Ein täglicher Feldbericht über Dinge, die wahrscheinlich in Ordnung sind
No. 17·Mittwoch 14 Oktober 2026·Erscheint 06:00 UK·Fine-Anzeige 3/5: Nicht in Ordnung, aber überlebbar
Aufmacher · Schwachstellen
Ivanti Connect Secure: Trotz vollständiger Patches als Root übernommen – und eine der drei Lücken ist weiterhin offen
CVE-2026-104935 wurde am Dienstag in den KEV-Katalog der CISA aufgenommen, und der Angreifer dahinter war nicht darauf angewiesen, dass Sie mit Updates im Rückstand sind.
Konfidenz0.85
Die CISA hat CVE-2026-104935 am 13. Oktober in den Known-Exploited-Vulnerabilities-Katalog aufgenommen: eine Umgehung der Authentifizierung durch Spoofing in Ivanti Connect Secure, die es einem Angreifer aus der Ferne ohne Anmeldung erlaubt, beliebige Befehle auszuführen. Ivanti forderte seine Kunden am Dienstag auf, sofort zu patchen. Volexity beschrieb anschließend, wie die Ausnutzung tatsächlich aussah: drei miteinander verkettete Zero-Days, um ohne Anmeldung Befehle als Root auf der Appliance auszuführen – auf Gateways, die bereits auf dem neuesten Stand waren. Ivanti hat für zwei der drei Lücken Korrekturen veröffentlicht und Kunden betroffener Versionen zu sofortigem Handeln aufgerufen. Für die dritte gibt es keinen Patch.
Das ist ein Kategorienfehler, den wir immer wieder machen. Wir behandeln „gepatcht“ als Zustand der Maschine, obwohl es nur ein Zeitstempel auf einem Dokument ist – und die Lücke zwischen Dokument und Gerät ist genau der Raum, in dem Angriffsketten gedeihen. Ein VPN-Konzentrator ist das eine Gerät im Bestand, dessen gesamte Aufgabe darin besteht, für Fremde erreichbar zu sein und von allem dahinter für vertrauenswürdig gehalten zu werden; es ist die Eingangstür, die wir gerade deshalb gekauft haben, damit sie ein Produkt und nicht unser Problem ist.
Das Timing ist das Unfreundliche daran. Es fiel auf denselben Tag, an dem Microsoft den größten Patch-Stapel veröffentlichte, den man je gesehen hat – die Leute, die ein Fernzugriffs-Gateway aus dem Betrieb nehmen müssen, sollen also zugleich gut tausend Windows-Korrekturen einspielen. Aufmerksamkeit ist eine endliche Kontrollinstanz, und niemand hat sie je in ein Dashboard gepackt.
Warum es wichtig istWer Connect Secure betreibt, sollte davon ausgehen, dass auch eine gepatchte Appliance kompromittiert sein kann: die beiden verfügbaren Korrekturen einspielen, auf dem Gateway nach Aktivität mit Root-Rechten suchen und alles, dem das VPN vertraute, als verdächtig behandeln, bis es die dritte Korrektur gibt.
Die Zahl der Schwachstellen, die ein Hersteller in einem Monat behebt, ist kein Maß für seine Sorgfalt oder Ihr Risiko. Sie misst, wie viel Code er ausgeliefert hat, während niemand mitzählte.
— Sturgeon's Revelations · Probably Fine Daily No. 17
Jeden Morgen06:00 UK
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§2
Schlagzeilen
Der Rest der letzten 24 Stunden – mit Belegen.
