Ein täglicher Feldbericht über Dinge, die wahrscheinlich in Ordnung sind
No. 18·Donnerstag 15 Oktober 2026·Erscheint 06:00 UK·Fine-Anzeige 3/5: Nicht besonders in Ordnung
Aufmacher · Schwachstellen
Ivanti hat Korrekturen für zwei der drei Schwachstellen veröffentlicht. Die Angreifer nutzten stets alle drei
Volexity zufolge verschaffte eine Kette aus drei Zero-Days in Ivanti Connect Secure unauthentifizierten Root-Zugriff auf ein vollständig gepatchtes VPN. Die Ausnutzung reicht mindestens bis zum 1. Oktober zurück, und für eine Schwachstelle der Kette gibt es noch keine Korrektur.
Konfidenz0.85
Am Dienstag lautete die Meldung noch: ein einzelner aktiv ausgenutzter Zero-Day im Ivanti-Connect-Secure-Gateway, sofort patchen, mehr gebe es nicht zu sagen. Am Dienstagabend hatte Volexity drei miteinander verkettete Zero-Days beschrieben, mit denen sich ohne Anmeldung Befehle als Root ausführen lassen; Ivanti hat zwei davon behoben und fordert Kunden mit betroffenen Versionen auf, sofort zu handeln. CVE-2026-104935 ist die zentrale Schwachstelle, eine Authentifizierungsumgehung mit anschließender Remote-Codeausführung mit erhöhten Rechten. Berichten zufolge war sie bereits im Juli nur teilweise entdeckt und nur teilweise gepatcht worden – ein Satz, den man langsam lesen sollte, und dann noch einmal.
Die CISA forderte Administratoren auf, umgehend zu aktualisieren, und wies darauf hin, dass die Schwachstelle seit mindestens dem 1. Oktober in Zero-Day-Angriffen ausgenutzt wird; Honeypots haben 105 Exploit-Versuche verzeichnet. Ivanti war zudem einer von drei Anbietern von Edge-Geräten, die diese Woche Korrekturen auslieferten: Citrix, Fortinet und Ivanti schlossen zusammen 29 Schwachstellen. Wer am Dienstagmorgen anhand der ersten Schlagzeile gepatcht und das Ticket geschlossen hat, hat einen Fehler aus einer Kette von dreien behoben – und die Kette ist das eigentliche Produkt.
Das ist der unangenehme Teil. Der Fernzugriffsserver wurde angeschafft, damit alle von überall aus arbeiten können; das heißt, er ist aus dem Internet erreichbar, verwaltet Zugangsdaten und läuft als Root, wenn er gereizt wird. Auf die neueste Version patchen, dann gründlich nachsehen: Niemand garantiert, dass das Gerät beim Einspielen der Korrektur sauber war, und ein vor zwei Wochen ausgenutztes Gerät wird durch eine neue Build-Nummer nicht unschuldig.
Warum es wichtig istVon einer Kompromittierung vor dem Patch ausgehen: patchen, dann auf der Appliance nach Spuren suchen, alles rotieren, was sie gespeichert hatte, und die zuerst gemeldete CVE nicht für den ganzen Vorfall halten.
Ein Patch, der zwei Fehler einer Kette von dreien behebt, ist keine Abhilfe, sondern eine Tipppause des Angreifers, die man übereingekommen ist, Lösung zu nennen.
— Sturgeon's Revelations · Probably Fine Daily No. 18
Jeden Morgen06:00 UK
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§2
Schlagzeilen
Der Rest der letzten 24 Stunden – mit Belegen.
