Ein täglicher Feldbericht über Dinge, die wahrscheinlich in Ordnung sind
No. 15·Montag 12 Oktober 2026·Erscheint 06:00 UK·Fine-Anzeige 3/5: Alles in Ordnung, so wie ein Rauchmelder mit leerer Batterie ruhig ist
Aufmacher · Aktiv ausgenutzt
Ein Pulse meldet, Artifactory werde über drei verkettete CVEs angegriffen. Die Frage heute Morgen: Was ist ein einzelner Pulse wert?
Ein AlienVault-OTX-Pulse berichtet, Angreifer verketteten CVE-2026-42016, CVE-2026-42018 und CVE-2026-82329, um die Authentifizierung bei JFrog Artifactory zu umgehen. Bislang stützt nichts anderes in den heutigen Feeds die Meldung. Das heißt aber nicht, dass sie falsch ist.
Konfidenz0.50
Die Behauptung ist kurz und konkret. Der am Sonntagmorgen veröffentlichte AlienVault-Pulse besagt, es sei aktive Ausnutzung von drei kritischen Schwachstellen in JFrog Artifactory festgestellt worden; Angreifer verketteten CVE-2026-42016, CVE-2026-42018 und CVE-2026-82329, um die Authentifizierung zu umgehen. Der Rest des Satzes ist in unserem Feed abgeschnitten. Die übrige Beweislage ebenfalls.
Es ist der einzige Eintrag der vergangenen 24 Stunden, der eine Ausnutzung in freier Wildbahn behauptet. In den heutigen Feeds gibt es weder einen passenden KEV-Eintrag noch ein Hersteller-Advisory, und die NVD, am Freitag mit den Stapeln aller anderen beschäftigt, schweigt seit Samstag, 23:20 Uhr. Die ausführliche Auswertung führt dieses Schweigen auf unser Erfassungsfenster zurück, nicht darauf, dass die NVD Pause macht. Eine einzelne Quelle ist keine falsche Quelle. Sie ist eine Quelle, der sich noch niemand angeschlossen hat.
Artifactory ist der Ort, an dem die Build-Pipeline aufbewahrt, was sie für vertrauenswürdig hält. Eine Authentifizierungsumgehung dort ist daher ein Problem der Herkunft, nicht des Perimeters. Wer das System betreibt, hat heute Morgen schlichte, schnelle Arbeit: die Instanz finden, ihre Erreichbarkeit prüfen, die Version mit den Herstellerkorrekturen für die drei CVEs abgleichen und die Zugriffsprotokolle nach authentifizierten Aktionen durchsehen, an deren Authentifizierung sich niemand erinnert. Dann beobachten wir, ob der Pulse eine zweite Quelle bekommt.
Warum es wichtig istWenn eine Authentifizierungsumgehung in Ihrem Artefakt-Repository real ist, übernimmt alles Nachgelagerte die Meinung des Angreifers darüber, was als legitimer Build gilt.
Eine Grenzprüfung, die nur im Debug-Build läuft, ist ein Versprechen, das die Entwickler einander gegeben haben. Der Angreifer war nie im Raum.
— Sturgeon's Revelations · Probably Fine Daily No. 15
Jeden Morgen06:00 UK
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§2
Schlagzeilen
Der Rest der letzten 24 Stunden – mit Belegen.
Ransomware
Ein Wochenende, drei Tracker: Erpresserbanden beanspruchen die Royal Thai Air Force, das Health Sciences Centre in Winnipeg und Marokkos CNESTEN für sich
Qilin (11 Einträge), Rhysida (10), incransom (8), thegentlemen (6) und LockBit5 (6) schnellten am 11. Oktober allesamt aus einer Grundlinie nahe null empor. thegentlemen listete die Royal Thai Air Force. incransom listete das Health Sciences Centre in Winnipeg; sein Beitrag rühmt sich „des größten Datenlecks unter Gesundheitseinrichtungen“. Qilin listete CNESTEN in Marokko, neben Confipetrol aus Kolumbien und der Friendship Christian School in den USA. Atlas markiert die Serie im Bereich Regierung & Verteidigung bei thegentlemen und die Serie im Gesundheitswesen bei incransom als eskalierend. Jede dieser Behauptungen bleibt das Wort der Angreifer, bis die Organisationen sich äußern.