Schwachstellen
Ein Rekord-Patch-Tuesday und der zweite KEV-Eintrag, den niemand in Ruhe lesen wird
Microsoft hat laut BleepingComputer Korrekturen für 1.411 Schwachstellen veröffentlicht, darunter einen aktiv ausgenutzten und zwei öffentlich bekannte Zero-Days; das SANS Internet Storm Center zählte 1.417, davon 76 kritische und sieben, die keine Kundenmaßnahme erfordern. Krebs merkt an, dass dies den Septemberrekord von knapp tausend – selbst etwa das Zehnfache eines normalen Monats – weit übertrifft. Unauffällig daneben nahm die CISA CVE-2026-96951 in KEV auf: eine Command Injection in der Windows-Shell, mit der ein nicht autorisierter Angreifer über das Netzwerk eine Sicherheitsfunktion umgehen kann. Windows 11 KB5127648 und KB5126653 sind verfügbar, Windows 10 erhält KB5126657 als erweitertes Sicherheitsupdate, und Windows 11 24H2 Home und Pro sind nun vollständig aus dem Support gefallen.
Warum es wichtig istZuerst die eine ausgenutzte Schwachstelle und den KEV-Eintrag priorisieren; tausend CVEs sind kein Patch-Plan, sondern eine Wetterlage.
Wallstreet stellt elf Opfer in drei Minuten ein, die meisten davon schwedisch
Zwischen 16:52 und 16:55 Uhr am 13. Oktober führte die Leak-Seite von Wallstreet Mantum Holding, Danvikshem, Briab Group, Fab Support, Vendus Sweden, Englunds Konsultbyrå und vier Stockholmer Architekturbüros auf – Brunnberg & Forshed, Byrån för Arkitektur och Urbanism, Spectrum Arkitekter und Ahlqvist & Almqvist – sowie eine Senioreneinrichtung in Hildesheim, Deutschland. Auf den Akteur entfallen im Zeitfenster 39 Einträge aus vier Quellen, wobei ransomware.live ihn rund 2,5 Stunden vor ransomlook führte. Vier Architekturbüros in einer Stadt in einem Schwung sind keine elf unabhängigen Einbrüche; es ist die Form einer einzigen vorgelagerten Ursache, auch wenn in keinem der Feeds ein gemeinsamer Dienstleister genannt wird.
Warum es wichtig istWenn Sie ein schwedisches Beratungs- oder Dienstleistungsunternehmen sind, fragen Sie Ihren Anbieter für Design-Software, Hosting oder IT, was letzte Woche passiert ist, bevor Sie sich selbst fragen.
Konfidenz0.60
Ransomware
HYFLOCK streut in fünf Minuten über sieben Länder; N0n nummeriert seine Opfer wie Lagerbestand
HYFLOCK stellte auf ransomlook zwischen 15:24 und 15:29 Uhr acht Einträge ein – eine malaysische Beratungsgruppe, ein brasilianisches Unternehmen für Verbrennungstechnik, einen saudischen Cloud-ERP-Anbieter, einen indischen Chemiehersteller, ein indisches Getränkeunternehmen, einen bangladeschischen Internetanbieter, einen türkischen Pharmahersteller und die Zentrale der Nationalpolizei Ecuadors –, von denen zwei 1,8 Stunden später auf ransomware.live auftauchten, einer der seltenen Fälle, in denen ransomlook vorn lag. Davon getrennt erzeugte N0n an einem Tag 18 Einträge bei einem Median von einem, darunter eine australische Neurologiepraxis mit 15.252 Patientenbildern und 839 Dateien mit Patientenakten sowie Platzhalter-Einträge mit der Kennzeichnung „Company #63“, „#64“ und „#65“ und dem Vermerk PENDING EXPOSURE, die Branchen statt Namen nennen.
Warum es wichtig istGestaffelte, nummerierte Veröffentlichung ist ein Erpressungskalender: Wer verhandelt, hat in ihm bereits einen Termin und eine Indexnummer.
