Apertura · Sfruttate ora

Entrambe le vostre piattaforme di gestione remota hanno avuto un giovedì difficile, e la patch non era un alibi

N-central di N-able è stato sfruttato a poche ore da una proof of concept pubblica — diciannove dei ventuno server compromessi avevano l'ultimo aggiornamento di sicurezza — mentre un toolkit dall'andamento worm-like chiamato SCKit ha sfruttato ScreenConnect in cloud per infiltrarsi in 288 host di 48 organizzazioni.

attendibilità 0.86

Si parta dal numero, perché è tutta la storia: i ricercatori segnalano almeno 21 server N-central compromessi, di cui 19 con l'ultimo aggiornamento di sicurezza dell'azienda, sui quali gli aggressori hanno installato cryptominer. L'exploit si chiama 4EverAble2Shell ed è entrato in uso reale poche ore dopo la comparsa della proof of concept. N-able ha messo offline la piattaforma dopo la divulgazione di 33 vulnerabilità, ha rilasciato un hotfix, ha corretto quelle non autenticate, e ha poi dovuto rispondere a una nuova analisi pubblica che sostiene l'esistenza di una RCE come root e di accesso Windows SYSTEM su 2026.4.1 HF2, la quale, secondo l'azienda, dipende da una configurazione non predefinita.

Nella stessa finestra temporale, e probabilmente senza alcun legame, alcuni operatori hanno trasformato i pannelli ScreenConnect ospitati in cloud in un meccanismo di distribuzione: un toolkit chiamato SCKit ha installato client controllati dagli aggressori su 288 host di 48 organizzazioni, concepito per propagarsi dal dispositivo di un cliente, lungo la sessione di assistenza, fino alla macchina del tecnico e da lì verso altre reti gestite. ConnectWise afferma che l'accesso è avvenuto tramite l'abuso di un'estensione indipendente di terze parti che aggirava l'autenticazione; i ricercatori di Blackpoint sostengono che il punto d'ingresso fosse una vulnerabilità critica già corretta, non una nuova. Due fornitori, due cause originarie, un unico insieme di clienti a valle.

La parte scomoda non sono i bug, ma la forma del problema: per quindici anni abbiamo concentrato la portata amministrativa in una manciata di console perché è efficiente, e l'efficienza è una proprietà che passa senza attriti a chiunque acceda dopo di noi. Una piattaforma di gestione degli endpoint è una chiave maestra fatta su misura per chi fa la manutenzione degli ascensori, e questa settimana due di esse erano in altre mani. Patchato non significa pulito.

Perché è rilevanteSe gestite o acquistate un RMM, il compito di oggi è la caccia sui server già aggiornati — miner, client ScreenConnect non autorizzati, nuove sessioni di tecnici — non la verifica del numero di versione.

Prove

Today’s revelation

Applicare una patch non è uno sfratto. È una lettera spedita a un inquilino che ha già una chiave, un divano e un cryptominer.

— Sturgeon's Revelations · Probably Fine Daily No. 47

§2

Notizie principali

Il resto delle ultime 24 ore, prove alla mano.

Vulnerabilità

SignDrop: una funzione di sicurezza di Windows riconvertita in via d'accesso a SYSTEM, senza CVE e senza patch

Un codice exploit pubblico diffuso questa settimana, attribuito al ricercatore Abdelhamid Naceri, sfrutta la funzione di autenticazione dei log del driver Common Log File System — introdotta lo scorso anno per rendere gli attacchi più difficili — per concedere a un utente locale privilegi SYSTEM. Non esiste alcun CVE, alcuna correzione, e Microsoft non ha ancora confermato la vulnerabilità. La notizia è arrivata nello stesso giorno in cui Microsoft ha confermato che gli aggiornamenti di sicurezza di novembre 2026 non si installano sui sistemi Windows 11 con l'aggiornamento di anteprima di ottobre, e mentre gli aggiornamenti successivi al Patch Tuesday di ottobre causano problemi di prestazioni e stabilità a SQL Server. Nessun nesso causale tra i tre elementi; la finestra di esposizione, comunque, è cumulativa.

