Apertura · Vulnerabilità

Le due estremità del cavo di supporto remoto sono state compromesse nello stesso giorno

ConnectWise ha disattivato cinque estensioni di ScreenConnect dopo che client non autorizzati hanno raggiunto 288 endpoint presso 48 organizzazioni e, nel giro di circa un giorno, N-able ha messo offline N-central ospitato a causa di oltre 30 zero-day resi pubblici.

attendibilità 0.88

Ecco il quadro. ConnectWise sta indagando su una campagna attiva in cui ambienti ScreenConnect compromessi sono stati usati per distribuire ai dispositivi dei clienti client di accesso remoto non autorizzati, veicolando quello che Huntress chiama SCKit; il conteggio finora è di almeno 288 endpoint presso 48 organizzazioni, e ConnectWise ha disattivato cinque estensioni di terze parti negli ambienti dei partner, precisando che non vi sono prove di una compromissione della propria infrastruttura. Separatamente, e a circa un giorno di distanza, N-able ha messo offline gli ambienti N-central ospitati e rilasciato hotfix dopo che un ricercatore ha pubblicato nel fine settimana degli zero-day — più di trenta, trentatré secondo il conteggio di Dark Reading — che consentono esecuzione di codice remoto, furto di credenziali e creazione di account amministratore.

I meccanismi non sono gli stessi. Da una parte l'abuso di un modello di estensioni che funzionava esattamente come progettato; dall'altra un cumulo di vulnerabilità che non funzionavano come dovevano. Non vi dirò dunque che si tratta di un'unica ondata coordinata, perché da qui non è possibile stabilirlo. Vi dirò che entrambi i prodotti esistono per la stessa ragione: qualcuno, da qualche parte, ha bisogno di raggiungere mille macchine che non ha mai toccato fisicamente, e questa è una capacità, non una categoria di prodotto. Il bersaglio è la capacità. Lo è sempre stato.

Esiste una versione di questo incidente in cui non è colpa di nessuno: software supportato, strumenti legittimi, un rapporto con il fornitore contrattualizzato, assicurato e con tanto di logo sul sito. È la versione ontologicamente scomoda, perché significa che nella cronologia non c'è alcun momento di negligenza da indicare. Avete acquistato la possibilità di eseguire comandi su tutto. Ora qualcun altro la sta esercitando.

Perché è rilevanteSe avete un MSP, il vostro raggio d'azione oggi è la cronologia delle sue sessioni: cercate client ed estensioni ScreenConnect inattesi e trattate qualsiasi sistema N-central esposto a internet durante il fine settimana come compromesso, fino a prova contraria.

Prove

Today’s revelation

La gestione remota è una porta che installate voi, nel vostro muro, e di cui poi consegnate la chiave a una catena di fornitura di cui non avete mai letto la politica di assunzioni.

— Sturgeon's Revelations · Probably Fine Daily No. 46

§2

Notizie principali

Il resto delle ultime 24 ore, prove alla mano.

Vulnerabilità

La CISA aggiunge al KEV Cisco BroadWorks e un transcoder Openwave, entrambi già corretti

Martedì la CISA ha aggiunto due falle al catalogo delle Known Exploited Vulnerabilities: CVE-2026-20320 in Cisco BroadWorks, una restrizione impropria dei riferimenti a entità esterne XML con CVSS 7.5, e CVE-2026-111793 in Openwave Messaging Webtop Media Transcoder, entrambe sfruttate per sottrarre informazioni sensibili, compresi i dati di configurazione. Per entrambe esistono patch. Accanto a queste, la falla di Outlook CVE-2026-124194 è indicata dalla CISA come sfruttata, aggiunta il 10 novembre, CVSS 6.5, raggiungibile via rete, senza bisogno di autenticazione, e pronta a consegnare gli hash di autenticazione NTLMv2 a una destinazione controllata dall'attaccante se qualcuno apre il file.