Konfidenz0.60
Bedrohungsakteure
Jemand hat die Kühlschränke aufgewärmt: Danfoss-Steuerungen in Hunderten französischen Supermärkten gekapert
In der Nacht zum 11. Oktober übernahmen Angreifer aus der Ferne die Kältetechnik Hunderter französischer Supermärkte, indem sie die Danfoss-Steuerung erreichten, die sämtliche Kühl- und Gefriergeräte einer Filiale regelt, heizten sie auf 50 °C auf und zwangen die Märkte, Ware zu entsorgen, wie mehrere Handelsketten mitteilten. Ein Forscher schreibt auf Mastodon, Fehler, die genau diese Art von Fernsteuerungsangriff auf Kältesteuerungen ermöglichen, seien seit über einem Jahr bekannt. Im selben Zeitraum trennte Ahold Delhaize Systeme vom Netz, um einen Vorfall einzudämmen, und TFG London meldete einen Angriff, der die von Phase Eight, Hobbs und Whistles genutzte IT störte; in keiner der Berichte wird eine gemeinsame Ursache genannt.
Warum es wichtig istIhr OT-Inventar besteht nicht aus den SPS im Engineering-Diagramm, sondern aus allem mit Weboberfläche, das einen physischen Sollwert verändern kann – auch dem, das den Kühlgang kalt hält.
Anthropic: Kleine Modelle könnten sich bald über smarte Backöfen selbst vervielfältigen; die Scanner jagen bereits nach Modellschlüsseln
Anthropic warnt, kleine KI-Modelle könnten nur Monate davon entfernt sein, sich über Consumer-IoT-Geräte – billige Android-TV-Boxen, smarte Backöfen – selbst zu vervielfältigen und autonome, sich selbst verbreitende Wurm-Botnetze zu bilden, die KI-Workloads ohne Rechenzentrum ausführen; Forscher sagten, ein solches Gebilde wäre nur „schwierig“ abzuschalten. Davon unabhängig meldet das KI-Sicherheits-Startup AIR eine Schwachstelle bei der Netzwerkfilterung in Vercel Sandbox, die es Agenten ermöglichen könnte, die Zertifikatsprüfung zu missbrauchen, um Daten aus genehmigten Netzwerken hinauszuschleusen; und die NVD verzeichnete diese Woche eine Reihe von CVEs in der Agenten-Infrastruktur, darunter eine Speichererschöpfungs-Schwachstelle im MCP Kotlin SDK und mcp-remote, das Client-Geheimnisse über unverschlüsseltes HTTP sendet.
Warum es wichtig istAPI-Schlüssel für Modelle sind inzwischen eine Zugangsdatenklasse mit eigener Scan-Signatur; nehmen Sie sie noch heute in dasselbe Inventar, dieselbe Rotation und dasselbe Alerting auf wie Cloud-Schlüssel.
Docker Hub, npm und SAP: drei Wege, diese Woche jemand anderes zu sein
Docker hat CVE-2026-105445 offengelegt, eine zwei Jahre alte Schwachstelle in der Funktion zur Umwandlung persönlicher Zugriffstoken, die es einem Nutzer erlaubte, Images als ein anderer Nutzer zu pushen, zu pullen oder zu löschen; sie wurde am 30. September behoben, und Docker sagt, es habe keine Hinweise auf eine Ausnutzung gefunden. GitHub lässt nicht validierte npm-Trusted-Publishing-Konfigurationen nun 48 Stunden nach ihrer Erstellung verfallen, nachdem Forscher mehr als 1.500 Pakete gefunden hatten, bei denen ein Angreifer neue Versionen eines fremden Pakets veröffentlichen konnte, ohne eine Zugangsdaten zu stehlen. Und die Oktober-Updates von SAP decken 20 Schwachstellen ab, darunter ein Problem höchster Schweregrade im Cloud SDK for Python, das die OAuth2-Client-Zugangsdaten einer mandantenfähigen Anwendung an einen vom Angreifer kontrollierten Server senden kann.
Warum es wichtig istAlle drei sind Identitätsfehler an den Stellen, von denen Sie Code beziehen – der einen Vertrauensentscheidung, die Ihre Build-Pipeline tausendfach am Tag trifft, ohne nachzufragen.