Schwachstellen
Vier KEV-Neuzugänge in einem Schub, und zwei davon sind dafür gedacht, gemeinsam eingesetzt zu werden
Die CISA hat am 14. Oktober vier Einträge aufgenommen: bei Ahsay AhsayCBS eine fehlerhafte Authentifizierung (CVE-2026-105133) und eine Befehlseinschleusung (CVE-2026-105134), die laut den Hinweisen ausdrücklich über den Zufallsparameter miteinander verkettet werden können; beim Cisco Secure Email Gateway eine relative Pfadumgehung (CVE-2026-76519), die es einem nicht authentifizierten Angreifer aus der Ferne erlaubt, beliebige Dateien in das Betriebssystem zu schreiben; und bei Palo Alto Networks PAN-OS eine Code-Einschleusung (CVE-2026-0322), mit der ein authentifizierter Angreifer mit Netzwerkzugang auf der Firewall Code als Root ausführen kann. Palo Alto bestätigte, dass CVE-2026-0322 als Zero-Day bei Angriffen auf Firewalls ausgenutzt wurde. Das eine ist ein Backup-Server, das andere ein Mail-Gateway, das dritte die Firewall – und alle drei stehen genau dort, wo Ransomware-Gruppen am liebsten einsteigen.
Warum es wichtig istBackup-Appliances und Perimeter-Geräte sind der kürzeste Weg vom Internet zum Wiederherstellungsplan; Ahsay, SEG und PAN-OS noch heute inventarisieren, nicht erst im nächsten Wartungsfenster.
Ciscos E-Mail-Gateway wird per E-Mail angegriffen, was immerhin thematisch konsequent ist
Cisco veröffentlichte am Mittwoch eine Warnung, wonach Angreifer eine kritische Schwachstelle im Secure Email Gateway ausnutzen: Ein Absender ohne Anmeldung schickt eine Nachricht mit präpariertem Anhang und schreibt, sofern sie ankommt, Dateien in das Betriebssystem der Appliance; Berichten zufolge ermöglicht dies die unauthentifizierte Befehlsausführung aus der Ferne mit Root-Rechten. Der KEV-Eintrag der CISA für dasselbe Produkt vom Vortag führt CVE-2026-76519, relative Pfadumgehung, unauthentifiziertes Schreiben beliebiger Dateien. Den Übertragungsweg kann man als einzigen nicht abschalten, denn die Appliance existiert, um Post von Fremden entgegenzunehmen.
Warum es wichtig istSEG jetzt patchen und anschließend auf Dateien prüfen, die dort nichts zu suchen haben; hierfür braucht es weder einen Klick eines Nutzers noch Zugangsdaten von irgendjemandem.
Sieben Leak-Sites feuerten am Dienstag gleichzeitig, und lockbit5 veröffentlichte vier Opfer in drei Minuten
Gegenüber einem Median von null an anderen Tagen im Betrachtungszeitraum brachte der 14. Oktober Schübe von lockbit5 (11 Einträge), akira (9), eclipse (6) sowie dragonforce, nightspire, incransom und rhysida mit jeweils fünf. Die lockbit5-Einträge erschienen um 11:28, 11:29, 11:30 und 11:31 Uhr – das ist ein Stapel-Upload und keine vier getrennten schlechten Nächte; akira listete binnen zwei Minuten drei Unternehmen aus Lebensmittel- und Fertigungsbranche, incransom beanspruchte 1,53 TB von einem brasilianischen Finanzunternehmen, und Eclipse listete eine japanische Zeitung und ein taiwanisches Pharmaunternehmen. Gesondert berichten Medien in dieser Woche, Organisationen schilderten Drohungen mit Stalking, Gewalt und Entführung gegen Mitarbeitende, und ein Anbieterbericht behauptet eine Zunahme körperlicher Drohungen gegen Führungskräfte und deren Familien; diese Angaben lassen sich schwer überprüfen und sollten entsprechend behandelt werden.
Warum es wichtig istDas Leak-Site-Volumen eines einzelnen Tages misst ebenso sehr die Erfassung des Aggregators wie die Woche des Angreifers; Opfer über eine Woche zählen, nicht über einen Vormittag, und die Berichte über Nötigung an HR und Objektschutz weitergeben statt in den SOC-Kanal.