Perché è rilevanteTre elementi sfruttati, con correzioni disponibili: BroadWorks e il transcoder Openwave sono l'idraulica telefonica poco appariscente di cui nessuno si assume la responsabilità, e Outlook è di responsabilità di tutti, il che è peggio.

attendibilità 0.92

Prove

Vulnerabilità

Il Patch Tuesday era 1.235, o 1.259, o 1.260, o 1.093, a seconda di chi ha contato

Il rilascio di novembre di Microsoft è stato riportato come 1.235 falle da BleepingComputer, 1.259 da The Hacker News, 1.260 dal SANS Internet Storm Center e 1.093 o «quasi 1.100» da SecurityWeek, Cyberscoop e Krebs; le falle critiche risultano 68 secondo SANS e 63 secondo Krebs, e SANS osserva che 167 del totale sono problemi di Chromium in Edge. SAP è stata corretta con 35 vulnerabilità secondo BleepingComputer e 42 advisory, di cui nove critiche, secondo SecurityWeek, con tutti d'accordo sulle quattro falle CVSS 10.0 in NetWeaver e Web Dispatcher. Poi Adobe ne ha corrette 110 in nove prodotti, Fortinet quasi 100 dopo aver integrato modelli di IA di frontiera nei test di sicurezza dei propri prodotti, e Zoom ha rilasciato una correzione per CVE-2026-108186 con CVSS 9.6, un'escalation di privilegi non autenticata via rete. Le discrepanze dipendono dai metodi di conteggio, non da un complotto.

Perché è rilevanteIl numero sulla slide non è un indicatore di rischio; lo sono le quattro falle SAP CVSS 10.0 e l'unico bug di Outlook sfruttato, e hanno la stessa gravità di questo mese come di quello scorso.

attendibilità 0.85

Prove

IA e sicurezza

Uno strumento di pentest agentico ha letto un web.config ed è andato a fare shopping in AWS

ARTEX, un framework di penetration testing nativo per l'IA, è stato osservato a ottobre mentre attaccava ambienti AWS puntando ai dati finanziari; il suo fork AntiFox è ora ospitato in proprio su Alibaba Cloud e usato contro servizi web e AWS, con Arctic Wolf che segnala web shell su IIS, abuso di credenziali AWS valide e richieste riuscite a Secrets Manager. Un'intrusione descritta è quasi noiosamente procedurale: si colpisce un server IIS, si analizza il web.config, si prelevano le credenziali AWS al suo interno, si chiamano 18 servizi in 30 minuti, si raccolgono AccessDenied su quasi tutti e un GetSecretValue su un segreto di produzione. Dark Reading conta 45 strumenti di penetration testing analoghi ancora in grado di condurre attacchi alle credenziali e violazioni del cloud a velocità di macchina. Qui non c'è alcun CVE e non c'è nulla da correggere.

Perché è rilevanteIl muro dei rifiuti non è un attacco respinto, è un'enumerazione gratuita e veloce del vostro perimetro di permessi: il controllo sono dunque l'IAM a privilegio minimo e gli avvisi sulle raffiche di AccessDenied, non la casella di posta.

attendibilità 0.82

Prove

IA e sicurezza

Quattro fornitori di IA e cloud hanno perso i segreti altrui nello stesso arco di tempo

Un attore della minaccia ha usato credenziali IAM dell'account AWS di Qubole per assumere ruoli di integrazione negli ambienti dei clienti tra il 14 e il 26 ottobre, colpendo oltre una dozzina di organizzazioni e sottraendo file, segreti, chiavi e variabili d'ambiente. Fireworks AI ha esteso il proprio incidente di ottobre fino a comprendere dati di account e fatturazione, segreti, dataset e modelli incompleti per un numero limitato di account, ed è così che Notion ha comunicato l'esposizione di trascrizioni di chat con l'IA in meno dell'1% dei propri workspace. Railway afferma che segreti di autenticazione dei clienti rubati hanno prodotto circa 740.000 dollari di utilizzo fraudolento di IA, con fino a 100.000 workspace potenzialmente interessati, e ha dichiarato che pagherà gli addebiti quando un fornitore non li rimborsi; OpenRouter ha rifiutato. NEAR AI, intanto, ha perso il controllo dell'esecuzione di codice su un server di inferenza a causa di una RCE in SGLang, con impatto sui dati di 18 agenti e di circa 100 account utente.