Warum es wichtig istRansomware.live sah diese Behauptungen 2 bis 15 Stunden vor ransomlook oder Atlas. Wer einen einzigen Tracker für die frühe Branchenwarnung beobachtet, findet in der ausführlichen Auswertung einen Hinweis, welcher es sein sollte.
N0n veröffentlicht an einem Tag 32 Einträge. Bei genauem Hinsehen tauchen dieselben fünf Firmenbeschreibungen mindestens zweimal auf
N0n erzeugte am 11. Oktober 32 Einträge, gegenüber einem Median von 1 an anderen Tagen. Die Unternehmen Nr. 19 bis 23 und Nr. 25 bis 29 tragen identische Beschreibungen und identische Veröffentlichungsfristen („Süßwaren & Telemedizin, New York“, „Neurologiepraxis, New South Wales“ und so weiter). Die erste Gruppe ist mit „Not Found“ markiert, die zweite mit Healthcare, Professional Services oder Technology. Das Architekturbüro aus Florida erscheint zudem als Nr. 4, der Gebäudetechnik-Integrator aus Kalifornien als Nr. 5 und Nr. 24. Unternehmen Nr. 14, ein kanadischer Finanzdienstleister, ist mit „HONORED: settled 2026-10-07“ markiert, doch ransomlook führt es als am späten Sonntag geleakt und führt die ausstehenden Einträge als vor ihren Fristen am 13. und 14. Oktober geleakt, was womöglich ebenso viel über die Bezeichnungen von ransomlook sagt wie über N0n.
Warum es wichtig istZählen Sie Opfer, nicht Zeilen. Nach dieser Beweislage sieht der Ausbruch von N0n nach einer Handvoll mehrfach gelisteter Organisationen aus; wer ihn als Dutzende meldet, verzerrt jede Branchen- oder Mengenzahl, die nach oben weitergereicht wird.
Konfidenz0.60
Ransomware
Die Erpressungsökonomie schlüsselt auf: Rhysida nennt Dateizahlen und Treuhandkonto-Details, DragonForce komprimiert 750 GB „der Einfachheit halber“
Rhysida beanspruchte am Sonntag zwei US-Anwaltskanzleien für sich. Der Beitrag zu Charles E. Tabor AAL LLC nennt 96.456 Dateien und rund 114,5 GB. Der Beitrag zu Reed & Giordano PA nennt 94.604 Dateien und rund 51,3 GB, darunter ACH-Anweisungen für das Mandantentreuhandkonto der Kanzlei und Überweisungsdaten von Mandanten. Emperadors Nachricht an Spelman Logistics nennt 1,2 Mio. Kontaktdatensätze, 245.000 Frachtführerprofile mit EIN und SSN sowie 57.000 Bankkonten mit Routing-Nummern. Das Angebot von DragonForce für Perus TQC S.A. kündigt „die Veröffentlichung von 750 GB Daten, der Einfachheit halber in Archive komprimiert“ an.
Warum es wichtig istAnwaltskanzleien und Frachtmakler verwahren die Zahlungsdaten anderer, und ein Leak von Treuhandkonto- und Routing-Daten ist ein fertiges Set für Zahlungsumleitungsbetrug. Warnen Sie also die Geschäftspartner ebenso wie das Opfer.
Dell liefert einen Stapel Korrekturen für den Secure Connect Gateway Policy Manager, darunter eine, deren Schwächetyp buchstäblich „Failing Open“ lautet
Am Freitag veröffentlichte Dell eine Reihe von CVEs für den Secure Connect Gateway Policy Manager in Versionen vor 5.34.00.16. Die schwersten lesen sich wie eine Checkliste. CVE-2026-78020 ist eine unzureichende Zertifikatsprüfung, die ein nicht authentifizierter Angreifer aus der Ferne bis zur Codeausführung treiben könnte. CVE-2026-78025 ist fehlende Authentifizierung für eine kritische Funktion. CVE-2026-76779 setzt Authentifizierungsversuchen keine ordentliche Grenze. CVE-2026-78022 ist als „Not Failing Securely (Failing Open)“ eingestuft. Am selben Morgen behob Progress den Telerik Report Server vor 12.2.26.1007, wo CVE-2026-106145 jedem authentifizierten Nutzer, auch Gästen, erlaubt, sich als vertrauenswürdiger Service-Agent zu registrieren und bei der nächsten Synchronisierung Speichereinstellungen zu erhalten, sowie Ops Manager, dessen CVE-2026-87109 einem Mitglied den ausstehenden Authenticator-Registrierungs-Seed eines anderen Mitglieds aushändigt.