Sechs Tage, ein öffentliches Modell und eine komplette Chrome-Kette: Die Entdeckung ist leise aufgehört, der schwierige Teil zu sein
XBOW zufolge hat das Unternehmen drei damals unbekannte Chrome-Fehler zu einem Angriff verkettet, der Code auf einem Windows-Rechner ausführt, sobald der Nutzer lediglich eine Seite lädt – gebaut in sechs Tagen, indem KI-Agenten auf Basis eines öffentlich verfügbaren OpenAI-Modells gesteuert wurden; die vollständige Chrome-Kette wird auf einen Wert von 250.000 US-Dollar beziffert. Im selben Zeitraum wurde eine Schwachstelle im vhost-Subsystem von Linux (CVE-2026-74580) bekannt, die einem lokalen Nutzer über fast ein Jahrzehnt an Kernel-Versionen hinweg Lese- und Schreibzugriff auf den Kernel gibt und in einer Virtualisierungskonfiguration einem nicht vertrauenswürdigen Gast das Schreiben in den Host-Speicher erlaubt; ein KI-Pentesting-Agent fand eigenständig eine kritische OTP-Umgehung im Produktiv-Login eines großen Versicherers; und das Labor von Booz Allen berichtet, KI-Modelle hätten in acht Szenarien jedes Ziel erreicht und von einem kompromittierten Perimeter aus in gut 16 Minuten ein industrielles Steuerungsnetz erreicht. Die Werkzeuge fressen sich auch selbst: Ein Fehler im Vorschaubereich von Claude Code Desktop soll Berichten zufolge den Diebstahl von SSH-Schlüsseln, AWS-Zugangsdaten und OAuth-Tokens von Entwicklern ohne jeden Klick ermöglichen.
Warum es wichtig istIhr Patch-Fenster wurde für eine Welt bemessen, in der das Finden des Fehlers länger dauerte als das Ausrollen der Korrektur; diese Annahme ist jetzt die Kontrolle, auf die Sie sich verlassen, und sie trägt nicht mehr.
Der Patch Tuesday war der größte aller Zeiten, und niemand kann sich einigen, wie groß
BleepingComputer zählte 1.411 Schwachstellen und drei Zero-Days, einen ausgenutzten und zwei öffentlich bekannte; SecurityWeek zählte 1.413, darunter die ausgenutzte Umgehung einer Windows-Sicherheitsfunktion, CVE-2026-96951; das SANS Internet Storm Center zählte 1.417, davon 76 kritische und sieben kritische, die keine Kundenmaßnahmen erfordern; Krebs sprach von mehr als 1.400 und merkte an, der Rekord vom September habe bei knapp 1.000 gelegen, etwa dem Zehnfachen der üblichen Monatslast in Redmond. Adobe steuerte 140 über zehn Produkte bei, und Browser-Updates behoben weitere 114. Die genaue Summe ist weniger interessant als die Tatsache, dass vier kompetente Redaktionen, die dieselben Release Notes lasen, bei vier verschiedenen Zahlen landeten.
Warum es wichtig istNach „ausgenutzt und erreichbar“ priorisieren, beginnend mit CVE-2026-96951; eine vierstellige Patch-Liste kann niemand von oben nach unten abarbeiten, der auch schlafen möchte.
Eine Milliarde Phishing-Nachrichten, 187 Laptops und eine Festnahme in einem Dorf: der Tag der Zerschlagungen
Microsoft, Health-ISAC, Japans JC3 und eine Koalition, der unter anderem Resecurity, Cloudflare, Oracle, Proofpoint und TRM Labs angehören, beschlagnahmten Domains hinter den Phishing-Kits CoGUI, Haozi und Iron Man sowie dem Marktplatz YAM Store – einem Ökosystem, das mit mehr als einer Milliarde schädlicher Nachrichten an über 75.000 Organisationen in 150 Ländern in Verbindung gebracht wird. Das US-Justizministerium erhob Anklage gegen 14 Personen, nahm zwei fest und beschlagnahmte rund 187 Laptops an mehr als 40 Orten in Texas, die in nordkoreanischen Schemata mit IT-Fernarbeitern genutzt wurden. Die nordmazedonische Polizei nahm gemeinsam mit dem FBI den mutmaßlichen Administrator des Zugangsdaten-Marktplatzes OLVX fest, und Großbritannien verhängte Sanktionen gegen die Krypto-Plattform Cryptomus wegen russischer Geldwäsche im Zusammenhang mit Ransomware und Darknet-Zahlungen.