Perché è rilevanteLe vostre chiavi API dei modelli hanno ormai lo stesso raggio d'azione delle credenziali root del cloud, ma nessuna disciplina di rotazione, perché nessuno ha costruito un ciclo di vita delle chiavi per qualcosa che sei mesi fa era un hackathon.

attendibilità 0.86

Prove

Ransomware

N0n pubblica a un ritmo triplo rispetto al proprio, e due gruppi hanno svuotato la cartella delle bozze

La lettura del ritmo di Ninja Signal per oggi conta 291 rivendicazioni sui leak site in sette giorni da parte di 49 dei 277 gruppi monitorati, con N0n a 94 rivendicazioni contro le 28,0 attese in base al proprio tasso precedente, e interlock a 12 contro 1,25, entrambi con p inferiore a 0,001. Sotto questi dati, due gruppi a pubblicazione a raffica hanno dominato la finestra: the gentlemen ha pubblicato circa due dozzine di vittime, tra cui Esri South Africa, United Pharmacy e la National Investments Company del Kuwait, e Curious Worm ha pubblicato una tranche di domini statunitensi del settore sanitario e dei servizi professionali che ransomware.live ha riportato circa 2,1-2,2 ore prima di ransomlook. Separatamente, Krebs attribuisce a Qilin almeno 365 organizzazioni vittime rivendicate negli ultimi tre mesi.

Perché è rilevanteIl volume sui leak site è una cadenza di pubblicazione, non una cadenza di attacco; il segnale su cui agire è quale gruppo sia davvero in impennata, e oggi sono N0n e interlock.

attendibilità 0.80

Prove

Ransomware

Le persone che chiamereste per questo non rispondono, e Maersk ha a che fare con un sistema legacy

NBC News riferisce che alcune delle principali società di cybersicurezza statunitensi stanno rifiutando nuovi clienti in cerca di assistenza d'emergenza, e Sophos afferma che altre società di DFIR le hanno chiesto supporto per il surplus quando i loro team hanno raggiunto la capacità massima; i professionisti sul campo descrivono condizioni orribili in questo momento e dicono che, senza un piano e senza un contratto di retainer, è improbabile ottenere aiuto. Secondo un responder, buona parte è assistita dall'IA ma l'accesso iniziale non è affatto sofisticato: è il bucato sporco di tutti che viene steso al sole in una volta, e la sicurezza per oscurità che muore. In questo contesto Maersk ha confermato che un attore della minaccia ha raggiunto un sistema legacy locale ereditato da un'acquisizione precedente ed ha estratto dati da esso, con WhiteArmor che chiede 5 milioni di dollari.

Perché è rilevanteI contratti di retainer sono ormai un controllo, non una cortesia degli acquisti: il segnale del mercato è che la capacità di picco è limitata e non la si può comprare alle 2 di notte il giorno stesso.

attendibilità 0.75

Prove

Attori della minaccia

Sfruttato in the wild senza CVE: un cookie che non si traduce in nulla prende il controllo di Xen Orchestra

Vates VMS avverte che una grave falla di bypass dell'autenticazione in Xen Orchestra, tracciata come VSA-2026-062 e ancora priva di identificativo CVE, è sfruttata attivamente: l'analisi dei cookie REST trasforma authenticationToken=j:%7B%7D in un oggetto vuoto, l'autenticazione REST lo accetta e l'attaccante ottiene privilegi di amministratore e il controllo a livello root degli host XCP-ng. Barracuda afferma che gli attaccanti hanno iniziato a sfruttare due falle di Email Security Gateway corrette di recente per eseguire comandi come root. Google ha rilasciato aggiornamenti di emergenza per l'ottavo zero-day di Chrome sfruttato in attacchi quest'anno.

Perché è rilevanteDue di questi tre elementi si trovano davanti alla vostra virtualizzazione e alla vostra posta, che insieme sono quasi tutto ciò che un gruppo ransomware vuole prima di colazione.

attendibilità 0.88

Prove

Stranezze

35.578 app costruite con Grok aperte a chiunque, e una backdoor che sta in dieci neuroni

Claroc afferma di aver trovato online 37.571 app costruite con Grok, di cui 35.578 non richiedevano alcun accesso, alcune con dati riservati e password esposti, e 24 delle quali create da dipendenti di X e di SpaceXSI. Altrove, un comando in Claude Code ha salvato su larga scala file contenenti credenziali in repository Git pubblici. E ricercatori di Microsoft hanno dimostrato che a un modello di IA si può inserire una backdoor nascosta modificando meno di dieci dei suoi neuroni usati di rado, senza alcun riaddestramento, così che un trigger scelto induca il modello a emettere un comando dell'attaccante, che un agente eseguirebbe poi con i propri permessi.