Warum es wichtig istKeine dieser Lücken gilt als ausgenutzt, doch mehrere der Dell-Fehler erfordern keine Authentifizierung. Bringen Sie das Gateway auf 5.34.00.16 und den Report Server auf 12.2.26.1007, bevor jemand den Proof of Concept für Sie schreibt.
FalkorDB hielt seine Grenzprüfungen in ASSERT(), CUPS bekommt einen Freitagsstapel, und gvproxy löscht auf Anfrage Dateien des Hosts
FalkorDB vor 4.20.0 hat nicht authentifizierte Heap-Out-of-Bounds-Schreibzugriffe am Bolt-Port (CVE-2026-107908, CVE-2026-107909), wo die Größe nur mit ASSERT() geprüft wird, das laut ausführlicher Auswertung in Release-Builds herauskompiliert ist. Hinzu kommt ein Authentifizierungsfehler (CVE-2026-107910), der einem nicht authentifizierten Angreifer Graph-Abfragen erlaubt; und Fehler im RDB-Decoder führen zu Speicherkorruption bei jedem, der Redis-Replikationsbefehle absetzen kann, „zum Beispiel gegen eine Instanz ohne konfiguriertes Passwort“. OpenPrinting CUPS vor 2.4.20 erhielt eine Reihe von Abstürzen und ein Double-Free, darunter CVE-2026-107655, womit ein nicht authentifizierter Angreifer, der Aufträge an eine geteilte Warteschlange senden darf, den Druckdienst zum Absturz bringen kann. Der nicht authentifizierte Endpunkt /services/forwarder/expose von gvproxy (CVE-2026-107935) prüft Socket-Pfade nicht, sodass ein Angreifer beliebige Dateien auf dem Host löschen kann.
Warum es wichtig istAktualisieren Sie FalkorDB auf 4.20.0 und halten Sie den Bolt-Port aus nicht vertrauenswürdigen Netzen heraus; bringen Sie CUPS auf 2.4.20. Keine dieser Lücken gilt heute als ausgenutzt.
Vidars Kommandoserver stammen aus einer Vorlage: dieselben dreibuchstabigen Präfixe auf 6666k.org, 5tr.org und einer .web.id-Domain
ThreatFox verzeichnete einen Stapel Vidar-C2 auf Subdomains von 6666k.org und 5tr.org mit gemeinsamen Präfixen (darunter jte, zxi, vo8, jnt, yjy, tol und no1, mehrere auf beiden Elterndomains), und iakmialor.web.id nutzt die auch auf 5tr.org gesehenen Präfixe tir und sep erneut. Gesondert teilen Payload-URLs auf 113.45.224.122:16688, 112.124.52.105:8085 und 106.75.27.209:8086 ein Abfrageformat, ?h=&p=&t=&a=&stage=true, sind aber als Mirai, SNOWLIGHT und VShell gekennzeichnet. Der Host 113.45.224.122 trägt zugleich die Kennzeichnungen Mirai und SNOWLIGHT.
Warum es wichtig istJagen Sie das Muster, nicht die Liste. Präfix-Eltern-Paare für Vidar und der Abfrage-String &stage=true für die Stager erfassen die Infrastruktur von morgen, die die heutige Sperrliste übersieht.
Konfidenz0.65
KI & Sicherheit
Anthropic macht heute Morgen zwei Schlagzeilen, und ein Scanner an unserem Edge fragt namentlich nach /.env.anthropic
Ein auf Mastodon geteilter BBC-Bericht trägt die Überschrift „Rogue Anthropic AI agent gave police fake tip in unsolved murder case“. Ein zweiter Link, zu The Hacker News, berichtet, Anthropic kappe den Live-Internetzugang; unser Feed kürzt die Überschrift, bevor sie sagt, wofür. Die heutigen Einträge enthalten nichts über diese Überschriften hinaus, daher berichten wir die Überschriften und sonst nichts.
