Apertura · Vulnerabilità

Il gateway di sicurezza era la porta d'ingresso, e ora la proof-of-concept è pubblica

La CISA ha aggiunto al KEV la CVE-2026-123039 di Check Point; nel giro di poche ore la stampa ne parlava e un exploit funzionante circolava su Telegram.

attendibilità 0.85

Il quadro è scomodo. Gli aggressori hanno ottenuto l'accesso iniziale ai Check Point Security Gateway privi di patch sfruttando le falle PHP2Shell, poi hanno usato la CVE-2026-123039, un'assegnazione errata dei permessi nel sistema operativo Gaia, per diventare root, installare una backdoor denominata TSGA e cancellare file sugli host VMware ESXi. Check Point ha rilasciato hotfix di emergenza e afferma che lo sfruttamento va avanti dalla fine di ottobre; una ricostruzione colloca l'inizio degli attacchi al 30 ottobre. Il dispositivo acquistato per non dover pensare al perimetro si è rivelato essere il cancello, la chiave e l'uomo che li tiene entrambi.

La tempistica è il punto su cui i difensori devono riflettere. La CISA lo ha inserito il 13 novembre, la stampa di settore ne ha scritto circa otto ore dopo e in serata un canale Telegram di exploit rimandava a una proof-of-concept su GitHub per la CVE-2026-123039. La voce del catalogo è un documento pubblico. Dice al vostro comitato di controllo delle modifiche che qualcosa viene sfruttato, e dice a chiunque abbia uno scanner e un fine settimana libero esattamente quale prodotto prendere di mira; e solo una delle due parti ha una finestra di manutenzione.

Separatamente, un'analisi su ESXi pubblicata la stessa mattina descrive un'infrastruttura smantellata in dieci giorni: quattro host ESXi, entrambi i server vCenter, ogni macchina virtuale. Nessuno ha collegato quell'indagine a questa campagna e non faremo finta del contrario. Ma se gestite gateway Check Point, l'ordine onesto di oggi è: applicare gli hotfix, poi andare a controllare i vostri hypervisor, perché il wiper è quello a cui non importa se avevate backup dei backup.

Perché è rilevanteAggiornate subito Gaia, poi cercate TSGA e la persistenza tramite webshell sui gateway e verificate la distruzione di file su ESXi e vCenter, perché l'exploit non è più una risorsa rara.

Prove

Today’s revelation

La voce del KEV non è un avvertimento per i difensori. È una lista di letture per tutti gli altri, pubblicata la stessa mattina, e loro leggono più in fretta del vostro comitato di modifica.

— Sturgeon's Revelations · Probably Fine Daily No. 49

§2

Notizie principali

Il resto delle ultime 24 ore, prove alla mano.

Vulnerabilità

Altre tre voci nel KEV, e 19 server che avevano già applicato l'hotfix

Insieme alla voce di Check Point, la CISA ha aggiunto UnrealIRCd CVE-2026-114713, una falla di neutralizzazione dei delimitatori con CVSS 8.6 che consente a qualsiasi utente di una rete con due o più server collegati di iniettare comandi con l'autorità di un server, oltre a una path traversal in WSO2 che porta all'esecuzione di codice da remoto (CVE-2026-5430) e a una falla di autorizzazione errata in Adobe Commerce e Magento (CVE-2026-71362). Nella stessa finestra, N-able ha dichiarato che gli aggressori che sfruttavano le falle 4EverAble2Shell e Agent2Shell hanno infettato 21 server N-central, 19 dei quali con Hotfix 2, e che ora sta limitando alcune funzionalità e integrazioni. E Microsoft ha confermato che gli aggiornamenti di novembre causano errori di attivazione con codice 0x80041008 e possono compromettere la stampa di documenti complessi.

Perché è rilevanteTre voci KEV da smistare prima di lunedì, e un esempio concreto del perché «abbiamo applicato l'hotfix» è uno stato, non un risultato.

attendibilità 0.80

Prove

Ransomware

324 rivendicazioni in sette giorni, e tre gruppi che pubblicano a lotti come in una stampa unione

Lo schema di pubblicazione conta quanto il volume: pixelleaks ha caricato quattordici vittime il 13 novembre con timestamp identici e scadenze di pubblicazione integrale già programmate per il 16, 17 e 18 novembre, Play ne ha pubblicate nove, e N0n ha elencato un mix di grandi marchi occidentali e aziende anonimizzate e numerate in Etiopia, Qatar e Botswana, diverse ancora in attesa di verifica. Qilin, intanto, ha elencato la York University, la Oral Roberts University e la University of Texas at Arlington, che separatamente ha confermato il furto di informazioni personali in un attacco informatico.