Perché è rilevanteDue di questi casi sono segreti nella cartella sbagliata, che sappiamo come risolvere; il terzo è una catena di fornitura in cui l'artefatto non ha un diff leggibile.

attendibilità 0.80

Prove

§3

Nascosto

La lettura approfondita del giorno: cosa c'è sotto i feed, non sopra.

Gran parte del volume odierno è fatto da due leak site che svuotano una coda; la struttura che vale la pena leggere è quella di due piattaforme RMM e di un cumulo di credenziali IA rubate che arrivano nella stessa finestra.

Exception 01
Due piattaforme RMM, un giorno, due meccanismi diversi
ConnectWise ha disattivato cinque estensioni di ScreenConnect dopo che client non autorizzati hanno raggiunto 288 endpoint in 48 organizzazioni, e N-able ha messo offline N-central ospitato a causa di oltre 30 zero-day pubblicati, a circa un giorno di distanza l'una dall'altra. Entrambi sono strumenti basati sulla fiducia negli MSP, quindi potrebbe trattarsi di un'unica ondata contro gli MSP; potrebbe altrettanto essere una coincidenza, perché l'abuso di estensioni e la divulgazione di vulnerabilità non sono la stessa cosa.
attendibilità 0.40Speculative
Wrong if
Huntress o ConnectWise attribuiscono l'abuso di ScreenConnect ad attori estranei alla divulgazione su N-central, oppure le falle di N-central si rivelano frutto di ricerca coordinata e non guidate da attacchi.
Watch
Seguito sui clienti MSP interessati e su qualsiasi rivendicazione ransomware che citi un accesso tramite MSP nei prossimi uno-tre giorni.
Prove
Exception 02
Gli strumenti offensivi agentici hanno lasciato il laboratorio
ARTEX e il suo fork AntiFox compaiono in quattro tipi di fonte in questa finestra, con OTX che anticipa la copertura giornalistica su ARTEX di circa dieci ore, e l'attività osservata è costantemente furto di credenziali cloud, non dimostrazione.
attendibilità 0.55
Wrong if
I risultati di Arctic Wolf si rivelano basati su un unico incidente, senza alcuna diffusione più ampia dello strumento.
Watch
Nuovi fork di AntiFox, ulteriori scansioni provenienti da Alibaba Cloud e altre segnalazioni di abuso di AWS Secrets Manager.
Prove
Exception 03
Le raffiche sui leak site sono un artefatto dello scraper, non un'ondata di attacchi
The gentlemen ha pubblicato circa 25 vittime in circa due ore e Curious Worm circa 10 in sette minuti, con ransomware.live in anticipo su ransomlook di 2,1-2,2 ore pressoché costanti su nove domini di Curious Worm. Quella regolarità è un intervallo di polling, non la tempistica degli attaccanti.
attendibilità 0.60
Wrong if
Gli orari di pubblicazione sui leak site stessi mostrano una cadenza diversa da quella che il ritardo dei tracker lascia intendere.
Watch
Se le vittime in sospeso di the gentlemen verranno confermate e se Curious Worm ripeterà un lotto.
Prove
Exception 04
Una crisi di capacità DFIR senza un incidente specifico alle spalle
Società che rifiutano lavori d'emergenza, Sophos che assorbe il surplus e responder che definiscono non sofisticato l'accesso iniziale lasciano intravedere, insieme, un'intensa attività non segnalata. Tre elementi sostengono questa lettura e nessun singolo incidente è nominato, quindi va considerata debole.
attendibilità 0.25Speculative
Wrong if
Altri fornitori DFIR segnalano capacità normale, oppure i commenti risalgono ai problemi di organico di una sola società.
Watch
Grandi divulgazioni o 8-K della SEC nella prossima settimana.
Prove

Nothing to seeLe storie sulla crisi composta di Atlas, le raffiche di hashtag e i grandi cluster orari sono volume di pubblicazioni sui social e il lotto di Curious Worm, non attività coordinata di attaccanti. Gli upload di ThreatFox relativi a Unknown Loader, Mozi e Remcos sono ordinaria amministrazione di massa. Le rivendicazioni di violazioni sul darknet (2,7 miliardi di SSN, gli elementi su Toyota e Giappone) non sono verificate e hanno collegamenti deboli, e il diluvio di plugin WordPress nell'NVD è reale ma distribuito su decine di prodotti non correlati.