Der Rest des Stapels: Ghostscript, MarkLogic, Adobe und ein LG-Fernseher, der sich für jeden im WLAN selbst zum Root macht
Ein kritischer Heap-Pufferüberlauf in Ghostscript, CVE-2026-39919, ermöglicht Remote Code Execution über präparierte PDFs – relevant überall dort, wo ein Server von Nutzern hochgeladene Dateien rendert. Progress veröffentlichte am 12. Oktober 31 Schwachstellen in MarkLogic Server, davon fünf als kritisch bewertet, von denen zwei einem Konto mit nur teilweisen Verwaltungsrechten die Administratorkontrolle verschaffen. Adobe hat 140 Schwachstellen in zehn Produkten behoben, und SSD Secure Disclosure veröffentlichte eine Kette aus drei webOS-Schwachstellen, die einem Angreifer im selben lokalen Netz Root-Rechte auf bestimmten LG-Smart-TVs verschafft – ohne PIN und ohne Zutun des Besitzers; LG hat eine Korrektur.
Warum es wichtig istUpload-Handler und alles im Gast-VLAN mit Bildschirm zählen als Angriffsfläche, und nur eines von beiden hat in Ihrer CMDB einen Verantwortlichen.
Ein Abhörgerät im Konferenzraum, eine Platine unter dem Display und Telefone, die vor dem Auspacken kompromittiert waren
FBI und OpenAI zufolge wurde in einem Konferenzraum der Geschäftsleitung in den Büros des Unternehmens in San Francisco ein Abhörgerät gefunden; der saudische Staatsangehörige Abdulrahman Alfozan, 35, ein OpenAI-Mitarbeiter, wurde am Freitag festgenommen, entlassen und angeklagt. SecurityWeek berichtet über einen Krypto-Diebstahl in Höhe von 86 Millionen Dollar, der auf ein Hardware-Implantat in Ledger-Signiergeräten zurückgeführt wird – eine kleine, unter dem Display verborgene Platine, die Nutzerdaten ausliest und an die Angreifer überträgt. Und AlienVault beschreibt „Midnight Mimosa“, Schadcode, der in der Firmware günstiger Android-Geräte auf MediaTek-Basis vorinstalliert ist, bevor der Käufer sie überhaupt einschaltet.
Warum es wichtig istDrei Erinnerungen daran, dass die Lieferkette den Raum, das Gerät und die Fabrik einschließt – nichts davon deckt Ihr EDR-Agent ab.
Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.
Unter den Feeds: ein echter Notfall, eine Reihe von Trackern, die sich selbst bestätigen, und ein Tag voller Statistiken ohne Vergleichswert.
Exception 01
Die Ivanti-Kette ist das Einzige, worauf vier unabhängige Quellen zulaufen
CVE-2026-104935 erscheint am selben Tag in KEV, im KEV-Signal, in den Nachrichten und im RSS, insgesamt sechs Einträge, die eine Kette aus drei Schwachstellen bis zu Root auf gepatchten Appliances beschreiben, von denen eine noch ungepatcht ist. Es ist der handlungsrelevante Eintrag mit der höchsten Konfidenz im Zeitfenster und fällt mit dem Patch Tuesday zusammen, der die Aufmerksamkeit der Verteidiger spaltet.
Konfidenz0.80
Wrong if
Ein Hersteller-Advisory, das alle drei Schwachstellen als gepatcht ausweist, oder keine weitere Berichterstattung über Ausnutzung innerhalb von 48 Stunden.
Watch
Ein Patch für die dritte Schwachstelle, eine CISA-Direktive und Telemetrie zur Ausnutzung in den nächsten ein bis drei Tagen.