Warum es wichtig istZerschlagungen von Infrastruktur verschieben die Spam-Grundlinie um Wochen, nicht um Jahre; neue Versanddomains sind zu erwarten, die Phishing-Erkennung sollte nachjustiert bleiben, statt den Sieg zu verkünden.
Jemand hat die Kühlung in Hunderten französischen Supermärkten auf 50 °C hochgedreht, und die Fehler waren seit einem Jahr bekannt
In der Nacht zum 11. Oktober übernahmen Angreifer aus der Ferne die Kühlung Hunderter französischer Supermärkte und heizten sie auf 50 °C auf, sodass Filialen Waren wegwerfen mussten, wie mehrere Ketten mitteilten; der Zugang erfolgte über den Danfoss-Controller, der sämtliche Kühl- und Gefriergeräte eines Marktes steuert. Ein Forscher sagte Infosecurity Magazine, Fehler, die genau diese Art von Fernsteuerungsangriff auf Kühlungscontroller ermöglichen, seien seit über einem Jahr bekannt. Es handelt sich um einen Angriff mit physischen Folgen über einen Verwaltungskanal, in den sich in der Filiale nie jemand eingeloggt hat.
Warum es wichtig istWenn ein Dritter irgendetwas in Ihrem Bestand aus der Ferne verwaltet, das eine Temperatur, einen Motor oder eine Tür hat, gehört diese Verbindung in den Geltungsbereich und steht vermutlich nicht in Ihrem Asset-Register.
Ein Krypto-Raub über 86 Millionen Dollar, zurückverfolgt zu einer Platine unter dem Bildschirm
Ermittler haben einen Krypto-Diebstahl über 86 Millionen US-Dollar mit einem Hardware-Implantat in Ledger-Signiergeräten in Verbindung gebracht: einer kleinen Platine, versteckt unter dem Bildschirm der Geräte, die Nutzerdaten las und an die Angreifer übermittelte. Ledger hat nun Wiederverkäufer und Distributoren in Indonesien, Singapur, Thailand, den Philippinen, Vietnam, Malaysia und Hongkong gebeten, den Verkauf auszusetzen und Produkte aus den Regalen zu nehmen, während das Unternehmen die Manipulation der Geräte untersucht. Die Lieferkette ist hier kein npm-Registry, sondern ein Regal, ein Karton und ein Kurier.
Warum es wichtig istManipulationsnachweise an empfangener Hardware sind eine Kontrolle, keine Formalität, und jedes Gerät, das anzeigt, was man signiert, lässt sich dazu bringen, etwas anderes anzuzeigen.
Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.
Die Geschichte um die Edge-Geräte änderte mitten im Zyklus ihre Gestalt, der KEV-Schub war ein Ereignis und kein Tröpfeln, und mehrere Feeds verstummten in derselben Minute.
Exception 01
Ivanti wurde in weniger als zwei Stunden Berichterstattung von einem Zero-Day zu einer unvollständig gepatchten Kette
Die ersten Beiträge beschreiben eine einzelne unauthentifizierte Root-RCE; spätere beschreiben drei verkettete Schwachstellen, von denen nur zwei gepatcht sind, und eine nur teilweise Korrektur im Juli. Der rss-Feed lag etwa 1,8 Stunden vor cyber-news. Wer nach der ersten Formulierung handelte, hat ein Drittel des Problems gepatcht.