Perché è rilevanteL'escalation locale dei privilegi è il modo in cui una sessione sottratta con il phishing diventa un problema di dominio, e in questo momento parte del vostro parco macchine non può installare affatto gli aggiornamenti mensili.

attendibilità 0.80

Prove

Ransomware

The Gentlemen hanno svuotato la cartella delle bozze; i dati sul ritmo dicono che è N0n a stare davvero accelerando

Mercoledì The Gentlemen hanno pubblicato sul proprio sito di leak circa venticinque vittime in otto minuti — un'azienda informatica giapponese, un'agenzia per l'istruzione nordmacedone, un comune distrettuale peruviano, una città canadese, aziende farmaceutiche e di ingegneria su quattro continenti — il che è una scelta di pubblicazione, non il frutto di venticinque mercoledì di lavoro. Il dato più noioso e più duro viene dal conteggio del ritmo: 360 rivendicazioni sui siti di leak in sette giorni da parte di 47 dei 277 gruppi monitorati, con N0n a 90 rivendicazioni contro le 28,56 attese in base al proprio tasso precedente e incransom a 54 contro 7,32, entrambi con p < 0,001. Tra le aggiunte di INC figura una rivendicazione contro raymondjames.com, mentre Darkfeed segnala un attacco a un'azienda energetica finlandese, non verificato. Luna Moth, separatamente, è tornato a colpire studi legali che la prima volta si erano rifiutati di pagare, stavolta a caccia di token di accesso Microsoft.

Perché è rilevanteI conteggi dei picchi misurano il calendario di pubblicazione di un gruppo; le statistiche di impennata dicono chi sta davvero lavorando di più, e questa settimana sono N0n e INC.

attendibilità 0.75

Prove

Attori della minaccia

4.837 account GitHub rubati, 61.764 repository sondati, e la vostra CI che cede tranquillamente i propri segreti

La campagna wfx-loot ha usato 4.837 account GitHub compromessi per sondare 61.764 repository, aprire pull request e inviare un payload ruba-segreti che è stato eseguito in oltre 1.800 di essi, sottraendo credenziali cloud dalla CI. Il caso si inserisce in una settimana in cui Apify ha ruotato i segreti interni e revocato le connessioni OAuth di terze parti dopo un accesso non autorizzato, e in cui la giapponese Cyber Security Cloud ha reso noto un accesso non autorizzato al proprio ambiente di sviluppo GitHub, ricondotto a una singola credenziale esposta di un dipendente, confermato il 5 novembre. I tre episodi non sono collegati; il bersaglio è identico.

Perché è rilevanteRuotate i token CI e le chiavi cloud raggiungibili dai runner di build, e trattate una pull request proveniente da un account noto come codice non attendibile, perché questa settimana lo era.

attendibilità 0.80

Prove

IA e sicurezza

L'IA è ormai su entrambi i lati della fattura: accesso ai modelli dirottato, movimento laterale scritto dall'IA e 186 domini IA falsi

Il Google Threat Intelligence Group descrive il LLMjacking — aggressori che dirottano l'accesso aziendale a modelli linguistici di grandi dimensioni e monetizzano la potenza di calcolo altrui — mentre un altro caso di studio mostra un aggressore i cui comandi digitati a mano erano falliti contro un rivenditore statunitense tornare il giorno dopo con script generati dall'IA e ottenere movimento laterale in pochi minuti. Intanto 186 domini imitativi di strumenti IA, con il nome in codice TypoPrompt, distribuiscono esche ClickFix ed estensioni che dirottano il browser; tentativi di exploit colpiscono il banale bypass di autenticazione di GPUStack, CVE-2026-102895, in tutte le versioni precedenti alla 2.2.0; le trascrizioni delle chat dei clienti di Notion sono state esposte attraverso la violazione di Fireworks AI, con meno dell'1% degli spazi di lavoro coinvolti; e United Airlines ha deciso di impedire ai clienti di usare agenti IA sui propri account, citando condivisione di credenziali e acquisti involontari. Il nostro edge ha visto uno scanner richiedere /.env.anthropic.