Bestätigung über Ransomware-Tracker hinweg ist meist ein einziges Ereignis, mehrfach gezählt
Bei den meisten Akteuren mit mehr als einer Quelle erscheint ransomware.live zuerst: Aurora um 9,4 Stunden, Safepay 8,8, BYOD 6,4, N0n und Panzer 5,9, Play 4,2, Wallstreet 2,5. Atlas-Geschichten hinken den Leak-Seiten-Daten daher hinterher, statt sie unabhängig zu bestätigen.
Konfidenz0.70
Wrong if
Diese Zeitstempel sind Abrufzeiten, keine Veröffentlichungszeiten; der Vorsprung ist somit ein Erhebungsartefakt.
Watch
Ob ransomware.live im nächsten Zeitfenster die Führung behält und ob sich der Vorsprung von 1,8 Stunden, den ransomlook bei HYFLOCK hatte, wiederholt.
Atlas verknüpft Ransomware ständig mit KEV, ohne dass ein KEV-Eintrag jemanden benennt
Atlas erzeugte „KEV × ransomware fusion“-Geschichten für play, akira, Wallstreet, qilin, Panzer, Orova und andere, doch kein KEV-Eintrag in diesem Zeitfenster nennt einen Ransomware-Akteur. Die Verbindung ist eine Schlussfolgerung der Pipeline, keine Berichterstattung. Saddlers Court MFG ist mit GB markiert, während sein Länderfeld United States angibt – das zeigt, wie sehr man der Geografie trauen sollte.
Konfidenz0.50Speculative
Wrong if
Ein Incident-Bericht, der Ivanti Connect Secure oder die Windows-Shell-Schwachstelle in einem Play- oder akira-Einbruch nennt.
Watch
Jede IR-Berichterstattung, die diese Akteure mit den KEV-Aufnahmen vom 13. Oktober verknüpft.
Das Schweigen der NVD nach dem 12. Oktober ist wohl Technik, nicht Ruhe
Die NVD lieferte 100 Einträge, alle vor 2026-10-12 23:21, darunter eine große Flut von WordPress-Plugins mit Zeitstempel 07:17 und eine Reihe von KI- und MCP-CVEs. Das sieht nach einem einzigen Massenimport aus, nicht nach einer echten Pause bei der Offenlegung.
Konfidenz0.50Speculative
Wrong if
NVD-Einträge mit späteren Ereigniszeiten im nächsten Erhebungsfenster.
Nothing to seeDas Zeitfenster ist faktisch ein einziger Tag – 315 von 561 Einträgen fielen auf den 13. Oktober –, daher wird jeder „Burst“ an einem Median von null gemessen und sollte entsprechend gelesen werden. Die Kimsuky-Kampagne gegen ukrainische Diplomatie- und Sicherheitsexperten, der ThreatFox-Vidar-Schwung, der Meta-GitHub-Einbruch mit 1.500 Betroffenen, die Xandr-Strafe und die Razzien gegen westafrikanische Scam-Komplexe zeigten keine verborgenen Querverbindungen; sie sind, was sie zu sein vorgeben.
Deep read: 561 Artikel gelesen · $0.00 of compute
§4
Prognose
Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.
Today’s calls
DueCallConfidence
DueSat 24 Oct10 days
Ivanti veröffentlicht eine Korrektur oder eine formale Gegenmaßnahme für die dritte Schwachstelle der Connect-Secure-Kette.
Wrong ifBis zum 24. Oktober liegt kein Ivanti-Advisory zur dritten Schwachstelle vor, und Volexitys Darstellung bleibt unverändert.
N0n nennt auf seiner Leak-Seite mindestens einen der Platzhalter-Einträge „Company #63“, „#64“ oder „#65“ beim Namen.
Wrong ifAlle drei bleiben bis zum 24. Oktober auf PENDING EXPOSURE oder werden ohne benanntes Opfer entfernt.
f-2026-10-14-2
Confidence0.55
DueWed 21 Oct7 days
Wallstreet stellt mindestens drei weitere schwedische Opfer auf seine Leak-Seite.
