Aufmacher · Schwachstellen

Vier Edge-Produkte wurden gestern ausgenutzt. Der Katalog erhielt einen neuen Eintrag, und keines davon war betroffen

Cisco, Palo Alto, Ivanti und Collabora meldeten im selben Zeitraum reale Ausnutzung, während die Known-Exploited-Liste der CISA einen Atlassian-Fehler zur Dateiofflegung mit einem EPSS von 0.02777 aufnahm.

Konfidenz 0.88

Cisco warnte, dass nicht authentifizierte Angreifer aus der Ferne beliebige Dateien in das Betriebssystem des Secure Email Gateway schreiben und Befehle mit Root-Rechten ausführen können, und dass dies bereits ausgenutzt wird. Palo Alto Networks lieferte einen Fix für CVE-2026-0322 (CVSS 8.6) aus, eine Schwachstelle zur Remotecodeausführung in der PAN-OS-Verwaltungsschnittstelle; ein Bericht beschreibt sie als ausgenutzte Zero-Day-Lücke, ein anderer als authentifiziert und auf die Verwaltungsebene beschränkt. Der Hersteller erklärt, ihm sei eine begrenzte Ausnutzung bekannt, und veröffentlicht IoCs. Ivanti brachte Notfall-Updates heraus, nachdem Angreifer drei Zero-Days in Connect Secure verkettet hatten, geführt unter anderem als CVE-2026-104935, um ohne Authentifizierung Root-Zugriff zu erlangen. Und Angreifer platzieren über CVE-2026-110447 in der in Collabora Online integrierten CODE-Server-App Hintertüren auf Nextcloud-Servern.

Dem steht gegenüber, dass der Katalog der Known Exploited Vulnerabilities genau einen Eintrag hinzufügte: CVE-2026-21589, eine Schwachstelle, durch die Dateien oder Verzeichnisse für externe Parteien zugänglich sind, und zwar in Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible und Fisheye Data Center, mit einem EPSS von 0.02777. Das ist keine Kritik am Katalog. Der Katalog ist ein Nachweisregister, das einen Prozess durchlaufen hat, und Prozesse haben ihr Tempo. Kritik gilt dem Umstand, ihn als einzige Uhr zu benutzen: Wenn etwas aufgeschrieben ist, gilt es schon eine Weile, und der exponierte Teil Ihrer Infrastruktur war die ganze Zeit exponiert.

Die ehrliche Reihenfolge für heute Morgen: zuerst alles Eigene mit einer Verwaltungsschnittstelle, die aus dem offenen Internet erreichbar ist, dann die Nextcloud-Systeme, dann Atlassian. Eine Verwaltungsschnittstelle im öffentlichen Internet ist eine Schlafzimmertür mit Klingel. Wo wir schon dabei sind: Drupal behob am 14. Oktober eine kritische Field-UI-Lücke in 11.4.10, 11.3.19 und 10.6.19, Next.js veröffentlichte am selben Tag einen außerplanmäßigen Patch für zwei kritische, nicht authentifizierte RCE-Lücken, und NGINX brachte 1.30.6 und 1.31.7 für fünf Probleme heraus, von denen eines seit Mai 2005 in jedem Release steckt. Einundzwanzig Jahre sind kein Schwachstellenfenster. Das ist ein Mietverhältnis.

Warum es wichtig istDie Patch-Reihenfolge heute: zuerst Ausnutzungsbelege, dann der Katalog – also Edge-Appliances mit exponierter Verwaltungsebene, danach Nextcloud/Collabora, dann Atlassian Data Center.

Belege

Today’s revelation

Eine Schwachstelle gilt als „aktiv ausgenutzt“ an dem Tag, an dem jemand den Papierkram erledigt hat. Ausgenutzt wurde sie deutlich früher, und niemand hat eine Kalendereinladung verschickt.

— Sturgeon's Revelations · Probably Fine Daily No. 19

§2

Schlagzeilen

Der Rest der letzten 24 Stunden – mit Belegen.

Bedrohungsakteure

Die Anzeige wurde geladen. Das war der gesamte Angriff

Citizen Lab zufolge wurden Geräte bei Al Jazeera mit der Candiru-Spyware infiziert, die über gewöhnliche gezielte Online-Werbung ausgeliefert wurde. Die Forscher nennen die Technik AdFection und bezeichnen sie als erste öffentliche Bestätigung von Zero-Click-Söldner-Spyware, die über Werbung verbreitet wird. Kein Klick, keine Nutzeraktion: Der versteckte Code lief, sobald die Anzeige geladen wurde, in einigen Fällen wurde die Anzeige im Hintergrund außerhalb des sichtbaren Bereichs gerendert. OTX brachte den Bericht rund anderthalb Stunden vor den Nachrichtenfeeds, und Mastodon tat danach, was Mastodon eben tut.

Warum es wichtig istWenn ein Anzeigenabruf ein Ausführungsprimitiv ist, ist Werbeblockierung keine Geschmacksfrage mehr, sondern eine Kontrollmaßnahme mit einem Bedrohungsmodell dahinter.