Deep read: 763 elementi letti

§4

Previsioni

Valutazioni datate e falsificabili. Verifichiamo il nostro operato pubblicamente.

Today’s calls

DueThu 19 Nov7d
Almeno una rivendicazione di ransomware o estorsione pubblicata su un leak site da ora al 19 novembre citerà un MSP o i suoi clienti a valle in relazione ad accessi tramite ScreenConnect o N-central.
Wrong ifNessun post su leak site né advisory di fornitori in quella finestra collega una vittima nominata a una delle due piattaforme.
Prove
f-2026-11-12-1
Confidence0.35
DueTue 24 Nov12d
Alla falla di bypass dell'autenticazione di Xen Orchestra, attualmente tracciata solo come VSA-2026-062, verrà assegnato un identificativo CVE, oppure comparirà nel KEV della CISA, o entrambe le cose, entro il 24 novembre.
Wrong ifEntro il 24 novembre la falla è ancora priva di identificativo CVE e di voce nel KEV.
Prove
f-2026-11-12-2
Confidence0.55
DueThu 19 Nov7d
N0n pubblicherà almeno altre 20 rivendicazioni su ransomware.live da ora al 19 novembre, proseguendo l'impennata segnalata nella lettura del ritmo di oggi.
Wrong ifIn quella finestra compaiono su ransomware.live meno di 20 nuove rivendicazioni di N0n.
Prove
1. 1Ransomware tempo · Ninja Signal graphNinja Signal ransomware tempo for 2026-11-12. In th…
f-2026-11-12-3
Confidence0.60

Scorecard

1 partly · 1 wrong · 2 open

open
No public vendor or CISA advisory ties the Ivanti Connect Secure exploitation chain to a specific named threat actor or ransomware group by 2026-11-12.
Called Mon 2 Nov · due Thu 12 Nov
No item in today's feed names a threat actor behind CVE-2026-111357 Ivanti chain; Ivanti/CISA advisory items mention other CVEs only.
partly
At least one of Everstake's two scheduled releases (582.69 Gb due 10 November, 473.05 Gb due 12 November) appears on the leak sites, with the victim named, by 13 November 2026.
Called Tue 3 Nov · due Fri 13 Nov
Everstake actor on ransomware.live posted a new claim (ki*****o.com, redacted) on 2026-11-11, but neither the 582.69 Gb nor 473.05 Gb Everstake releases appear as named/published victims; the new entry is still redacted.
open
IHG Hotels & Resorts does not publicly confirm the BYOD intrusion claim.
Called Thu 5 Nov · due Thu 12 Nov
No IHG statement or regulatory filing acknowledging the BYOD intrusion claim appears in today's feed by the 12 November deadline.
wrong
No independent confirmation of the Whitearmor claim against the named shipping line will appear in these feeds; it stays an unverified leak-site listing.
Called Sun 8 Nov · due Fri 13 Nov
Maersk publicly confirmed the breach attributed to WhiteArmor ransomware, with a company statement reported in mainstream outlets.
Prove

Glossario dei termini con cui ci si aspetta che tu annuisca

Agentico (n.): Autorizzato a commettere gli stessi errori di un junior stanco, alla velocità di clock di un data center, senza alcun dubbio su di sé e con un set valido delle vostre credenziali. Si veda anche: 18 chiamate API in 30 minuti, 17 delle quali rifiutate, che il fornitore descrive come contenimento e l'attaccante descrive come una mappa.

§5

Dal nostro fronte

Attacchi in corso sui nostri server nelle ultime 24 ore. Sì, proprio i nostri.

Il nostro perimetro, ultime 24 ore: 56 fonti ostili profilate — 30 scanner, 21 crawler bot, 3 operatori mirati, 2 brute forcer — che hanno inviato complessivamente 4.287 richieste, di cui 16 sono andate oltre la ricognizione fino a veri tentativi di sfruttamento, da 6.434 indirizzi di 106 paesi, con 1.857 visti per la prima volta oggi. Sette gruppi di indirizzi condividevano un'impronta comportamentale, che è il modo educato per dire uno strumento solo con più cappelli. La massima ostilità è stata 7,7 su 10, assegnata a pari merito a 85.204.70.100 e 129.221.248.33, entrambi intenti a chiedere al nostro percorso di login file WordPress che non abbiamo, raggiungendo così nella kill chain la fase di credential-access. Un indirizzo ha inviato tre richieste modellate su CVE-2017-9841 al percorso phpunit, che continua a essere spruzzato su internet con l'ottimismo paziente di un uomo che mette monete in un parchimetro in mezzo a un campo. I log grezzi non hanno mai lasciato il server; solo questi risultati l'hanno fatto.