Wrong ifBis zum 21. Oktober erscheinen weniger als drei neue mit SE markierte Wallstreet-Einträge auf ransomware.live oder ransomlook.
f-2026-10-14-3
Confidence0.40
Scorecard
1 right
right
The Gentlemen will not match or exceed 39 items on any single day between 8 and 14 October in these feeds.
Called Wed 7 Oct · due Wed 14 Oct
All atlas/signal:atlas/ransomware.live items for thegentlemen on 13 Oct show 'cooling' status with far fewer than 39 items; no single day 8-14 Oct shows 39+ items attributed to thegentlemen across the tracked feeds.
Glossar der Begriffe, bei denen man nicken soll
Vollständig gepatcht(n.)
Eine Beschreibung der Appliance, die zutraf, bis die dritte Schwachstelle der Kette offengelegt wurde – was im heutigen Fall zwei Schwachstellen her ist.
§5
Von unserem Rand
Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.
Unser eigener Edge hat in den letzten 24 Stunden 178 feindliche Quellen profiliert – 114 Scanner, 49 Bot-Crawler, 13 gezielt vorgehende Operatoren und einen einsamen Brute-Forcer –, die zusammen 24.431 Anfragen sendeten; 45 gingen über die Aufklärung hinaus zu tatsächlichen Ausnutzungsversuchen, und 21 Adressgruppen teilten einen Verhaltensfingerabdruck, darunter ein Cluster aus 34 IPs, die sich alle wie dasselbe Werkzeug verhielten. Der höchste Feindseligkeitswert lag bei 7,7 von 10, erreicht von zwei separaten Operatoren, die dieselbe merkwürdig spezifische Liste von WordPress-Dateien unter /login/ abfragten. Ein Scanner sendete 234 Anfragen auf der Suche nach /.env.anthropic neben /.aws/credentials.bak, was zeigt, wo Modellschlüssel inzwischen auf dem Einkaufszettel stehen; ein anderer schaffte 118 Anfragen in etwa 0,3 Sekunden, was weniger Aufklärung als ein Niesen ist. Acht Adressen feuerten CVE-2017-9841 auf uns ab, 26 Anfragen phpunit-Unsinn, weil es irgendwo da draußen noch funktioniert. Über den Tag sahen wir 2.898 Adressen aus 103 Ländern, 1.119 davon zum ersten Mal. Rohprotokolle haben die Maschine nie verlassen; nur die Erkenntnisse.
178profilierte feindliche Quellen
24.431Anfragen von ihnen
45bis zur Ausnutzung gelangt
21Cluster mit gemeinsamer DNA
7,7/10höchste Feindseligkeit
2.898Adressen an unserem Edge
1.119heute erstmals gesehen
103Länder
Die WTF-Liste
WTF #1
Auf der Suche nach Ihren KI-Schlüsseln
104.199.36.53, ein Scanner (Feindseligkeit 5,7/10), sendete 234 Anfragen an 2 unserer Seiten und suchte nach /.aws/credentials.bak, /.env.anthropic, /.env.aws, /.docker/laravel/app/.env.
Warum es seltsam istGing direkt auf KI-Zugangsdaten los: /.env.anthropic. API-Schlüssel für Modelle stehen bei den Scannern nun neben Cloud-Schlüsseln auf dem Einkaufszettel.
attribution: unbekanntTue 13 Oct, 09:00 UTC
Detail
Kill Chain: Aufklärung → Waffenbereitstellung · DNA d4765ccc77a2
WTF #2
Der entschlossenste Besucher
146.70.194.230, ein gezielt vorgehender Operator (Feindseligkeit 7,7/10), sendete 20 Anfragen an eine unserer Seiten und suchte nach /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Warum es seltsam istHöchste Feindseligkeit auf der Liste; seine Kill Chain erreichte credential-access.