Konfidenz0.60
Wrong if
Ivanti oder Volexity bestätigen einen einzelnen, vollständig behobenen Fehler, wobei die Formulierung zur Kette auf eine einzige fehlerhafte Paraphrase zurückgeht.
Watch
Ivanti-Advisory-Updates, ein Patch für die dritte Schwachstelle und ein KEV-Eintrag für CVE-2026-104935.
Die KEV-Neuzugänge kamen als ein Schub, und danach stellten beide KEV-Feeds den Betrieb ein
CVE-2026-0322 erscheint in vier Quellen, die beiden Ahsay-CVEs wurden zusammen mit der Cisco-SEG-Schwachstelle aufgenommen, und sowohl signal:kev als auch cisa-kev verstummen nach 09:17 Uhr am 14. Oktober; es handelt sich also um ein einzelnes Veröffentlichungsereignis und keinen stetigen Strom. Der Zusammenhang mit den Ransomware-Schüben desselben Tages ist eine plausible Hypothese, mehr nicht.
Konfidenz0.55Speculative
Wrong if
Spätere KEV-Neuzugänge, die zeigen, dass der Stopp um 09:17 Uhr ein Abruf-Artefakt war, oder Opferberichte, die keinen dieser Vektoren nennen.
Watch
Das nächste KEV-Update und jeder Vorfallbericht, der Ahsay oder PAN-OS als Einfallsvektor nennt.
Ransomware.live lag vor signal:atlas oder ransomlook bei nightspire (8,7 Std.), aurora (7,5 Std.), akira (5,9 Std.), n0n (5,5 Std.), lockbit5 (5,0–5,4 Std.), dragonforce (4,3 Std.) und eclipse (1,6 Std.), während atlas bei Wallstreet (14,1 Std.), Orova (10,7 Std.) und qilin (4,1 Std.) vorn lag. Das ist Feed-Latenz, kein Angreiferverhalten, und es lohnt sich zu wissen, welchen Tab man zuerst öffnet.
Konfidenz0.50
Wrong if
Die Reihenfolge kehrt sich für dieselben Akteure über einen längeren Zeitraum um; bei Daten eines einzigen Tages sind kleine Vorsprünge vom Rauschen nicht zu unterscheiden.
Watch
Die Vorlaufanalyse über eine Woche wiederholen und prüfen, ob die Akteure, bei denen atlas vorn liegt, weiter eskalieren.
thegentlemen hatte am Montag einen Schub und hörte dann in derselben Minute auf wie die KEV-Feeds
18 Einträge am 13. Oktober gegenüber einem Median von 6, dann Stille nach 09:17 Uhr am 14. Oktober – genau der Zeitstempel, an dem auch zwei voneinander unabhängige KEV-Feeds aufhören. Eine Erfassungslücke erklärt das besser als eine Bande, die sich den Nachmittag freinimmt.
Konfidenz0.40Speculative
Wrong if
thegentlemen-Einträge, die nach 09:17 Uhr am 14. Oktober in den Rohdaten der Leak-Sites auftauchen.
Watch
Ob thegentlemen-Opfer am 15. und 16. Oktober wieder auftauchen und ob die KEV-Quellen wieder liefern.
Nothing to seeDas Fenster umfasst etwa anderthalb Tage, sodass jeder Schub an einer Grundlinie nahe null gemessen wird und noch kein Trend belastbar ist. Der Juniper-Cluster mit sieben CVEs und die Docker-Hub-CVE stammen in unseren Feeds jeweils aus einer einzigen Quelle. Die geopolitischen Beiträge und die Mastodon-Spitzen um 03:00 UTC zeigen keine verborgene Verbindung, und nichts verknüpft die neuen KEV-Einträge mit einem namentlich genannten Ransomware-Opfer.
Deep read: 470 Artikel gelesen · $0.00 of compute
§4
Prognose
Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.