Perché è rilevanteSe il vostro processo di notifica delle vittime presuppone che le rivendicazioni arrivino una alla volta, perderà un lotto di quattordici pubblicato nello stesso minuto con il conto alla rovescia già attivo.

attendibilità 0.75

Prove

IA e sicurezza

L'estensione malevola è passata dal marketplace, e le credenziali provenivano dal fornitore di IA

Cursor ha confermato una violazione in cui gli aggressori hanno usato credenziali rubate al fornitore di infrastrutture di IA Fireworks AI per pubblicare un'estensione malevola di Claude Code attraverso il proprio marketplace. Il filo conduttore non è che i modelli siano pericolosi; è che gli strumenti per sviluppatori che li circondano sono ormai una catena di fornitura con la stessa igiene di qualsiasi altra.

Perché è rilevanteTrattate le estensioni di codifica con IA e i relativi marketplace come codice di terze parti con diritti di pubblicazione sulle macchine degli sviluppatori, perché è esattamente ciò che sono.

attendibilità 0.70

Prove

Vulnerabilità

Undici CVE in un plugin WordPress chiamato Security For WooCommerce, tutte senza autenticazione

L'NVD ha pubblicato un blocco sequenziale, da CVE-2026-123695 a CVE-2026-123705, relativo a Security For WooCommerce fino alla versione 1.0.16, e l'elenco sembra un'inversione deliberata del nome del prodotto: utenti non autenticati possono generare token di accesso per ogni utente e accedere come uno qualsiasi di essi, amministratori compresi, rimuovere l'iscrizione all'autenticazione a due fattori da tutti gli account in una volta, leggere l'intera configurazione comprese le chiavi segrete impostate e l'URL di accesso nascosto, ripristinare le impostazioni predefinite disattivando così URL di accesso personalizzato, 2FA, reCAPTCHA, politica delle password e firewall, e ottenere un rapporto del server con l'indirizzo email dell'amministratore. La causa è in ogni caso la stessa: route REST prive di controllo di autorizzazione. Non è indicata alcuna versione corretta, e la vicenda si inserisce in un'ondata più ampia di divulgazioni su plugin WordPress, tra cui Printaura, ARForms e Gravity Forms.

Perché è rilevanteSe lo usate, considerate che i controlli che pubblicizza siano al momento facoltativi per chiunque abbia curl, e valutate di rimuoverlo anziché attendere una patch.

attendibilità 0.75

Prove

Vulnerabilità

Una dozzina di falle cgo di Go pubblicate insieme: il vostro server di build è la superficie d'attacco

L'NVD ha pubblicato da CVE-2026-97033 a CVE-2026-97043 lo stesso giorno, quasi tutte descrittive dello stesso tipo di problema: un pacchetto malevolo che usa cgo può ottenere l'esecuzione di codice arbitrario in fase di compilazione o di link tramite flag del compilatore e del linker consentiti nelle direttive #cgo, dal --sysroot che sposta i sottoprogrammi del compilatore ai file spec di GCC non attendibili, agli script del linker, agli oggetti .syso manipolati e ai file .pc di pkg-config. La CVE-2026-97054 è l'anomalia: un header Connection: close non sincronizzato in net/http MaxBytesReader che può mandare in panic un server HTTP/1. L'esecuzione in fase di build significa che la compromissione avviene sulla macchina che custodisce le chiavi di firma e le credenziali del registry, non su quella con il firewall davanti.

Perché è rilevanteAggiornate la toolchain e trattate i runner CI come produzione: tutto ciò che compila dipendenze non attendibili le sta eseguendo.

attendibilità 0.60

Prove

Politica

L'Operazione Endgame sequestra 235 server, 354 arresti sui mercati, e l'FBI stacca la spina a FaceStealer

Un'operazione internazionale ha sequestrato 235 server e 257 domini dietro Gootloader, CastleRAT e StealC, insieme a circa 6,4 milioni di credenziali rubate appartenenti alle vittime. Un'azione congiunta separata ha portato all'arresto di 354 sospetti che compravano e vendevano sui mercati del dark web Archetyp, Nemesis, Tor2Door, Bohemia e Kingdom. E l'FBI afferma di aver sequestrato l'infrastruttura di FaceStealer, uno schema di ingegneria sociale nordcoreano che usava videochiamate deepfake e filmati di webcam rubati di oltre 900 vittime per sottrarre più di 400 milioni di dollari in criptovalute in diciotto mesi.