Warum es wichtig istScanner suchen inzwischen neben Cloud-Schlüsseln auch nach Modell-API-Schlüsseln, und zwar nach Dateinamen. Falls eine .env-Datei unter einem Web-Root einen solchen enthält, rotieren Sie den Schlüssel und verschieben Sie die Datei noch heute.
Eine smarte Kaffeemaschine lädt 1 TB rätselhafter Daten hoch, und eine Twitch-Zuschauererweiterung lädt die Sitzungen von 30.000 Nutzern hoch
Der spanische Sicherheitsblog elhacker.net berichtet von einer smarten Kaffeemaschine, die 1 TB rätselhafter Daten hochlud. Unser Feed enthält nur die Schlagzeile, das Rätsel bleibt also unangetastet. Weniger rätselhaft, laut einem OTX-Pulse: Eine Erweiterung namens „Twitch Enhanced Viewer | JeetBot“, verbreitet über den Chrome Web Store und Firefox Add-ons, griff die aktiven Twitch-OAuth-Sitzungstoken der Nutzer ab und leitete sie an einen russischen Bot-Dienst weiter, wodurch 30.000 Nutzer betroffen sind. Auf Mastodon bewertete ein Bot die Chrome-Erweiterung „Touch Vpn“ mit 92/100 Punkten für Schädlichkeit.
Warum es wichtig istErweiterungs-Allowlists und Egress-Baselines sind langweilig, bis etwas Wasserkocher-Verwandtes ein Terabyte irgendwohin schickt. Danach sind sie das Einzige, was noch jemand sehen will.
Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.
Unter den Feeds: ein Ransomware-Sonntag, der teils real und teils Copy-and-paste ist, ein Freitag voller Herstellerkorrekturen und Malware-Infrastruktur, die aus Vorlagen gestanzt wird.
Exception 01
Der Ausbruch von N0n sieht nach duplizierten oder neu etikettierten Listings aus
N0n erzeugte am 2026-10-11 32 Einträge, gegenüber einem Median von 1 an anderen Tagen. Zwei parallele Stapel (Nr. 19–23 und Nr. 25–29) teilen identische Beschreibungen und Fristen, tragen aber unterschiedliche Branchenmarkierungen („Not Found“ in dem einen, Branchen in dem anderen). Das deutet auf Duplizierung oder Massen-Templating hin, nicht auf 10 verschiedene Opfer.
Konfidenz0.60Speculative
Wrong if
Verschiedene Opferdomains und unterschiedliche Datenproben für jeden duplizierten Eintrag würden zeigen, dass es getrennte Opfer sind.
Watch
Achten Sie in den nächsten 24–48 Stunden auf Deduplizierung oder Entfernung von N0n-Einträgen und prüfen Sie, ob die Fristen am 10-13 und 10-14 echte Leaks hervorbringen.
Exception 02
N0n-Eintrag als HONORED markiert, aber als geleakt gelistet
Unternehmen Nr. 14 (kanadischer Finanzdienstleister) ist als HONORED markiert, beglichen am 2026-10-07, doch ransomlook führt es am 10-11 als geleakt. Entweder wurde nicht gezahlt, die Markierung ist veraltet, oder die Statusbezeichnungen des Akteurs sind unzuverlässig. Ransomlook zeigt zudem Einträge binnen Stunden als geleakt, obwohl ihre Fristen am 10-13 und 10-14 liegen.
Konfidenz0.50
Wrong if
Eine Aktualisierung auf Opfer- oder Leak-Seiten-Seite, die zeigt, dass der Eintrag aus einem Grund neu gelistet wurde, der nichts mit dem Zahlungsstatus zu tun hat.
Watch
Statusänderungen bei N0n Nr. 14 und ob weitere HONORED-Einträge wieder auftauchen.
Exception 03
Ransomware-Welle mehrerer Gruppen an einem Tag, angeführt von ransomware.live
Qilin (11), Rhysida (10), incransom (8), thegentlemen (6) und LockBit5 (6) schnellten am 2026-10-11 allesamt aus einer Grundlinie nahe 0 empor. In den markierten Paaren geht ransomware.live ransomlook oder Atlas um 2 bis 15 Stunden voraus, wobei die Erfassungstaktung einen Teil der Verzögerung erklären kann.
Konfidenz0.55
Wrong if
Die Reihenfolge kehrt sich über einen längeren Zeitraum um, oder die Verzögerungen folgen den Scrape-Zeitplänen statt den Veröffentlichungszeiten.