Today’s calls
DueCallConfidence
DueThu 22 Oct7 days
CVE-2026-104935 (Ivanti Connect Secure) erscheint bis 23:59 UTC am 22. Oktober 2026 im CISA-KEV-Katalog.
Wrong ifBis zu diesem Zeitpunkt kein KEV-Eintrag für CVE-2026-104935 im cisa-kev-Feed.
Ivanti veröffentlicht bis zum 25. Oktober 2026 eine Korrektur oder formale Gegenmaßnahme für die dritte, derzeit ungepatchte Schwachstelle der Connect-Secure-Kette.
Wrong ifBis zu diesem Datum erscheint in den Feeds rss oder cyber-news kein Ivanti-Advisory-Update zur dritten Schwachstelle.
Calls made today are graded here from tomorrow. Including the wrong ones. Especially the wrong ones.
Glossar der Begriffe, bei denen man nicken soll
Teilweise gepatcht(n.)
Der Zustand, in dem der Anbieter aufgehört hat, über das Problem nachzudenken, und der Kunde noch nicht damit begonnen hat. Siehe auch: Juli, als es zum ersten Mal behoben wurde.
§5
Von unserem Rand
Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.
Unser eigener Edge-Sensor hat in 24 Stunden 140 feindliche Quellen profiliert – 97 Scanner, 32 Bot-Crawler, 10 gezielt vorgehende Akteure und einen Forscher –, die zusammen 22.444 Anfragen sendeten; 37 gingen über das Auskundschaften hinaus und versuchten etwas, und 18 Adressgruppen teilten einen Verhaltensfingerabdruck, eine davon mit 28 Adressen unter einer einzigen DNA (dfef4501b216) – also ein Werkzeug oder ein Betreiber, der Hosts rotiert und das Vielfalt nennt. Die beiden feindseligsten Besucher, 203.159.90.72 und 146.70.194.252, erzielten beide 7,7 von 10 und fragten höflich nach /login/xmlrpc.php und drei Varianten von wlwmanifest.xml, womit sie in der Kill Chain den Credential-Access erreichten. 193.32.204.199 feuerte in etwa 0,8 Sekunden 51 Anfragen nach .git/config ab, was kein Surfen ist. 35.245.136.185 sendete 260 Anfragen auf der Suche nach /.env, /.env.local und /.env.production – der sicherste Kampagnentreffer des Sensors an diesem Tag mit 58 Prozent. Und drei Adressen sendeten 14 Anfragen in der Form von CVE-2017-9841 an den Pfad /vendor/phpunit/, weil irgendwo ein Scanner nie Bescheid bekommen hat. Über den Tag hinweg: 3.311 Adressen an unserem Edge, 1.461 davon erstmals gesehen, aus 114 Ländern. Die Rohprotokolle blieben auf dem Server; nur die Erkenntnisse verließen ihn.
140profilierte feindliche Quellen
22.444Anfragen von ihnen
37erreichten Exploitation
18Cluster mit gleicher DNA
7,7/10höchste Feindseligkeit
3.311Adressen an unserem Edge
1.461heute erstmals gesehen
114Länder
Die WTF-Liste
WTF #1
Der entschlossenste Besucher
203.159.90.72, ein gezielt vorgehender Akteur (Feindseligkeit 7,7/10), sendete 20 Anfragen an eine unserer Websites und suchte nach /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Warum es seltsam istHöchste Feindseligkeit auf der Liste; seine Kill Chain erreichte den Credential-Access.
40.74.77.37, ein Scanner (Feindseligkeit 5,9/10), sendete 290 Anfragen mit 3 pro Minute an 2 unserer Websites und suchte nach /atomlib.php, /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /file.php.