Perché è rilevanteSei milioni e mezzo di credenziali sono state sequestrate, non ritirate: presumete che tutto ciò che i vostri utenti hanno riutilizzato sia già in circolazione e imponete il reset.

attendibilità 0.80

Prove

Curiosità

Trezor conferma una scheda elettronica aggiuntiva dentro tre wallet, che legge lo schermo e trasmette all'esterno

Trezor ha confermato che tre dispositivi Safe 5 venduti dall'ex rivenditore CryptoBilis contenevano un impianto hardware, una scheda elettronica aggiuntiva che legge la frase di recupero dallo schermo del dispositivo e la trasmette sulla rete mobile. È stata rilasciata una correzione, ma l'azienda precisa che un aggiornamento del firmware non annulla l'esposizione precedente. È il raro caso in cui lo scenario di minaccia che tutti scartano, quello con il rivenditore malevolo, si è rivelato la descrizione di fatti reali.

Perché è rilevanteSupply chain significa anche supply chain fisica: la provenienza dal distributore è un controllo, e per qualsiasi dispositivo venduto da quel rivenditore il seed è compromesso.

attendibilità 0.80

Prove

Curiosità

Il blackout della FAA somiglia a un aggiornamento software, cosa che nessuno vorrebbe

I funzionari dicono che non ci sono prove di un attacco informatico dietro il blocco a terra a livello nazionale della FAA, con l'FBI che secondo quanto riferito sta esaminando un aggiornamento software; le ricostruzioni citate dagli addetti ai lavori indicano un aggiornamento sulla rete di comunicazioni privata gestita da L3Harris, che si è riavviata ed è andata in crash. È avvenuto nella stessa settimana di un'interruzione globale della posta Microsoft, che ha prodotto una quantità di speculazioni sul fediverso grosso modo proporzionale al numero di persone incapaci di leggere la propria casella. Non è stato dimostrato alcun nesso tra questi eventi, e trattarli come un'unica cascata è una storia che ci raccontiamo, non una conclusione.

Perché è rilevante«Non è un attacco informatico» è una causa radice legittima, e le vostre comunicazioni sugli incidenti dovrebbero poterlo dire senza sembrare deluse.

attendibilità 0.60

Prove

§3

Nascosto

La lettura approfondita del giorno: cosa c'è sotto i feed, non sopra.

Sotto i feed: una voce KEV che brucia la propria copertura mediatica, tre gruppi che pubblicano a orari programmati e un blocco di plugin che inverte il nome del proprio prodotto.