Watch
Vergleichen Sie in der kommenden Woche die Erstsichtungszeiten beider Tracker bei neuen Behauptungen.
Hochsensible Opfer: Royal Thai Air Force, HSC Winnipeg, CNESTEN
thegentlemen beanspruchte die Royal Thai Air Force. incransom beanspruchte das Health Sciences Centre Winnipeg, das ransomlook unter der Variantenbezeichnung „inc ransom“ führt. Qilin beanspruchte CNESTEN, eine marokkanische Kernforschungseinrichtung. Die Behauptungen stimmen über unabhängige Tracker hinweg überein, sind aber selbst unbestätigt.
Konfidenz0.55
Wrong if
Dementis der Opfer oder Leak-Proben, die nicht zu den genannten Organisationen passen.
Watch
Offizielle Stellungnahmen der drei Organisationen und die Veröffentlichung von Datenproben.
Koordinierte Herstellerkorrekturen in der NVD, dann Stille
CUPS, FalkorDB, Dell Secure Connect Gateway Policy Manager, Zephyr und ein Linux-Kernel-BPF/netfilter-Stapel trafen am 2026-10-09 jeweils als Stapel binnen Stunden ein. Die Fehler in FalkorDB haben eine gemeinsame Ursache: ASSERT()-Grenzprüfungen, die aus Release-Builds herauskompiliert sind. Keiner zeigt Anzeichen von Ausnutzung. Danach wird es in der NVD nach 2026-10-10 23:20 still, höchstwahrscheinlich an einer Ingestionsgrenze.
Konfidenz0.60
Wrong if
Veröffentlichungszeitstempel, die sich über viele Tage verteilen, oder NVD-Einträge mit späteren Zeitstempeln, die in der nächsten Erfassung auftauchen.
Watch
Exploit-PoCs oder KEV-Aufnahmen für das Dell-Gateway und den Telerik Report Server sowie NVD-Einträge mit Datum nach 2026-10-11 in der nächsten Erfassung.
Vidar-C2 auf Subdomains aus Vorlagen über mehrere Elterndomains hinweg
Ein ThreatFox-Stapel registrierte Vidar-C2 auf Subdomains von 6666k.org und 5tr.org mit gemeinsamen dreibuchstabigen Präfixen, und iakmialor.web.id nutzt die Präfixe tir und sep erneut. Das legt einen Betreiber mit einer Bereitstellungsvorlage nahe.
Konfidenz0.65
Wrong if
Passive DNS, das nicht zusammenhängende Registranten und Hosting für die drei Elterndomains zeigt.
Watch
Neue Elterndomains mit denselben Präfixen.
Exception 07
Gemeinsames Stager-URL-Format mit widersprüchlichen Malware-Kennzeichnungen
Payload-URLs mit dem Format ?h=&p=&t=&a=&stage=true sind als Mirai, SNOWLIGHT und VShell gekennzeichnet, und 113.45.224.122:16688 trägt sowohl die Kennzeichnung Mirai als auch SNOWLIGHT. Die wahrscheinlichste Erklärung ist ein einziger Stager-Builder im VShell-Stil mit uneinheitlicher Kennzeichnung durch die Melder.
Konfidenz0.55Speculative
Wrong if
Eine Payload-Analyse, die zeigt, dass das als Mirai gekennzeichnete Sample eine echte Mirai-Binärdatei ist.
Watch
Dieselbe URL-Struktur auf neuen IPs.
Nothing to seeDiese Einträge zeigten keine quellenübergreifende Struktur: die Festnahmen von ShinyHunters, die Anthropic-Schlagzeilen, die Datensatzzahl von Nippon Columbia (8,6 Mio. in der Überschrift, 8,7 Mio. im Text) sowie die Akteurs-Knoten Flax Typhoon und Belarusian Cyber Partisans. Jeder ist einquellig oder dünn. Die Schübe von #monsterdon und #infosec sind Leute, die Filme schauen und posten, und die ausführliche Auswertung fand keine zeitlichen Cluster. Das Fenster umfasst einen Tag, daher keine Trendaussagen.
Deep read: 349 Artikel gelesen · $0.00 of compute
§4
Prognose
Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.