Perché è rilevanteLe chiavi API dei modelli sono ormai credenziali con un indirizzo di fatturazione: censitele, delimitatene l'ambito, impostate allarmi come per le chiavi cloud.

attendibilità 0.78

Prove

Vulnerabilità

Critica in mod_http2, dodici in NetScaler, due in Quay, una in Windchill e oltre 180 nei vostri browser

Apache ha corretto CVE-2026-119618, una race condition in mod_http2 che un aggressore non autenticato può usare per l'esecuzione di codice da remoto su server con HTTP/2 abilitato — scoperta, in una frase destinata a invecchiare in modo interessante, da Anthropic e Google. Citrix ha risolto 12 vulnerabilità in NetScaler ADC, Gateway e Console, tra cui un bypass di autenticazione con punteggio 9,4 e un distinto denial-of-service con punteggio 9,5; Red Hat Quay presenta due criticità a 9,8 e 9,9 che permettono a un aggressore di leggere e sovrascrivere immagini di container private in ogni repository, senza bisogno di alcun account finché l'accesso anonimo — l'impostazione predefinita — è attivo. Si aggiungano PTC Windchill e FlexPLM, CVE-2026-126325 con CVSS v4 9,2; un crash pre-autenticazione di MongoDB, CVE-2026-118383, che si manifesta solo quando un secondario in ritardo viene promosso durante il failover; e oltre 180 correzioni tra Chrome 157 e Firefox 160.

Perché è rilevanteHTTP/2 esposto su internet, NetScaler e qualsiasi registro Quay con accesso anonimo sono il lavoro di questo fine settimana; il resto può attendere la finestra di modifica che non otterrete.

attendibilità 0.85

Prove

Malware e IOC

GSocket: la persistenza che sopravvive alla vostra patch

Diversi attori della minaccia stanno installando GSocket, uno strumento open source legittimo di accesso remoto, su server Linux compromessi proprio perché l'accesso sopravviva alla correzione della falla che lo ha consentito. Lo stesso giorno, è in corso una campagna che abusa di T-SQL su istanze Microsoft SQL Server esposte a internet per distribuire payload, un orchestratore di cryptomining per Linux scritto in Rust, chiamato SANSAR, che nasconde deliberatamente l'uso della GPU, e un framework di comando e controllo residente nel browser, chiamato Falcon, interamente in JavaScript. Il filo comune ai quattro casi è lo stesso: meccanismi legittimi, nessun binario evidente, nulla di cui il rapporto sulle patch possa rallegrarsi.

Perché è rilevanteDopo aver risanato un host Linux sfruttato, cercate strumenti di relay in uscita e processi inspiegati, altrimenti avrete riparato la porta di una casa già occupata.

attendibilità 0.80

Prove

Politica e giustizia

Europol sequestra centinaia di server a Gootloader, CastleRAT e StealC — StealC per la seconda volta quest'anno

Europol e partner di nove paesi hanno sequestrato centinaia di server e domini dietro le operazioni Gootloader, CastleRAT e StealC; gli investigatori tedeschi riferiscono che la rete StealC ricostruita faceva capo al provider di bulletproof hosting Virtualine, sequestrato dall'FBI in ottobre, con l'assistenza della polizia di Francoforte e della Dutch National High Tech Crime Unit. Separatamente, DoJ e FBI hanno annunciato il sequestro di 1,2 miliardi di dollari in criptovalute sottratte a Binance e lo smantellamento degli strumenti «FaceStealer», con l'FBI che attribuisce un ulteriore furto da 400 milioni di dollari a ingegneria sociale riconducibile alla Corea del Nord. Due smantellamenti dello stesso stealer in un anno sono il modello di business descritto ad alta voce.

Perché è rilevanteAspettatevi un forte ricambio dell'infrastruttura C2 degli stealer nelle prossime due settimane; aggiornate le blocklist anziché fidarvi di quelle del mese scorso.

attendibilità 0.85

Prove

Stranezze

Internet finisce martedì, il leak dell'FBI contiene chiavi AWS di esempio e un canale Telegram consiglia di smettere di usare Telegram

Canali ucraini di area militare e media regionali russi hanno passato giovedì a smentire una voce secondo cui gli hacker azzereranno i conti bancari del mondo il 17 novembre e toglieranno internet per tre mesi, riconducibile a un account anonimo in Brasile con 2.000 follower; il ministero kazako per le situazioni di emergenza ha confermato ufficialmente che nessuno ha chiesto a nessuno di fare scorte. Altrove, un canale ha pubblicato presunti registri dell'FBI sulle licenze per armi da fuoco le cui credenziali AWS recitano AKIAEXAMPLE123456 e wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY, ovvero l'esempio della documentazione, parola per parola. E un canale Telegram ha pubblicato un avviso urgente a evitare Telegram finché non sarà corretta una RCE per desktop e Android, subito sopra la pubblicità di un casinò di criptovalute senza KYC.