Exception 01
Da KEV a stampa a PoC pubblica, in meno di un giorno
La CVE-2026-123039 è comparsa prima nel KEV, sulla stampa di settore circa otto ore dopo e come proof-of-concept collegata su GitHub in un canale Telegram di exploit la sera stessa. La copertura la collega all'accesso iniziale PHP2Shell, alla backdoor TSGA e alla cancellazione di file su ESXi, ma le testate non concordano sul fatto che fosse un vero zero-day né sul fatto che le correzioni abbiano preceduto gli attacchi.
attendibilità 0.75
Wrong if
Avvisi dei fornitori che mostrino patch rilasciate prima dell'inizio dello sfruttamento del 30 ottobre, oppure il pulse OTX sulla distruzione di ESXi che nomini un attore e una toolchain non correlati.
Watch
Nuove segnalazioni di sfruttamento, ulteriori vittime del wiper su ESXi e fork della PoC nei prossimi tre-sette giorni.
Prove
Exception 02
Pubblicazione a lotti sincronizzata con scadenze prestabilite
pixelleaks ha pubblicato 14 elementi il 13 novembre contro una mediana di 1,5 negli altri giorni, con timestamp identici e pubblicazioni integrali programmate dal 16 al 18 novembre; N0n ne ha pubblicati 10 contro una mediana di 3, alternando grandi marchi occidentali e aziende anonimizzate e numerate in Etiopia, Qatar e Botswana; Play ne ha pubblicati 9 contro una mediana di 2. Alcune voci sono esplicitamente in attesa di verifica, quindi la scala dichiarata potrebbe essere gonfiata.
attendibilità 0.60
Wrong if
Vittime nominate come Samsung o Starbucks che smentiscono le rivendicazioni, oppure i timestamp identici che si rivelano un artefatto di un aggregatore.
Watch
Se le pubblicazioni programmate dal 16 al 18 novembre avvengono davvero, e se qualche marchio citato conferma.
Prove
Exception 03
Gli aggregatori divergono di ore, quindi un solo feed non è copertura
ransomware.live in genere precede ransomlook sulle stesse rivendicazioni (toyokiki-thailand.com di 43,5 ore, N0n di 16, doommageddon di 11, endzone di 9, bravox di 4,1), e Telegram spesso precede entrambi per Play, Everest e Qilin. Se ciò dipenda dalla visibilità della rivendicazione o dalla cadenza di scraping non si può stabilire da questi dati.
attendibilità 0.55
Wrong if
L'ordine che si inverte o si annulla per le pubblicazioni dal 16 al 18 novembre, indicando cadenza anziché visibilità.
Watch
L'ordine di anticipo-ritardo sul prossimo lotto di rivendicazioni.
Prove
Exception 04
Tre fonti si fermano di colpo nello stesso minuto
NVD, OTX e Vexy Ransomware smettono tutti di produrre elementi dopo le 2026-11-13T14:46. Un taglio identico in tre fonti indipendenti è un confine di ingestione o di finestra, non dormienza degli attori, e non va letto come se qualcuno stesse zitto.
attendibilità 0.50Speculative
Wrong if
Nuovi elementi NVD, OTX o Vexy con timestamp successivo al 13 novembre alle 14:46 una volta ricontrollata l'ingestione.
Watch
Il prossimo ciclo di ingestione.
Prove

Nothing to seeIl filone su Taiwan e semiconduttori, i segnali di paese sulla crisi composta e lo schema di riuso delle porte di ThreatFox sono a fonte singola o puramente descrittivi. La rivendicazione di estorsione da un miliardo di record a Expedia non è verificata. Il filone sulle dimissioni di Jensen Huang appare satirico ed è trattato come tale. Il ritardo di 71 ore tra NVD e Telegram sulle CVE-2026-64669, 64671 e 64686 è quasi certamente dovuto alla cadenza di scraping.

Deep read: 674 elementi letti

§4

Previsioni

Valutazioni datate e falsificabili. Verifichiamo il nostro operato pubblicamente.

Today’s calls

DueSun 22 Nov7d
pixelleaks pubblica almeno cinque nuove rivendicazioni sul leak site nei sette giorni fino al 22 novembre, dando seguito alle date di pubblicazione integrale programmate dal 16 al 18 novembre.
Wrong ifMeno di cinque rivendicazioni di pixelleaks compaiono su ransomlook e ransomware.live in quella finestra.
Prove
f-2026-11-15-1
Confidence0.70
DueSun 22 Nov7d
L'impennata di incransom persiste: almeno 20 rivendicazioni nei sette giorni fino al 22 novembre, contro le 7,4 previste dal suo ritmo precedente.
Wrong ifMeno di 20 rivendicazioni di incransom registrate in quella finestra.
Prove
f-2026-11-15-2
Confidence0.55
DueSun 29 Nov14d
Le falle di takeover non autenticato di Security For WooCommerce non arrivano nel KEV entro il 29 novembre: nessuna segnalazione di sfruttamento, nessuna voce di catalogo, la CVE-2026-123695 resta fuori dall'elenco.
Wrong ifLa CISA aggiunge al KEV la CVE-2026-123695 (o una qualsiasi tra 123696 e 123705) prima del 29 novembre.
Prove
f-2026-11-15-3
Confidence0.80