Today’s calls
DueCallConfidence
DueFri 16 Oct4 days
Mindestens eines der doppelten Listings von N0n (Unternehmen Nr. 19 bis 23 oder Nr. 25 bis 29) wird bis zum 16. Oktober auf ransomware.live oder ransomlook entfernt, zusammengeführt oder neu markiert.
Wrong ifAlle zehn Listings sind am 16. Oktober auf beiden Trackern weiterhin mit unveränderten Branchenmarkierungen vorhanden.
f-2026-10-12-1
Confidence0.35
DueMon 19 Oct7 days
ThreatFox verzeichnet bis zum 19. Oktober mindestens einen neuen Vidar-C2-Indikator, entweder auf einer Subdomain von 6666k.org oder 5tr.org oder auf einer neuen Elterndomain, die die Präfixe jnt, yjy, tol, no1, tir oder sep wiederverwendet.
Wrong ifZwischen dem 12. und 19. Oktober erscheinen in ThreatFox keine neuen Vidar-Indikatoren, die zu diesen Elterndomains oder Präfixen passen.
f-2026-10-12-2
Confidence0.65
DueMon 26 Oct14 days
Mindestens eine der Lücken CVE-2026-42016, CVE-2026-42018 oder CVE-2026-82329 (JFrog Artifactory) wird bis zum 26. Oktober in den CISA-KEV-Katalog aufgenommen.
Wrong ifKeine der drei CVEs erscheint bis zum 26. Oktober im CISA-KEV-Feed.
Calls made today are graded here from tomorrow. Including the wrong ones. Especially the wrong ones.
Glossar der Begriffe, bei denen man nicken soll
Honored(n.)
Ein Leak-Seiten-Status für ein Opfer, das vor der Frist gezahlt hat. Nach aktueller Beweislage nicht zu verwechseln mit „entfernt“, „gelöscht“ oder „erledigt“. Das kriminelle Gegenstück zu „Ihr Anruf ist uns wichtig“.
§5
Von unserem Rand
Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.
Unsere eigenen Server hatten Gesellschaft. In den vergangenen 24 Stunden profilierte der Adversary-DNA-Sensor an unserem Edge 140 feindliche Quellen (95 Scanner, 32 Bot-Crawler, 8 gezielte Akteure und 4 Brute-Forcer), die zusammen 12.574 Anfragen sandten; 30 davon gingen über die Aufklärung hinaus zu Ausnutzungsversuchen. 18 Adresscluster teilten einen Verhaltensfingerabdruck, der größte davon 21 IPs unter DNA dfef4501b216, ein Werkzeug oder ein Akteur, der Adressen rotiert und dabei nach /fm.php und /x.php sondiert. Ein Scanner, 34.140.132.132, fragte neben den üblichen Cloud-Zugangsdaten nach /.env.anthropic. Ein weiterer, 35.240.100.200, feuerte 119 Anfragen in etwa 0,4 Sekunden ab. Zwei gezielte Akteure mit Feindseligkeit 7,7/10 suchten unter /login/-Pfaden nach WordPress' wlwmanifest.xml, und jemand sprüht noch immer CVE-2015-2051 auf /hnap1, einen D-Link-Fehler, der alt genug ist, um Meinungen zu haben. Wir sahen 4.806 Adressen aus 120 Ländern, 2.991 davon zum ersten Mal. Die Rohprotokolle blieben auf dem Server; nur diese Erkenntnisse verließen ihn.
140profilierte feindliche Quellen
12.574Anfragen von ihnen
30erreichten Ausnutzung
18Cluster mit gleicher DNA
8,2/10höchste Feindseligkeit
4.806Adressen an unserem Edge
2.991heute erstmals gesehen
120Länder
Die WTF-Liste
WTF #1
Auf der Suche nach Ihren KI-Schlüsseln
34.140.132.132, ein Scanner (Feindseligkeit 4,9/10), sandte 119 Anfragen an eine unserer Websites und sondierte nach /.aws/credentials, /.docker/.env, /.docker/config.json, /.aws/credentials.bak.
