2026-19688: l'Admin REST API non verifica il destinatario previsto dei bearer token, così un attaccante che gestisce un client in un realm può catturare il token di accesso di un amministratore e riutilizzarlo. CVE-2026-97367: il proprietario di un client malevolo può indirizzare i propri token verso la sessione attiva di un altro utente, fino alla presa di controllo completa dell'account tramite i dettagli di recupero. CVE-2026-107124 fissa un ID di sessione nel browser della vittima tramite l'endpoint di logout OIDC prima che i controlli di sicurezza siano completati. CVE-2026-96460 consente a chi richiede di estendere indefinitamente l'accesso di un account di servizio scambiando ripetutamente i token; le restanti riguardano le ProxyRestrictions SAML ignorate, i token stateless che ripiegano sui nomi utente, l'iniezione di ruoli tramite Dynamic Client Registration, l'abuso dei nomi dei claim, ruoli in forma Jackson che sfuggono alla sanificazione e l'abuso di manage-clients su JWKS e segreti dei client.

Perché è rilevanteÈ il componente di cui tutto il resto si fida: applicate la patch secondo i tempi del team di identità, non del backlog applicativo, e in seguito riesaminate i destinatari dei token admin.

attendibilità 0.90

Prove

Politiche

Iris Ohyama: 7,7 milioni di persone, e il file era nel cloud di qualcun altro

Il produttore giapponese Iris Ohyama, gestore della piattaforma di shopping Iris Plaza, ha comunicato che i dati personali di circa 7,7 milioni di persone potrebbero essere stati esposti in seguito a un accesso non autorizzato a un servizio cloud di terze parti da esso utilizzato. La ripartizione è di 5,8 milioni tra iscritti ed ex iscritti più 1,9 milioni di non iscritti; nel servizio di terze parti è stato trovato un file sospetto, e potrebbero essere esposti nomi, indirizzi, email, date di nascita e password cifrate, mentre nessun dato di carte è conservato lì. «Ex iscritti» è la parola su cui soffermarsi: persone che se ne sono andate, contate comunque.

Perché è rilevanteI vostri servizi cloud di terze parti custodiscono i dati dei vostri clienti a vostro nome, quindi la politica di conservazione per gli ex clienti è un controllo di sicurezza e va sottoposta ad audit come tale.

attendibilità 0.90

Prove

Attori della minaccia

ShinyHunters si ribattezza con l'etichetta che gli hanno dato i ricercatori

Il canale Telegram @espeonsh è stato rinominato «Scattered Lapsus Hunters UNC6783», ha pubblicato un canale di backup, ha collegato un profilo patched.to per shinyhunters e poi ha pubblicizzato nuova merce: lead di banche UE per FR, CH e BE con fullz inclusi, e database di exchange di criptovalute «verificati di alto livello». Quattro post in un giorno. Nulla nel materiale conferma che la merce sia reale, che gli operatori siano chi dicono di essere, o che l'adozione del nome di un cluster di tracciamento come marchio significhi qualcosa di più del marketing.

Perché è rilevanteTrattate il nome di un canale come una rivendicazione, non come un'attribuzione; se un rapporto di un fornitore cita il cambio di nome come prova dell'identità di un gruppo, chiedete su che altro si regga.

attendibilità 0.60

Prove

Stranezze

Il modello linguistico che ha ammesso di non avere nulla, nel mezzo di un post di estorsione

Eclipse ha rivendicato globalair.com.sg con una descrizione della vittima che recita, per intero e contrassegnata «[AI generated]»: «N/A I don't have reliable, verified information about a specific company operating at globalair.com.sg. Rather than speculate about its business activities, industry classification, or operational details, which could produ—». Altrove, @DarkfeedNews ha valutato cinque avvisi distinti con «AI Risk Level: 10/10», tra cui due diverse fughe di database di e-commerce, i registri dei dipendenti pubblici malesi e una banca ecuadoriana. E Atlas ha generato cinquanta storie su thegentlemen in un solo giorno contro una mediana di zero. Da qualche parte in mezzo a tutto questo ci sono vittime reali; tutto ciò che le circonda è completamento automatico.

Perché è rilevanteMetà dell'«intelligence» dell'ecosistema, criminale e commerciale, è ormai testo generato con un punteggio di confidenza allegato; verificate la vittima, non il resoconto.

attendibilità 0.80

Prove

§3

Nascosto

La lettura approfondita del giorno: cosa c'è sotto i feed, non sopra.