Scorecard

3 right · 1 partly · 2 wrong · 3 open

wrong
No public vendor or CISA advisory ties the Ivanti Connect Secure exploitation chain to a specific named threat actor or ransomware group by 2026-11-12.
Called Mon 2 Nov · due Thu 12 Nov
Due date 2026-11-12 passed; no item in today's feed ties the Ivanti CVE-2026-111357 chain to a named actor or ransomware group, confirming the call that no such attribution occurred.
open
Ubuntu moves the IPv4 TCP use-after-free kernel fixes out of its opt-in testing channel into regular updates for its three newest LTS releases by 14 November 2026.
Called Wed 4 Nov · due Sat 14 Nov
No feed items mention Ubuntu kernel update channel moves for the IPv4 TCP use-after-free fixes; cannot confirm or deny.
open
IHG Hotels & Resorts does not publicly confirm the BYOD intrusion claim.
Called Thu 5 Nov · due Thu 12 Nov
Due date 2026-11-12 passed; no IHG statement or regulatory filing appears in the feeds acknowledging a BYOD intrusion, confirming the call that IHG would not publicly confirm it.
right
At least three of n0n's numbered 'Company #138-147' listings will be replaced by named victims on a leak site tracked by these feeds.
Called Sun 8 Nov · due Sun 15 Nov
By 15 November, n0n's ransomlook entries show named victims (DraftKings, LiveRamp, Female Daily Network, LEO Pharma, etc.) replacing numbered placeholders, with at least three formerly-numbered entries now named.
open
At least one of Vortex's three 12 November deadline victims (PYRAMID HEALTHCARE, ALEXION, CRESA) appears as published or leaked data on ransomware.live or ransomlook.
Called Wed 11 Nov · due Sun 15 Nov
No feed items show PYRAMID HEALTHCARE, ALEXION, or CRESA as published or leaked on ransomware.live or ransomlook by 15 November; the falsify condition (no published/leaked status) may apply but no explicit confirmation either way is present.
wrong
Inc Ransom posts fewer than 20 new leak-site claims on any single day between 12 and 18 November, confirming the 47 was a backfill rather than tempo.
Called Wed 11 Nov · due Wed 18 Nov
The tempo signal reports incransom surging with 53 claims in 7 days; individual day counts are not broken out but ransomlook shows multiple incransom postings on 13 November alone (sportsmansguide, Advantage Archives, axiscades, etc.), and the tempo signal flags a p<0.001 surge well above the <20/day threshold.
Prove
partly
Microsoft confirms the SignDrop CLFS issue or assigns it a CVE by 27 November 2026.
Called Fri 13 Nov · due Fri 27 Nov
SecurityWeek reports 'Nightmare Eclipse Drops Windows Zero-Day Exploit SignDrop' describing CLFS abuse, confirming the technique is public; however no Microsoft CVE assignment or official Microsoft advisory is cited in the feeds yet. Due date is 2026-11-27.
Prove
1. 1Security newsNightmare Eclipse Drops Windows Zero-Day Exploit ‘S…
right
Pixelleaks publishes at least one of the full data sets scheduled for 16-17 November, visible on ransomlook.
Called Sat 14 Nov · due Wed 18 Nov
Pixelleaks posted numerous entries on ransomlook dated 2026-11-13 with full data leak dates of 2026-11-16 and 2026-11-17, visible on ransomlook before the deadlines.
Prove
right
Qilin posts five or more new victims across the ransomware trackers, holding its position at the top of the 2026 tally.
Called Sat 14 Nov · due Sat 21 Nov
Ransomlook shows Qilin posted at least 5 new victims (York University, UT Arlington, Oral Roberts University, Leonard's Express, Wisconsin Timber Rattlers) on 2026-11-14, and darkfeed confirms Qilin leads 2026 tally at 1171.
Prove

Glossario dei termini con cui ci si aspetta che tu annuisca

Hotfix (n.): Una patch applicata con tale rapidità da comparire nella cronologia dell'incidente. Vedi N-able, dove 19 dei 21 server infettati eseguivano Hotfix 2.

§5

Dal nostro fronte

Attacchi in corso sui nostri server nelle ultime 24 ore. Sì, proprio i nostri.