Perché è rilevanteMetà dello strato Telegram del vostro feed di intelligence è marketing, e si manifesta in picchi convincenti quanto quelli veri.

attendibilità 0.70

Prove

§3

Nascosto

La lettura approfondita del giorno: cosa c'è sotto i feed, non sopra.

Sotto i feed: una giornata di notizie vera, due campagne RMM indipendenti che si scontrano e un picco di leak site che è soprattutto un calendario di pubblicazione.

Exception 01
Piattaforme RMM colpite da due direzioni contemporaneamente, probabilmente in modo indipendente
Lo sfruttamento di N-central dopo una PoC pubblica — inclusi server con l'ultimo aggiornamento, con miner installati — e il worm SCKit che abusa di ScreenConnect in cloud sono emersi nella stessa finestra su cyber-news, RSS, OTX e Telegram, con OTX in anticipo di circa tre ore sul ciclo delle notizie. I fornitori indicano cause originarie contrastanti: ConnectWise punta a un bypass di autenticazione in un'estensione di terze parti, Blackpoint a una vulnerabilità già corretta, N-able a una configurazione non predefinita. L'esposizione comune riguarda i clienti MSP a valle; la co-occorrenza è il segnale, non un legame dimostrato.
attendibilità 0.70
Wrong if
Analisi forensi che mostrino che l'accesso di SCKit proviene da un furto di credenziali non correlato anziché da ScreenConnect, oppure uno sfruttamento di N-central limitato al percorso non predefinito senza host aggiornati compromessi.
Watch
Assegnazione di CVE e un avviso consolidato di N-able nelle prossime 24-72 ore; ulteriori conteggi di vittime SCKit oltre le 48 organizzazioni.
Prove
Exception 02
Il picco di The Gentlemen è una pubblicazione in blocco, amplificata dall'aggregatore
Il picco di 82 elementi del 12 novembre, a fronte di una mediana di zero negli altri giorni, riflette circa 25 post su leak site in circa otto minuti, seguiti da segnali duplicati a valle con circa otto ore di ritardo rispetto a ransomware.live. Il volume sovrastima l'attività, e l'etichettatura di paese e settore in quei record è abbastanza incoerente da far scartare le correlazioni che ne derivano. L'informazione reale è un insieme di vittime ampio, eterogeneo e in parte governativo, pubblicato in un colpo solo.
attendibilità 0.75
Wrong if
Timestamp grezzi dei leak site che mostrino le vittime distribuite su molte ore, o vittime risultate pubblicate prima altrove.
Watch
Se il gruppo ripeterà una pubblicazione in blocco e se le vittime citate confermeranno.
Prove
Exception 03
Lo strato Telegram sta registrando picchi di spam, non di intelligence
Diversi picchi di cinque elementi di ieri provengono da canali che vendono accessi, sollecitano «investitori» o riciclano una voce apocalittica smentita, incluso un presunto dataset dell'FBI contenente credenziali AWS segnaposto. Le statistiche di picco calcolate su questi canali misurano la cadenza del marketing, non l'attività degli avversari.
attendibilità 0.65
Wrong if
Conferma indipendente dei dati dell'FBI, o feed autorevoli che riprendano una qualsiasi di queste affermazioni.
Watch
Se qualcuna delle affermazioni di questi canali comparirà in rapporti di fornitori o forze dell'ordine questa settimana.
Prove

Nothing to seeIl «silenzio» dell'NVD dopo le 00:21 del 12 novembre è un effetto dei tempi di ingestione, non una pausa reale, e i cento elementi NVD nella finestra recano tutti la data del 10 novembre. I lotti di CVE di Zoho, Hitachi, Siemens e WordPress sono tempistiche di rilascio coordinate dai fornitori, non comportamento coordinato degli aggressori. I segnali per paese della «crisi composta» di Atlas — Giappone, Indonesia, Filippine, Taiwan, Panama e altri — sono aggregati a bassa affidabilità senza alcun attore indicato. Con un solo giorno di dati, nessuno può onestamente parlare di tendenza.