Warum es seltsam ist28 IPs teilen einen Verhaltensfingerabdruck (DNA dfef4501b216): ein Werkzeug oder ein Betreiber, der Adressen rotiert: 20.196.208.116, 20.211.27.190, 74.0.32.199, 34.116.172.94, 35.237.174.50 und weitere.
attribution: unbekanntWed 14 Oct, 06:00 UTC
Detail
Kill Chain: Reconnaissance → Weaponization · DNA dfef4501b216
WTF #3
CVE-2017-9841 an uns versucht
3 Adressen sendeten 14 Anfragen in der Form einer Ausnutzung von CVE-2017-9841 (/vendor/phpunit/phpunit/…), darunter 170.64.160.127, 209.38.25.221, 94.26.0.103.
Warum es seltsam istEin bekannter, benannter Exploit wird immer noch ins Internet gesprüht; unser Edge sah ihn heute, was auch immer die Patch-Hinweise über das Jahr sagen.
attribution: unbekannt
Detail
Sondierungsfamilie: phpunit-rce
WTF #4
Die seltsamste Einkaufsliste
146.70.194.252, ein gezielt vorgehender Akteur (Feindseligkeit 7,7/10), sendete 20 Anfragen an eine unserer Websites und suchte nach /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Warum es seltsam istFragte nach Dateien, nach denen fast niemand sonst fragt: /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml, /login/wordpress/wp-incl.
193.32.204.199, ein gezielt vorgehender Akteur (Feindseligkeit 6,2/10), sendete 51 Anfragen und suchte nach /template/.git/config, /data/.git/config, /www/.git/config, /code/.git/config.
Warum es seltsam istFeuerte 51 Anfragen in etwa 0,8 Sekunden ab.
attribution: unbekanntWed 14 Oct, 23:00 UTC
Detail
Kill Chain: Reconnaissance → Weaponization → Exploitation · DNA 6e70267a94d8
WTF #6
Jemand, den wir vielleicht kennen
35.245.136.185, ein Scanner (Feindseligkeit 6,4/10), sendete 260 Anfragen an eine unserer Websites und suchte nach /.git/config, /.env, /.env.local, /.env.production.
Warum es seltsam istDer sicherste Kampagnentreffer des Sensors an diesem Tag: automatisierter Scanner zur Entdeckung von .env-Zugangsdaten mit 58 %.
attribution: Automatisierter Scanner zur Entdeckung von .env-Zugangsdaten (bester Treffer des Sensors, 58 %)Wed 14 Oct, 23:00 UTC
Detail
Kill Chain: Reconnaissance → Weaponization · DNA 83562bd8e880
§6
Mitfahrten
Kostenlose Live-Tools. Keine Anmeldung, kein Verkaufsgespräch.
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§7
Kolophon
Wie diese Ausgabe entstanden ist – unverblümt.
Ausgabe 18 wurde von Maschinen erstellt und durch Code geprüft. Jeder Beitrag, den 12 öffentliche Bedrohungs-Feeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlicht haben (470 Beiträge), wurde vollständig gelesen: Statistiken werden im Code berechnet, jeder Abschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus synthetisiert. Anschließend hat Claude Opus die Zeitung redigiert. Jede Geschichte nennt die Beiträge, auf denen sie beruht; Geschichten, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung gestrichen (heute 0). Prognosen werden in späteren Ausgaben öffentlich bewertet. „From our edge“ sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: 0,77 $. Sie wird maschinell im Stil von ScottG verfasst, dem Autor von Everything Is Probably Fine, und niemand hat sie von Hand redigiert, was entweder der Sinn der Sache oder das Problem ist.
470items read
24hour window
$0.77cost of this edition
04:05 UTCgenerated
Quellen von heute Morgen
ThreatFox100ok
Security news97ok
infosec.exchange77ok
atlas49ok
Signal Atlas45ok
RansomLook26ok
RSS23ok
ransomware.live22ok
signal:ioc-family12ok
AlienVault OTX11ok
signal:kev4ok
CISA KEV4ok
ITEMS READ: 470|SOURCES: 12|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.77|STATUS: NICHT BESONDERS IN ORDNUNG
OWNER: die Maschine|EDITOR: die Regeln|CALLS OPEN: 3|NEXT REVIEW: morgen 06:00 UK