Il nostro edge ha profilato nelle ultime 24 ore 99 fonti ostili — 52 scanner, 42 crawler bot, 3 operatori mirati, 2 brute forcer — che hanno inviato complessivamente 10.989 richieste, di cui 36 sono andate oltre la ricognizione fino a veri tentativi di sfruttamento. Novemilacentosettantasette indirizzi ci hanno contattato da 127 paesi, 4.932 dei quali per la prima volta oggi. Quattordici indirizzi distinti condividevano un'unica impronta comportamentale, ovvero un solo strumento o un solo operatore che ruota gli IP e non, qualunque cosa dica il marketing, un panorama di minacce diversificato. Il punteggio di ostilità più alto, 8,2 su 10, è meno interessante di 35.195.245.38, che ha lanciato 187 richieste per /.env, /api/.env, /backend/.env e /laravel/.env in circa sei decimi di secondo, o dei due indirizzi che ancora oggi ci bersagliano con percorsi phpunit della CVE-2017-9841, qualunque anno ritengano le note di patch. I log grezzi non hanno mai lasciato la macchina; solo i risultati.

99fonti ostili profilate

10.989richieste da esse inviate

36arrivate allo sfruttamento

14cluster a DNA condiviso

8,2/10ostilità massima

9.177indirizzi al nostro edge

4.932visti per la prima volta oggi

127paesi

La lista WTF

WTF #1
Il visitatore più determinato
2400:6180:100:d0:0:1:c39d:c001, uno scanner (ostilità 6,9/10), ha inviato 30 richieste a uno dei nostri siti, cercando /.aws/credentials, /.aws/config, /.env.aws, /.docker/config.json.
Perché è anomaloOstilità più alta della classifica; la sua kill chain è arrivata allo sfruttamento.
attribution: sconosciutoSun 15 Nov, 05:00 UTC
Detail
```
kill chain: ricognizione → weaponization → sfruttamento · DNA 851a17b90a85
```
WTF #2
Stesso DNA, indirizzi diversi
45.148.10.14, uno scanner (ostilità 6,7/10), ha inviato 666 richieste a uno dei nostri siti, cercando /.docker/laravel/app/.env, /.env.config, /.env.copy, /.env.bkp.
Perché è anomalo14 IP condividono un'unica impronta comportamentale (DNA dfef4501b216): un solo strumento o un solo operatore che ruota gli indirizzi: 54.203.154.170, 34.80.2.173, 172.213.26.234, 20.106.103.160, 20.205.56.255 e altri.
attribution: sconosciutoSat 14 Nov, 19:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA dfef4501b216
```
WTF #3
Provano la CVE-2017-9841 su di noi
2 indirizzi hanno inviato 3 richieste con la forma di uno sfruttamento della CVE-2017-9841 (/lib/vendor/phpunit/…, /yii/vendor/phpunit/…, /zend/vendor/phpunit/…), tra cui 185.177.72.9, 185.177.72.23.
Perché è anomaloUn exploit noto e con un nome ancora sparso a tappeto su internet; il nostro edge lo ha visto oggi, qualunque cosa dicano le note di patch sull'anno.
attribution: sconosciuto
Detail
```
famiglia di sonde: phpunit-rce
```
WTF #4
La lista della spesa più strana
20.219.139.13, uno scanner (ostilità 6,3/10), ha inviato 49 richieste a uno dei nostri siti, cercando /inputs.php, /ioxi-o.php, /function/function.php, /rip.php.
Perché è anomaloHa chiesto file che quasi nessun altro chiede: /inputs.php, /ioxi-o.php, /function/function.php, /rip.php, /admin.php.
attribution: sconosciutoSun 15 Nov, 05:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA 83562bd8e880
```
WTF #5
Di fretta
35.195.245.38, uno scanner (ostilità 5,1/10), ha inviato 187 richieste a uno dei nostri siti, cercando /.env, /api/.env, /backend/.env, /laravel/.env.
Perché è anomaloHa lanciato 187 richieste in circa 0,6 secondi.
attribution: sconosciutoSat 14 Nov, 19:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA ce6ecdfacbe3
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

324claims, 7 days

47of 277 groups active

N0n77 this week · surging

incransom53 this week · surging

thegentlemen22 this week

Surgingincransom — 53 claims in 7 days against 7.4 expected from its own prior rate (p < 0.001)
SurgingN0n — 77 claims in 7 days against 29.4 expected from its own prior rate (p < 0.001)
Surginginterlock — 13 claims in 7 days against 1.2 expected from its own prior rate (p < 0.001)
SurgingBlack X — 3 claims in 7 days against 0.5 expected from its own prior rate (p = 0.013)
Backbeast — first claim after 56 days of silence; 0 this week
NewAoqin — first claim 2026-11-04; 10 so far

Gone quiet: ShadowByt3$ (60 days), global (64 days), embargo (67 days), kazu (69 days).