56fonti ostili profilate

4.287richieste da esse

16arrivate allo sfruttamento

7cluster a DNA condiviso

7,7/10massima ostilità

6.434indirizzi sul nostro perimetro

1.857visti per la prima volta oggi

106paesi

La lista WTF

WTF #1
Alla ricerca delle vostre chiavi IA
34.78.49.147, uno scanner (ostilità 5,4/10), ha inviato 123 richieste a uno dei nostri siti, cercando /.env.anthropic, /.env, /.env-sample, /.docker/laravel/app/.env.
Perché è anomaloHa puntato dritto alle credenziali IA: /.env.anthropic. Le chiavi API dei modelli sono ormai nella lista della spesa degli scanner, accanto alle chiavi cloud.
attribution: sconosciutoThu 12 Nov, 01:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA 18e39c4b41fb
```
WTF #2
Il visitatore più determinato
85.204.70.100, un operatore mirato (ostilità 7,7/10), ha inviato 20 richieste a uno dei nostri siti, cercando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Perché è anomaloOstilità più alta della classifica; la sua kill chain ha raggiunto il credential-access.
attribution: sconosciutoThu 12 Nov, 01:00 UTC
Detail
```
kill chain: ricognizione → weaponization → exploitation → credential-access · DNA 82a939927b85
```
WTF #3
Tentano CVE-2017-9841 su di noi
1 indirizzo ha inviato 3 richieste modellate sullo sfruttamento di CVE-2017-9841 (/vendor/phpunit/phpunit/…), tra cui 2400:6180:10:200::f6a8:4000.
Perché è anomaloUn exploit noto e con nome ancora spruzzato su internet; il nostro perimetro lo ha visto oggi, qualunque cosa dicano le note di patch sull'anno.
attribution: sconosciuto
Detail
```
famiglia di sonde: phpunit-rce
```
WTF #4
Stesso DNA, indirizzi diversi
207.175.85.46, uno scanner (ostilità 5,1/10), ha inviato 132 richieste a uno dei nostri siti, cercando /.env, /.aws/.env, /.docker/laravel/app/.env, /.docker/.env.
Perché è anomalo11 IP condividono la stessa impronta comportamentale (DNA 18e39c4b41fb): uno strumento o un operatore che ruota gli indirizzi: 34.62.31.226, 34.78.49.147, 34.22.159.76, 34.22.204.254, 207.175.237.228 e altri.
attribution: sconosciutoThu 12 Nov, 01:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA 18e39c4b41fb
```
WTF #5
La lista della spesa più strana
129.221.248.33, un operatore mirato (ostilità 7,7/10), ha inviato 20 richieste a uno dei nostri siti, cercando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Perché è anomaloHa chiesto file che quasi nessun altro chiede: /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml, /login/wordpress/wp-incl.
attribution: sconosciutoThu 12 Nov, 01:00 UTC
Detail
```
kill chain: ricognizione → weaponization → exploitation → credential-access · DNA 82a939927b85
```
WTF #6
Di fretta
84.17.60.251, uno scanner (ostilità 6,1/10), ha inviato 20 richieste a uno dei nostri siti, cercando //wp-includes/wlwmanifest.xml, //xmlrpc.php, //blog/wp-includes/wlwmanifest.xml, //web/wp-includes/wlwmanifest.xml.
Perché è anomaloHa sparato 20 richieste in circa 1,4 secondi.
attribution: sconosciutoThu 12 Nov, 01:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA dfef4501b216
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

291claims, 7 days

49of 277 groups active

N0n94 this week · surging

Climax Inc17 this week · new

Vortex14 this week · new

SurgingN0n — 94 claims in 7 days against 28.0 expected from its own prior rate (p < 0.001)
Surginginterlock — 12 claims in 7 days against 1.2 expected from its own prior rate (p < 0.001)
Surgingmetaencryptor — 9 claims in 7 days against 1.1 expected from its own prior rate (p < 0.001)
SurgingBlack X — 3 claims in 7 days against 0.5 expected from its own prior rate (p = 0.014)
SurgingSilentRansomGroup — 8 claims in 7 days against 3.2 expected from its own prior rate (p = 0.016)
SurgingBYOD — 6 claims in 7 days against 2.6 expected from its own prior rate (p = 0.049)

Gone quiet: global (61 days), embargo (64 days), kazu (66 days), DYSPHOR1A (67 days).