Gran parte della «conferma incrociata tra fonti» di oggi è un singolo post di un leak site con tre cappelli diversi, più una fuga da sandbox che nessuno ha ancora inserito in una storia.

Exception 01
Atlas e ransomlook sono a valle di ransomware.live, non indipendenti da esso
Per N0n, BYOD, incransom, akira e Deadlock, ransomware.live ha pubblicato per primo, ransomlook è seguito dopo 1-9 ore e signal:atlas dopo 6-8,5 ore. I conteggi multi-fonte per questi attori riflettono un unico evento sottostante che si propaga attraverso gli aggregatori, il che significa che un flag di escalation di Atlas non è una corroborazione della rivendicazione originale.
attendibilità 0.80
Wrong if
Elementi di Atlas per questi attori con timestamp degli eventi anteriori ai post di ransomware.live, o che citano una fonte distinta.
Watch
Ritardo per attore nelle prossime 24-48 ore; trattate Atlas come un livello derivato.
Prove
1. 1ransomware.liveincransom claimed www.bogard.com.mx (Other · MX) — .
Exception 02
I tag degli aggregatori di Deadlock non corrispondono a dove si trovano le vittime
La nigeriana Kadick è etichettata US, la thailandese NOSE TEA è etichettata US Retail e la colombiana Coopebis è etichettata Costoa Rica, Agriculture. Qualsiasi statistica per paese o settore costruita su questi tag è sbagliata prima di arrivare alla vostra slide, così come le escalation per paese che ne derivano.
attendibilità 0.70
Wrong if
I domini e gli indirizzi registrati delle vittime corrispondono ai paesi indicati dai tag.
Watch
Se i tag verranno corretti negli aggiornamenti successivi.
Prove
Exception 03
Cinquanta storie su thegentlemen in un'ora sono probabilmente un lotto di elaborazione
Atlas ha prodotto 50 elementi per thegentlemen il 2026-11-08 contro una mediana di zero negli altri giorni, all'interno di un cluster orario delle 12:00 di 61 elementi contro una media di 9,91 all'ora. Sembra una proliferazione di storie generate su permutazioni di settore e paese piuttosto che 50 eventi distinti.
attendibilità 0.55Speculative
Wrong if
Esistono cinquanta eventi distinti di vittime o leak site per thegentlemen in quella data.
Watch
Se lo schema si ripete alla prossima esecuzione di Atlas.
Exception 04
Un bug del kernel host che mina la sandbox acquistata per contenere il precedente
iTnews riferisce che i ricercatori hanno trasformato la falla Linux PwnEscape in una fuga da Firecracker, dimostrando un bug del kernel host che mina il sandboxing in profondità. Se l'isolamento microVM è portante nel vostro progetto multi-tenant o CI, è quella l'ipotesi da riesaminare questa settimana.
attendibilità 0.65
Wrong if
La fuga dimostrata richiede in realtà condizioni non presenti nelle distribuzioni Firecracker standard.
Watch
Avvisi di fornitori e distribuzioni che indicano la correzione del kernel.
Prove
1. 1infosec.exchange🔹 iTnews - SecurityResearchers turn PwnEscape Linux…
Exception 05
Il silenzio del feed NVD dopo il 07 novembre è quasi certamente colpa della nostra infrastruttura
Gli elementi NVD si fermano dopo il 2026-11-07T19:36 pur con esattamente 100 elementi precedenti, e anche ThreatFox si ferma esattamente a 100. Numeri tondi di questo tipo sono limiti di ingestione, non una pausa nella pubblicazione di CVE, e nessuno dovrebbe presentarla come una settimana tranquilla.
attendibilità 0.60Speculative
Wrong if
Un nuovo prelievo completo non mostra timestamp di pubblicazione NVD successivi al 2026-11-07.
Watch
Il prossimo ciclo di ingestione.
Prove

Nothing to seeNon è stato trovato alcun legame tra i cluster di CVE di Keycloak, undici, Foxit e JetBrains e alcun attore della minaccia; sono ordinari lotti di divulgazione dei fornitori. I flag di crisi composta di Atlas per Taiwan, Indonesia, Panama, Colombia, Giappone, Russia e Filippine non riportano attori né eventi nominati e sono di scarso segnale. La rivendicazione su Telegram riguardo a un exploit Safari «DarkSword» è arrivata allegata a una pubblicità di casinò crypto e non la riportiamo. Il cluster #monsterdon della serata cinema su Mastodon non è un intrusion set.