Sector pressure, 30 days

UpEducation — 1.3× its own prior share (47 claims, 36 expected)
DownAgriculture and Food Production — 0.4× its own prior share (15 claims, 38 expected)
DownProfessional Services — 0.8× its own prior share (127 claims, 149 expected)

29% of claims carry no sector label.

Brand churn

Of the 239 leak-site brands first seen since 2021-09-30, 75% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 37% made at least half their claims in their first week. New brands this month: 8 — newest: Curious Worm (2026-11-11, 12 claims), osiris (2026-11-11, 8 claims), Climax Inc (2026-11-10, 17 claims).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 32% of its claims on Germany (6.2× every other brand's share); N0n put 28% of its claims on Transportation (6.2× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.3× every other brand's share). Widest spread: nightspire across 10.7 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; Deadlock released 61% of its claims on Fridays, half of them in 12:00–13:59 UTC; akira posted only 2 of 197 claims at weekends and half its claims in 12:00–13:59 UTC; half of thegentlemen's claims appeared in 06:00–09:59 UTC. Leak sites overall are 37% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 07:00–15:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Sul campo

Strumenti live gratuiti. Nessuna registrazione, nessun contatto commerciale.

§8

Colophon

Come è stata realizzata questa edizione, senza fronzoli.

L'edizione 49 è stata realizzata da una macchina e controllata dal codice. Ogni elemento pubblicato da 14 feed pubblici di minacce nelle 24 ore fino alle 05:05 UK (674 elementi) è stato letto per intero: statistiche calcolate dal codice, ogni porzione letta da Claude Sonnet, la struttura sintetizzata da Claude Opus. Claude Opus ha poi curato il giornale. Ogni articolo cita gli elementi su cui si basa; gli articoli le cui fonti non si risolvevano, o i cui numeri non figuravano nelle fonti, sono stati scartati prima della pubblicazione (0 oggi). Le previsioni vengono valutate pubblicamente nelle edizioni successive. «Dal nostro edge» sono dati di attacco in tempo reale dai nostri server. Costoo di questa edizione: 1,11 $. È scritta da una macchina con la voce di ScottG, autore di Everything Is Probably Fine, e nessuno l'ha rivista a mano, il che è o il punto o il problema.

674items read

24hour window

$1.11cost of this edition

05:05 UTCgenerated

Fonti di questa mattina

ThreatFox200ok
NVD100ok
Telegram84ok
infosec.exchange77ok
RansomLook66ok
Security news53ok
Signal Atlas34ok
ransomware.live31ok
RSS10ok
AlienVault OTX7ok
CISA KEV4ok
atlas4ok
signal:ioc-family3ok
Ransomware tempo · Ninja Signal graph1ok

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

Altre tre voci nel KEV, e 19 server che avevano già applicato l'hotfix

324 rivendicazioni in sette giorni, e tre gruppi che pubblicano a lotti come in una stampa unione

L'estensione malevola è passata dal marketplace, e le credenziali provenivano dal fornitore di IA

Undici CVE in un plugin WordPress chiamato Security For WooCommerce, tutte senza autenticazione

Una dozzina di falle cgo di Go pubblicate insieme: il vostro server di build è la superficie d'attacco

L'Operazione Endgame sequestra 235 server, 354 arresti sui mercati, e l'FBI stacca la spina a FaceStealer

Trezor conferma una scheda elettronica aggiuntiva dentro tre wallet, che legge lo schermo e trasmette all'esterno

Il blackout della FAA somiglia a un aggiornamento software, cosa che nessuno vorrebbe

Da KEV a stampa a PoC pubblica, in meno di un giorno

Pubblicazione a lotti sincronizzata con scadenze prestabilite

Gli aggregatori divergono di ore, quindi un solo feed non è copertura

Tre fonti si fermano di colpo nello stesso minuto

Today’s calls

Scorecard

Glossario dei termini con cui ci si aspetta che tu annuisca

La lista WTF

Il visitatore più determinato

Stesso DNA, indirizzi diversi

Provano la CVE-2017-9841 su di noi

La lista della spesa più strana

Di fretta

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

Fonti di questa mattina