Sector pressure, 30 days

UpEducation — 1.4× its own prior share (49 claims, 34 expected)
DownAgriculture and Food Production — 0.5× its own prior share (20 claims, 38 expected)
DownProfessional Services — 0.8× its own prior share (126 claims, 151 expected)

29% of claims carry no sector label.

Brand churn

Of the 239 leak-site brands first seen since 2021-09-30, 75% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 37% made at least half their claims in their first week. New brands this month: 8 — newest: Curious Worm (2026-11-11, 9 claims), osiris (2026-11-11, 8 claims), Climax Inc (2026-11-10, 17 claims).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.3× every other brand's share); N0n put 28% of its claims on Transportation (6.2× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.2× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 2 of 196 claims at weekends and half its claims in 12:00–13:59 UTC; half of thegentlemen's claims appeared in 06:00–09:59 UTC. Leak sites overall are 34% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–20:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Sul campo

Strumenti live gratuiti. Nessuna registrazione, nessun contatto commerciale.

§8

Colophon

Come è stata realizzata questa edizione, senza fronzoli.

L'edizione 46 è stata realizzata da una macchina e verificata dal codice. Ogni elemento pubblicato da 13 feed pubblici sulle minacce nelle 24 ore fino alle 05:05 UK (763 elementi) è stato letto integralmente: statistiche calcolate nel codice, ogni porzione letta da Claude Sonnet, la struttura sintetizzata da Claude Opus. Claude Opus ha poi curato il giornale. Ogni articolo cita gli elementi su cui si basa; gli articoli le cui fonti non risultavano verificabili, o i cui numeri non figuravano nelle fonti, sono stati scartati prima della pubblicazione (0 oggi). Le previsioni vengono valutate pubblicamente nelle edizioni successive. «Dal nostro perimetro» sono dati di attacco in tempo reale dai nostri server. Costoo di questa edizione: 1,26 $. È scritta da una macchina con la voce di ScottG, autore di Everything Is Probably Fine, e nessuno l'ha rivista a mano, il che è o il punto o il problema.

763items read

24hour window

$1.26cost of this edition

05:05 UTCgenerated

Fonti di questa mattina

ThreatFox175ok
Telegram126ok
Security news115ok
NVD100ok
infosec.exchange80ok
Signal Atlas51ok
RansomLook35ok
RSS25ok
ransomware.live24ok
AlienVault OTX15ok
atlas14ok
signal:ioc-family2ok
Ransomware tempo · Ninja Signal graph1ok

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

La CISA aggiunge al KEV Cisco BroadWorks e un transcoder Openwave, entrambi già corretti

Il Patch Tuesday era 1.235, o 1.259, o 1.260, o 1.093, a seconda di chi ha contato

Uno strumento di pentest agentico ha letto un web.config ed è andato a fare shopping in AWS

Quattro fornitori di IA e cloud hanno perso i segreti altrui nello stesso arco di tempo

N0n pubblica a un ritmo triplo rispetto al proprio, e due gruppi hanno svuotato la cartella delle bozze

Le persone che chiamereste per questo non rispondono, e Maersk ha a che fare con un sistema legacy

Sfruttato in the wild senza CVE: un cookie che non si traduce in nulla prende il controllo di Xen Orchestra

35.578 app costruite con Grok aperte a chiunque, e una backdoor che sta in dieci neuroni

Due piattaforme RMM, un giorno, due meccanismi diversi

Gli strumenti offensivi agentici hanno lasciato il laboratorio

Le raffiche sui leak site sono un artefatto dello scraper, non un'ondata di attacchi

Una crisi di capacità DFIR senza un incidente specifico alle spalle

Today’s calls

Scorecard

Glossario dei termini con cui ci si aspetta che tu annuisca

La lista WTF

Alla ricerca delle vostre chiavi IA

Il visitatore più determinato

Tentano CVE-2017-9841 su di noi

Stesso DNA, indirizzi diversi

La lista della spesa più strana

Di fretta

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

Fonti di questa mattina