Deep read: 432 elementi letti

§4

Previsioni

Valutazioni datate e falsificabili. Verifichiamo il nostro operato pubblicamente.

Today’s calls

DueMon 23 Nov14d
Entro la fine del giorno 23 novembre 2026 non esisterà alcuna voce CISA KEV per nessuna delle CVE da CVE-2026-124560 a CVE-2026-124564 (D-Link DIR-878), nonostante il codice di exploit pubblico, perché il dispositivo è fuori supporto.
Wrong ifCompare una voce KEV per una qualsiasi delle cinque CVE del DIR-878 prima di tale data.
Prove
f-2026-11-09-1
Confidence0.80
DueMon 16 Nov7d
medusalocker pubblicherà almeno altre cinque rivendicazioni su leak site visibili su ransomware.live o ransomlook da ora al 16 novembre 2026, restando sopra il proprio tasso precedente di 1,46 a settimana.
Wrong ifNella finestra compaiono su quei feed meno di cinque nuove rivendicazioni di medusalocker.
Prove
1. 1Ransomware tempo · Ninja Signal graphNinja Signal ransomware tempo for 2026-11-09. In th…
f-2026-11-09-2
Confidence0.60
DueThu 19 Nov10d
Almeno una delle rivendicazioni di N0n dalla #138 alla #147 passerà da esposizione in sospeso a vittima nominata su ransomware.live o ransomlook entro il 19 novembre 2026.
Wrong ifTutte e dieci le rivendicazioni restano senza nome o vengono rimosse senza una vittima nominata.
f-2026-11-09-3
Confidence0.50

Scorecard

1 wrong · 2 open

open
None of the CGM CLININET CVEs published on 23 October is added to CISA KEV by 9 November 2026.
Called Mon 26 Oct · due Mon 9 Nov
No KEV-addition items appear in today's feed, so a negative call can't be settled either way.
wrong
At least one of Everstake's scheduled releases (the 494 Gb entry dated 4 November or the 370.73 Gb entry dated 6 November) appears as published on ransomlook or ransomware.live.
Called Fri 30 Oct · due Sat 7 Nov
Due 7 Nov and past. No item shows an Everstake entry published on ransomlook or ransomware.live.
open
Booba Project's rolling seven-day leak-site claim count falls below 17 in the tempo report for 2026-11-09, having already been scored as cooling across its sectors.
Called Mon 2 Nov · due Mon 9 Nov
The 2026-11-09 tempo item is truncated and the visible part doesn't mention Booba Project.
Prove
1. 1Ransomware tempo · Ninja Signal graphNinja Signal ransomware tempo for 2026-11-09. In th…

Glossario dei termini con cui ci si aspetta che tu annuisca

Fine del ciclo di vita (hardware) (n.): Uno stato commerciale, non fisico. Il dispositivo continua a instradare pacchetti, ad accettare richieste HNAP e a rispondere a tutta internet esattamente come prima; l'unica cosa finita è la possibilità che qualcuno lo ripari. Vedi anche: ancora collegato dietro l'archivio.

§5

Dal nostro fronte

Attacchi in corso sui nostri server nelle ultime 24 ore. Sì, proprio i nostri.

Il nostro perimetro, nella notte: il sensore Adversary DNA ha profilato 84 fonti ostili — 50 crawler automatici, 33 scanner e un operatore mirato — che hanno inviato tra tutti 7.504 richieste, di cui 49 sono andate oltre la ricognizione in tentativi di sfruttamento. Undici gruppi di indirizzi condividevano un'impronta comportamentale, incluso un cluster di dieci IP che chiedevano tutti gli stessi dotfile; 5.079 indirizzi da 79 paesi hanno toccato il perimetro, 1.596 dei quali per la prima volta. Il punteggio di ostilità più alto, 7,7 su 10, apparteneva a 82.102.18.222, che ha inviato 20 richieste ai percorsi WordPress wlwmanifest e xmlrpc e ha raggiunto l'accesso alle credenziali. Uno scanner ha chiesto /.env.anthropic insieme a /.aws/credentials, ovvero la lista della spesa che si aggiorna in silenzio. Un altro ha lanciato 20 richieste in circa 1,4 secondi, e un indirizzo ha provato CVE-2024-4577 su /index.php tre volte, perché i vecchi exploit non vanno mai in pensione, diventano solo più economici. I log grezzi non hanno mai lasciato il server; solo questi risultati l'hanno fatto.