Deep read: 548 elementi letti

§4

Previsioni

Valutazioni datate e falsificabili. Verifichiamo il nostro operato pubblicamente.

Today’s calls

DueFri 20 Nov7d
N-able pubblica un avviso consolidato o un identificativo CVE che copra i problemi di 4EverAble2Shell e di N-central successivi all'hotfix entro il 20 novembre 2026.
Wrong ifNessun avviso N-able né CVE relativo a questi problemi compare nei feed entro la fine del 20 novembre.
Prove
f-2026-11-13-1
Confidence0.65
DueMon 23 Nov10d
Le segnalazioni pubbliche sulla campagna ScreenConnect/SCKit portano il numero di vittime oltre le 48 organizzazioni entro il 23 novembre 2026.
Wrong ifTutte le segnalazioni successive fino al 23 novembre citano ancora 48 organizzazioni o meno.
Prove
f-2026-11-13-2
Confidence0.50
DueFri 27 Nov14d
Microsoft conferma il problema CLFS di SignDrop o gli assegna un CVE entro il 27 novembre 2026.
Wrong ifNessuna conferma, avviso o CVE di Microsoft per la tecnica CLFS di SignDrop nei feed entro il 27 novembre.
Prove
f-2026-11-13-3
Confidence0.40

Scorecard

2 right · 2 open

open
No public vendor or CISA advisory ties the Ivanti Connect Secure exploitation chain to a specific named threat actor or ransomware group by 2026-11-12.
Called Mon 2 Nov · due Thu 12 Nov
Due date 2026-11-12 passed; no item in today's feed ties the Ivanti CVE-2026-111357 chain to a named actor or ransomware group.
open
IHG Hotels & Resorts does not publicly confirm the BYOD intrusion claim.
Called Thu 5 Nov · due Thu 12 Nov
Due date 2026-11-12 passed with no IHG statement or regulatory filing acknowledging the BYOD intrusion claim in any feed item.
right
At least one ransomware or extortion leak-site claim published between now and 19 November will name an MSP or its downstream customers in connection with ScreenConnect or N-central access.
Called Thu 12 Nov · due Thu 19 Nov
SCKit malware campaign explicitly targeted MSPs via ScreenConnect, with leak-site and news items naming MSP victims and the ScreenConnect platform.
Prove
right
N0n will post at least 20 further leak-site claims to ransomware.live between now and 19 November, continuing the surge flagged in today's tempo read.
Called Thu 12 Nov · due Thu 19 Nov
Tempo report confirms N0n posted 90 claims in the last 7 days, far exceeding the 20-claim threshold for the window ending 2026-11-19.
Prove
1. 1Ransomware tempo · Ninja Signal graphNinja Signal ransomware tempo for 2026-11-13. In th…

Glossario dei termini con cui ci si aspetta che tu annuisca

Configurazione non predefinita (n.): La configurazione in cui esiste la vulnerabilità e che — per una coincidenza che nessun fornitore ha ancora saputo spiegare — è la configurazione che il vostro parco sistemi esegue dall'ultima migrazione.

§5

Dal nostro fronte

Attacchi in corso sui nostri server nelle ultime 24 ore. Sì, proprio i nostri.

Il nostro edge, intanto, ha avuto una giornata ordinaria, ed è questo l'aspetto inquietante: il sensore locale ha profilato 64 fonti ostili — 35 crawler automatici, 27 scanner, 2 operatori mirati — che hanno inviato complessivamente 3.200 richieste, di cui 29 sono andate oltre la ricognizione in veri e propri tentativi di sfruttamento, da 5.965 indirizzi di 101 paesi, 1.782 dei quali visti oggi per la prima volta. Uno scanner a 34.53.218.24 (ostilità 5,4/10, 123 richieste) ha passato in rassegna /.env, /.aws/.env e /.docker/.env per poi richiedere /.env.anthropic, il che dice dove stanno ora le chiavi dei modelli nella lista della spesa. Un altro, 34.77.241.117, ha inviato 296 richieste a due dei nostri siti in circa 2,2 secondi, cinque indirizzi condividevano un'unica impronta comportamentale (DNA ce6ecdfacbe3, guidata da 35.195.85.59 con 150 richieste), e 206.189.217.192 ha inviato tre richieste modellate su CVE-2017-9841 contro /vendor/phpunit/, un bug vecchio di nove anni a cui nessuno ha detto a internet di smettere di provare. I log grezzi non hanno mai lasciato il server. Solo i risultati.