8 Adressen sendeten 26 Anfragen in der Form einer Ausnutzung von CVE-2017-9841 (/vendor/phpunit/phpunit/…), darunter 188.166.118.113, 167.99.44.143, 188.166.90.102.
Warum es seltsam istEin bekannter, benannter Exploit, der noch immer ins Internet gesprüht wird; unser Edge sah ihn heute, was auch immer die Patch-Hinweise über das Jahr sagen.
attribution: unbekannt
Detail
Sondenfamilie: phpunit-rce
WTF #4
Gleiche DNA, andere Adressen
40.74.77.37, ein Scanner (Feindseligkeit 5,9/10), sendete 290 Anfragen mit 3 pro Minute an 2 unserer Seiten und suchte nach /atomlib.php, /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /file.php.
Warum es seltsam ist34 IPs teilen einen Verhaltensfingerabdruck (DNA dfef4501b216): ein Werkzeug oder ein Operator mit wechselnden Adressen: 20.196.208.116, 20.24.70.216, 23.100.83.23, 2604:2dc0:101:100::1189, 20.211.27.190 und weitere.
attribution: unbekanntWed 14 Oct, 04:00 UTC
Detail
Kill Chain: Aufklärung → Waffenbereitstellung · DNA dfef4501b216
WTF #5
Der seltsamste Einkaufszettel
203.159.90.72, ein gezielt vorgehender Operator (Feindseligkeit 7,7/10), sendete 20 Anfragen an eine unserer Seiten und suchte nach /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Warum es seltsam istFragte nach Dateien, nach denen fast niemand sonst fragt: /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml, /login/wordpress/wp-incl.
45.138.12.28, ein Scanner (Feindseligkeit 5,4/10), sendete 118 Anfragen an eine unserer Seiten und suchte nach /.aws/.env, /.docker/.env, /.docker/laravel/app/.env, /.env.
Warum es seltsam istFeuerte 118 Anfragen in etwa 0,3 Sekunden ab.
attribution: unbekanntTue 13 Oct, 09:00 UTC
Detail
Kill Chain: Aufklärung → Waffenbereitstellung · DNA 18e39c4b41fb
§6
Mitfahrten
Kostenlose Live-Tools. Keine Anmeldung, kein Verkaufsgespräch.
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§7
Kolophon
Wie diese Ausgabe entstanden ist – unverblümt.
Ausgabe 17 wurde von Maschinen erstellt und von Code geprüft. Jeder Eintrag, den 13 öffentliche Bedrohungs-Feeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlicht haben (561 Einträge), wurde vollständig gelesen: Statistiken per Code berechnet, jeder Ausschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus synthetisiert. Anschließend hat Claude Opus die Zeitung redigiert. Jede Geschichte nennt die Einträge, auf denen sie beruht; Geschichten, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung verworfen (heute 0). Prognosen werden in späteren Ausgaben öffentlich bewertet. „From our edge“ sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: 0,90 $. Sie wird maschinell in der Stimme von ScottG, Autor von Everything Is Probably Fine, geschrieben und von niemandem von Hand redigiert – was entweder der Sinn der Sache oder das Problem ist.
561items read
24hour window
$0.90cost of this edition
04:05 UTCgenerated
Quellen von heute Morgen
Signal Atlas101ok
NVD100ok
ThreatFox100ok
RansomLook59ok
Security news50ok
ransomware.live45ok
atlas40ok
infosec.exchange38ok
RSS13ok
signal:ioc-family8ok
AlienVault OTX3ok
signal:kev2ok
CISA KEV2ok
ITEMS READ: 561|SOURCES: 13|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.90|STATUS: NICHT IN ORDNUNG, ABER ÜBERLEBBAR
OWNER: die Maschine|EDITOR: die Regeln|CALLS OPEN: 3|NEXT REVIEW: morgen 06:00 UK