84fonti ostili profilate

7.504richieste da esse

49hanno raggiunto lo sfruttamento

11cluster a DNA condiviso

7,7/10ostilità massima

5.079indirizzi sul nostro perimetro

1.596visti per la prima volta oggi

79paesi

La lista WTF

WTF #1
Alla ricerca delle vostre chiavi IA
34.38.19.77, uno scanner (ostilità 5,4/10), ha inviato 122 richieste a uno dei nostri siti, sondando /.env, /.aws/.env, /.env.anthropic, /.aws/credentials.
Perché è anomaloÈ andato dritto alle credenziali IA: /.env.anthropic. Le chiavi API dei modelli sono ora nella lista della spesa degli scanner accanto alle chiavi cloud.
attribution: sconosciutoSun 8 Nov, 22:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA 18e39c4b41fb
```
WTF #2
Il visitatore più determinato
82.102.18.222, un operatore mirato (ostilità 7,7/10), ha inviato 20 richieste a uno dei nostri siti, sondando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Perché è anomaloLa più alta ostilità della classifica; la sua kill chain ha raggiunto l'accesso alle credenziali.
attribution: sconosciutoSun 8 Nov, 22:00 UTC
Detail
```
kill chain: ricognizione → weaponization → sfruttamento → accesso alle credenziali · DNA 82a939927b85
```
WTF #3
Provano CVE-2024-4577 su di noi
1 indirizzo ha inviato 3 richieste con la forma dello sfruttamento di CVE-2024-4577 (/index.php), tra cui 101.1.16.25.
Perché è anomaloUn exploit noto e con nome ancora spruzzato su internet; il nostro perimetro l'ha visto oggi, qualunque cosa dicano le note di rilascio sull'anno.
attribution: sconosciuto
Detail
```
famiglia di sonde: webshell
```
WTF #4
Stesso DNA, indirizzi diversi
34.62.82.207, uno scanner (ostilità 5,1/10), ha inviato 132 richieste a uno dei nostri siti, sondando /.aws/.env, /.docker/laravel/app/.env, /.env, /.docker/.env.
Perché è anomalo10 IP condividono un'unica impronta comportamentale (DNA 18e39c4b41fb): un solo strumento o un solo operatore che ruota gli indirizzi: 2400:6180:10:200::f6a7:9000, 34.156.35.188, 2a03:b0c0:1:e0:0:1:f004:9001, 35.195.41.101, 170.64.170.136 e altri.
attribution: sconosciutoSun 8 Nov, 22:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA 18e39c4b41fb
```
WTF #5
La lista della spesa più strana
52.179.208.167, uno scanner (ostilità 6,7/10), ha inviato 99 richieste a uno dei nostri siti, sondando /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /dehnl.php, /motu.php.
Perché è anomaloHa chiesto file che quasi nessun altro chiede: /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /dehnl.php, /motu.php, /tpg-contato.php.
attribution: sconosciutoSun 8 Nov, 22:00 UTC
Detail
```
kill chain: ricognizione → weaponization → sfruttamento · DNA dfef4501b216
```
WTF #6
Di fretta
85.204.70.88, uno scanner (ostilità 6,3/10), ha inviato 20 richieste a uno dei nostri siti, sondando //wp-includes/wlwmanifest.xml, //xmlrpc.php, //blog/wp-includes/wlwmanifest.xml, //web/wp-includes/wlwmanifest.xml.
Perché è anomaloHa lanciato 20 richieste in circa 1,4 secondi.
attribution: sconosciutoSun 8 Nov, 22:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA dfef4501b216
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

252claims, 7 days

43of 273 groups active

N0n44 this week · surging

thegentlemen25 this week

medusalocker18 this week · surging

Surgingmedusalocker — 18 claims in 7 days against 1.5 expected from its own prior rate (p < 0.001)
SurgingBrainCipher — 12 claims in 7 days against 1.7 expected from its own prior rate (p < 0.001)
Surgingmetaencryptor — 7 claims in 7 days against 1.1 expected from its own prior rate (p < 0.001)
SurgingN0n — 44 claims in 7 days against 26.5 expected from its own prior rate (p = 0.001)
SurgingSilentRansomGroup — 9 claims in 7 days against 3.0 expected from its own prior rate (p = 0.003)
Surgingakira — 14 claims in 7 days against 7.3 expected from its own prior rate (p = 0.018)

Gone quiet: embargo (61 days), kazu (63 days), DYSPHOR1A (64 days), gunra (66 days).