64fonti ostili profilate

3.200richieste da esse

29arrivate allo sfruttamento

12cluster a DNA condiviso

7,3/10ostilità massima

5.965indirizzi al nostro edge

1.782visti per la prima volta oggi

101paesi

La lista WTF

WTF #1
A caccia delle vostre chiavi IA
34.53.218.24, uno scanner (ostilità 5,4/10), ha inviato 123 richieste a uno dei nostri siti, cercando /.docker/laravel/app/.env, /.env, /.aws/.env, /.docker/.env.
Perché è anomaloÈ andato dritto alle credenziali IA: /.env.anthropic. Le chiavi API dei modelli sono ora nella lista della spesa degli scanner accanto alle chiavi cloud.
attribution: sconosciutoThu 12 Nov, 18:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA 18e39c4b41fb
```
WTF #2
Il visitatore più determinato
23.99.228.58, uno scanner (ostilità 6,7/10), ha inviato 84 richieste a uno dei nostri siti, cercando /wp-admin/css/colors/blue/qww.php, /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /radio.php.
Perché è anomaloOstilità più alta della classifica; la sua kill chain è arrivata alla weaponization.
attribution: sconosciutoThu 12 Nov, 18:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA dfef4501b216
```
WTF #3
Prove di CVE-2017-9841 contro di noi
1 indirizzo ha inviato 3 richieste modellate sullo sfruttamento di CVE-2017-9841 (/vendor/phpunit/phpunit/…), incluso 206.189.217.192.
Perché è anomaloUn exploit noto e con nome ancora sparso a tappeto su internet; il nostro edge lo ha visto oggi, qualunque cosa dicano le note di rilascio sull'anno.
attribution: sconosciuto
Detail
```
famiglia di sonde: phpunit-rce
```
WTF #4
Stesso DNA, indirizzi diversi
35.195.85.59, uno scanner (ostilità 4,7/10), ha inviato 150 richieste a uno dei nostri siti, cercando /.env, /.env.production.backup, /project/.env, /workspace/.env.
Perché è anomalo5 IP condividono un'unica impronta comportamentale (DNA ce6ecdfacbe3): un solo strumento o un solo operatore che ruota gli indirizzi: 35.195.85.59, 34.62.82.207, 34.53.147.106, 45.148.10.21, 34.62.9.55.
attribution: sconosciutoThu 12 Nov, 19:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA ce6ecdfacbe3
```
WTF #5
La lista della spesa più strana
20.217.29.214, uno scanner (ostilità 6,7/10), ha inviato 28 richieste a uno dei nostri siti, cercando /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /jn.php, /awp.php.
Perché è anomaloHa chiesto file che quasi nessun altro chiede: /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /jn.php, /awp.php, /er.php.
attribution: sconosciutoThu 12 Nov, 18:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA dfef4501b216
```
WTF #6
Di fretta
34.77.241.117, uno scanner (ostilità 4,8/10), ha inviato 296 richieste a 2 dei nostri siti, cercando /.env, /storage/.env, /opt/.env, /html/.env.
Perché è anomaloHa inviato 296 richieste in circa 2,2 secondi.
attribution: sconosciutoThu 12 Nov, 18:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA f54b5889aafb
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

360claims, 7 days

47of 277 groups active

N0n90 this week · surging

incransom54 this week · surging

thegentlemen22 this week

SurgingN0n — 90 claims in 7 days against 28.6 expected from its own prior rate (p < 0.001)
Surgingincransom — 54 claims in 7 days against 7.3 expected from its own prior rate (p < 0.001)
Surginginterlock — 12 claims in 7 days against 1.2 expected from its own prior rate (p < 0.001)
Surgingmetaencryptor — 10 claims in 7 days against 1.1 expected from its own prior rate (p < 0.001)
SurgingBlack X — 3 claims in 7 days against 0.5 expected from its own prior rate (p = 0.013)
SurgingBYOD — 6 claims in 7 days against 2.5 expected from its own prior rate (p = 0.045)

Gone quiet: global (62 days), embargo (65 days), kazu (67 days), DYSPHOR1A (68 days).