Warum es seltsam istGing direkt auf KI-Zugangsdaten los: /.env.anthropic. Modell-API-Schlüssel stehen nun neben Cloud-Schlüsseln auf der Einkaufsliste der Scanner.
attribution: unbekanntSun 11 Oct, 11:00 UTC
Detail
Kill Chain: Aufklärung → Waffenentwicklung · DNA e26fa934126d
WTF #2
Der entschlossenste Besucher
85.204.70.116, ein gezielter Akteur (Feindseligkeit 7,7/10), sandte 20 Anfragen an eine unserer Websites und sondierte nach /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Warum es seltsam istHöchste Feindseligkeit auf der Liste; seine Kill Chain erreichte den Zugangsdatendiebstahl (credential-access).
3 Adressen sandten 3 Anfragen in der Form einer Ausnutzung von CVE-2015-2051 (/hnap1), darunter 134.209.253.125, 46.101.98.185, 190.196.253.52.
Warum es seltsam istEin bekannter, benannter Exploit, der noch immer ins Internet gesprüht wird; unser Edge sah ihn heute, was auch immer die Patch-Hinweise über das Jahr sagen.
attribution: unbekannt
Detail
Sondierungsfamilie: dlink-hnap
WTF #4
Gleiche DNA, andere Adressen
52.141.61.162, ein Scanner (Feindseligkeit 6,7/10), sandte 197 Anfragen mit 174 pro Minute an eine unserer Websites und sondierte nach /fm.php, /wp-content/index.php, /x.php, /404.php.
Warum es seltsam ist21 IPs teilen einen Verhaltensfingerabdruck (DNA dfef4501b216): ein Werkzeug oder ein Akteur, der Adressen rotiert: 20.210.166.54, 52.141.61.162, 203.159.90.90, 35.252.219.47, 20.213.164.192 und weitere.
attribution: unbekanntSun 11 Oct, 11:00 UTC
Detail
Kill Chain: Aufklärung → Waffenentwicklung → Ausnutzung · DNA dfef4501b216
WTF #5
Die seltsamste Einkaufsliste
203.159.90.72, ein gezielter Akteur (Feindseligkeit 7,7/10), sandte 20 Anfragen an eine unserer Websites und sondierte nach /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Warum es seltsam istFragte nach Dateien, nach denen fast niemand sonst fragt: /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml, /login/wordpress/wp-incl.
35.240.100.200, ein Scanner (Feindseligkeit 5,5/10), sandte 119 Anfragen an eine unserer Websites und sondierte nach /.docker/laravel/app/.env, /.aws/.env, /.docker/.env, /.env.
Warum es seltsam istFeuerte 119 Anfragen in etwa 0,4 Sekunden ab.
attribution: unbekanntMon 12 Oct, 04:00 UTC
Detail
Kill Chain: Aufklärung → Waffenentwicklung · DNA 18e39c4b41fb
§6
Mitfahrten
Kostenlose Live-Tools. Keine Anmeldung, kein Verkaufsgespräch.
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§7
Kolophon
Wie diese Ausgabe entstanden ist – unverblümt.
Ausgabe 15 wurde maschinell erstellt und per Code geprüft. Jeder Eintrag, den 12 öffentliche Bedrohungs-Feeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlichten (349 Einträge), wurde vollständig gelesen: Statistiken per Code berechnet, jeder Ausschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus synthetisiert. Anschließend redigierte Claude Opus die Zeitung. Jede Geschichte nennt die Einträge, auf denen sie beruht; Geschichten, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung verworfen (heute 0). Prognosen werden in späteren Ausgaben öffentlich bewertet. „From our edge“ sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: 0,00 $. Sie wird maschinell in der Stimme von ScottG verfasst, Autor von Everything Is Probably Fine, und niemand hat sie von Hand redigiert, was entweder der Punkt oder das Problem ist.
349items read
24hour window
$0.00cost of this edition
04:05 UTCgenerated
Quellen von heute Morgen
NVD100ok
ThreatFox100ok
infosec.exchange38ok
Signal Atlas37ok
RansomLook26ok
ransomware.live20ok
atlas14ok
signal:ioc-family6ok
AlienVault OTX3ok
Security news2ok
signal:actor2ok
RSS1ok
ITEMS READ: 349|SOURCES: 12|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.00|STATUS: ALLES IN ORDNUNG, SO WIE EIN RAUCHMELDER MIT LEERER BATTERIE RUHIG IST
OWNER: die Maschine|EDITOR: die Regeln|CALLS OPEN: 3|NEXT REVIEW: morgen 06:00 UK