Sector pressure, 30 days

UpTransportation — 2.0× its own prior share (72 claims, 37 expected)
UpEducation — 1.3× its own prior share (43 claims, 33 expected)
DownAgriculture and Food Production — 0.6× its own prior share (20 claims, 37 expected)

26% of claims carry no sector label.

Brand churn

Of the 235 leak-site brands first seen since 2021-09-30, 75% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 38% made at least half their claims in their first week. New brands this month: 4 — newest: Destello (2026-11-05, 1 claim), Aoqin (2026-11-04, 5 claims), OBSOFT (2026-11-03, 7 claims).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.2× every other brand's share); N0n put 29% of its claims on Transportation (6.5× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.2× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 2 of 197 claims at weekends and half its claims in 12:00–13:59 UTC; half of thegentlemen's claims appeared in 06:00–09:59 UTC. Leak sites overall are 32% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Sul campo

Strumenti live gratuiti. Nessuna registrazione, nessun contatto commerciale.

§8

Colophon

Come è stata realizzata questa edizione, senza fronzoli.

L'edizione 43 è stata fatta da una macchina e controllata dal codice. Ogni articolo pubblicato da 13 feed pubblici di minacce nelle 24 ore fino alle 05:05 UK (432 articoli) è stato letto per intero: statistiche calcolate dal codice, ogni porzione letta da Claude Sonnet, la struttura sintetizzata da Claude Opus. Claude Opus ha poi curato il giornale. Ogni storia cita gli elementi su cui si fonda; le storie le cui fonti non risultavano o i cui numeri non erano nelle fonti sono state scartate prima della pubblicazione (0 oggi). Le previsioni vengono valutate pubblicamente nelle edizioni successive. «From our edge» sono dati di attacco in tempo reale dai nostri server. Costoo di questa edizione: $0,76. È scritta da una macchina con la voce di ScottG, autore di Everything Is Probably Fine, e nessuno l'ha curata a mano, il che è o il punto o il problema.

432items read

24hour window

$0.76cost of this edition

05:05 UTCgenerated

Fonti di questa mattina

NVD100ok
ThreatFox100ok
Signal Atlas82ok
Telegram42ok
infosec.exchange36ok
ransomware.live24ok
RansomLook19ok
atlas18ok
Security news4ok
signal:ioc-family4ok
RSS1ok
signal:actor1ok
Ransomware tempo · Ninja Signal graph1ok

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

Il bug sshole è passato dalla carta all'honeypot

Il cruscotto dice raffreddamento, il contatore dice diciotto

La chiave del vostro modello è ora sulla stessa lista della spesa della chiave cloud

Plugin WordPress: nove modi per diventare amministratore prima di colazione

Dieci falle in Keycloak, diverse delle quali sono il livello di identità che rifiuta di verificare l'identità

Iris Ohyama: 7,7 milioni di persone, e il file era nel cloud di qualcun altro

ShinyHunters si ribattezza con l'etichetta che gli hanno dato i ricercatori

Il modello linguistico che ha ammesso di non avere nulla, nel mezzo di un post di estorsione

Atlas e ransomlook sono a valle di ransomware.live, non indipendenti da esso

I tag degli aggregatori di Deadlock non corrispondono a dove si trovano le vittime

Cinquanta storie su thegentlemen in un'ora sono probabilmente un lotto di elaborazione

Un bug del kernel host che mina la sandbox acquistata per contenere il precedente

Il silenzio del feed NVD dopo il 07 novembre è quasi certamente colpa della nostra infrastruttura

Today’s calls

Scorecard

Glossario dei termini con cui ci si aspetta che tu annuisca

La lista WTF

Alla ricerca delle vostre chiavi IA

Il visitatore più determinato

Provano CVE-2024-4577 su di noi

Stesso DNA, indirizzi diversi

La lista della spesa più strana

Di fretta

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

Fonti di questa mattina