Sector pressure, 30 days

UpEducation — 1.5× its own prior share (54 claims, 37 expected)
DownAgriculture and Food Production — 0.5× its own prior share (21 claims, 40 expected)
DownProfessional Services — 0.8× its own prior share (134 claims, 161 expected)

29% of claims carry no sector label.

Brand churn

Of the 239 leak-site brands first seen since 2021-09-30, 75% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 37% made at least half their claims in their first week. New brands this month: 8 — newest: Curious Worm (2026-11-11, 10 claims), osiris (2026-11-11, 8 claims), Climax Inc (2026-11-10, 17 claims).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.3× every other brand's share); N0n put 28% of its claims on Transportation (6.2× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.2× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 2 of 196 claims at weekends and half its claims in 12:00–13:59 UTC; half of thegentlemen's claims appeared in 06:00–09:59 UTC. Leak sites overall are 36% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 09:00–17:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Sul campo

Strumenti live gratuiti. Nessuna registrazione, nessun contatto commerciale.

§8

Colophon

Come è stata realizzata questa edizione, senza fronzoli.

L'edizione 47 è stata fatta da una macchina e verificata dal codice. Ogni elemento pubblicato da 12 feed pubblici sulle minacce nelle 24 ore fino alle 05:05 UK (548 elementi) è stato letto per intero: statistiche calcolate dal codice, ogni porzione letta da Claude Sonnet, la struttura sintetizzata da Claude Opus. Claude Opus ha poi curato il giornale. Ogni articolo cita gli elementi su cui si fonda; gli articoli le cui fonti non risultavano verificabili, o i cui numeri non comparivano nelle fonti, sono stati scartati prima della pubblicazione (0 oggi). Le previsioni vengono valutate pubblicamente nelle edizioni successive. «Dal nostro edge» sono dati di attacco in tempo reale dai nostri server. Costoo di questa edizione: 1,02 $. È scritto da una macchina con la voce di ScottG, autore di Everything Is Probably Fine, e nessuno lo ha corretto a mano, il che è il punto o il problema.

548items read

24hour window

$1.02cost of this edition

05:05 UTCgenerated

Fonti di questa mattina

Signal Atlas118ok
NVD100ok
ThreatFox100ok
Telegram64ok
Security news48ok
infosec.exchange38ok
ransomware.live35ok
atlas18ok
RSS12ok
AlienVault OTX11ok
signal:ioc-family3ok
Ransomware tempo · Ninja Signal graph1ok

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

SignDrop: una funzione di sicurezza di Windows riconvertita in via d'accesso a SYSTEM, senza CVE e senza patch

The Gentlemen hanno svuotato la cartella delle bozze; i dati sul ritmo dicono che è N0n a stare davvero accelerando

4.837 account GitHub rubati, 61.764 repository sondati, e la vostra CI che cede tranquillamente i propri segreti

L'IA è ormai su entrambi i lati della fattura: accesso ai modelli dirottato, movimento laterale scritto dall'IA e 186 domini IA falsi

Critica in mod_http2, dodici in NetScaler, due in Quay, una in Windchill e oltre 180 nei vostri browser

GSocket: la persistenza che sopravvive alla vostra patch

Europol sequestra centinaia di server a Gootloader, CastleRAT e StealC — StealC per la seconda volta quest'anno

Internet finisce martedì, il leak dell'FBI contiene chiavi AWS di esempio e un canale Telegram consiglia di smettere di usare Telegram

Piattaforme RMM colpite da due direzioni contemporaneamente, probabilmente in modo indipendente

Il picco di The Gentlemen è una pubblicazione in blocco, amplificata dall'aggregatore

Lo strato Telegram sta registrando picchi di spam, non di intelligence

Today’s calls

Scorecard

Glossario dei termini con cui ci si aspetta che tu annuisca

La lista WTF

A caccia delle vostre chiavi IA

Il visitatore più determinato

Prove di CVE-2017-9841 contro di noi

Stesso DNA, indirizzi diversi

La lista della spesa più strana

Di fretta

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

Fonti di questa mattina