Konfidenz 0.80

Belege

Ransomware

Siebenundsiebzig Leak-Site-Einträge in einer Stunde sind keine Verbrechenswelle, sondern ein Cronjob

Von 514 Einträgen im Zeitfenster entfielen 259 auf den 15. Oktober und 77 allein auf die Stunde ab 22:00 Uhr, bei einem Mittel von 10.1 Einträgen pro Stunde; auf Qilin entfielen 47 Einträge an diesem Tag, auf N0n 28, auf Akira 17 und auf LockBit5 17, gegenüber Medianwerten nahe null. Die Opfer sind real genug – Qilin listete Brame Telecom, Commune Du Tampon, Chattanooga Shooting Supplies, HyperGen und Hocon Gas innerhalb von drei Minuten, Akira listete Sun Valley Dairy, Videk und eine Anwaltskanzlei in Arizona, LockBit5 listete fünf Organisationen in sieben Minuten –, aber der Takt stammt vom Veröffentlichungsskript, nicht von den Einbrüchen. Und die beiden Tracker sind keine zwei Zeugen: ransomware.live geht ransomlook bei nahezu jeder gemeinsamen Entität um ein bis fünf Stunden voraus, sodass vier Quellen zu Qilin in Wahrheit eine einzige Leak-Site sind, zweimal ausgelesen und dann gemeldet.

Warum es wichtig istZählen Sie Opfer, nicht Beiträge, und behandeln Sie einen Schub als Veröffentlichungsplan, bis eine zweite, wirklich unabhängige Quelle etwas anderes belegt.

Konfidenz 0.75

Belege

Ransomware

Sieben Organisationen in rund vier Minuten gelistet, alle mit dem Etikett Salesforce

Zwischen 15:31 und 15:35 Uhr veröffentlichte eine Gruppe, die sich „the seven deadly sins“ nennt, sieben Einträge mit Countdowns von 60 und 72 Stunden: Canva mit 200M+ Zeilen und 2M+ Salesforce-CRM-Datensätzen, iHeartJane mit 19M+ samt Case-/Contact-/Account-Daten, Harness mit 2.5M+ Leads und Kontakten, Verano mit 2.4M+ einschließlich Treue- und Rechnungshistorie, Globeia mit 920K+, Cradlewise mit 3.2M+ und das Hospital Sírio-Libanês mit 3.5M+. Die Angaben sind unbestätigt, die Texte lesen sich wie Pitch-Decks bis hin zu „Company value ~$40B val“, und die Mischung der Opfer passt kaum zu einer einzigen Kompromittierung einer verbundenen App – was entweder mehrere Zugangswege oder Übertreibung bedeutet. Die Countdowns laufen um den 18. und 19. Oktober ab, dann wissen wir, was zutrifft.

Warum es wichtig istWer Salesforce betreibt, sollte heute verbundene Apps, Integrationsnutzer und API-Token inventarisieren, statt den Timer abzuwarten.

Konfidenz 0.60

Bedrohungsakteure

Rund 700 französische Supermärkte, ungepatchte Kühlungssteuerungen, und niemand bekennt sich dazu

Der Angriff auf die Kältetechnik im französischen Einzelhandel hat sich auf Steuerungen von Copeland und Dixell ausgeweitet; rund 700 Filialen sind betroffen, keine Gruppe hat sich bekannt. Ein Begleitbericht beziffert den Schaden auf Hunderte Filialen und Millionen Euro und führt die Ursache klar auf veraltete OT-Firmware zurück, die von Dritten betreut wird. Das ist das gesamte moderne Muster in einem Satz: Das Gerät gehört Ihnen, die Firmware ist der Vertrag eines anderen, und der Patch ist niemandes Dienstag.

Warum es wichtig istFragen Sie noch heute Ihre Facility- und Managed-Service-Dienstleister schriftlich, welche Controller-Firmware sie einsetzen und wann sie zuletzt aktualisiert wurde.

Konfidenz 0.65

Belege

Politik

Der Einbruch bei der Legal Aid Agency ist nicht größer geworden. Er ist älter geworden

Die Legal Aid Agency, eine Exekutivagentur des Justizministeriums, erklärt, die Angreifer, die im April 2025 in ihre Systeme eingedrungen waren, hätten Datensätze bis zurück ins Jahr 1978 entwendet; eine forensische Überprüfung hat den zuvor mitgeteilten Umfang erweitert. Ein zweiter Bericht nennt als Schwerpunkt Anträge, Forderungen und Zahlungen zwischen 2007 und 2025, die beiden Angaben sind also öffentlich noch nicht in Einklang gebracht. Der erste Bericht erschien rund sechs Stunden vor der großen Sicherheitspresse, was einiges darüber verrät, wo Offenlegungen tatsächlich auftauchen.

Warum es wichtig istAngaben zum Umfang verschieben sich noch achtzehn Monate nach einem Vorfall; behandeln Sie die erste Zahl als vorläufig und planen Sie die Benachrichtigungskapazitäten für die spätere.

Konfidenz 0.70

Belege

KI & Sicherheit

Die Agenten übernahmen wesentliche Teile eines Angriffs, und die Scanner wollen jetzt Ihre Modellschlüssel

Forscher berichten vom ersten bestätigten Vorfall, bei dem von großen Sprachmodellen gesteuerte Agenten wesentliche Teile eines Angriffs ausführten und innerhalb von 24 Stunden von einem exponierten Endpunkt zur Auftragsübermittlung zur vollständigen Übernahme eines Servers gelangten; zugleich hat der Infostealer Aoki Zugangsdaten für Claude, OpenAIs Codex, Cursor, Codeium und Gemini in seine Sammelliste aufgenommen. Unser eigener Edge sah über Nacht denselben Wandel im Kleinen: Ein Scanner sandte 442 Anfragen auf der Suche nach /.env, /.env.local und /.env.development, mit /gemini.env im selben Durchlauf. Das Gegengewicht verdient Beachtung: Eine Analyse argumentiert, KI verflache Angriffe und ernsthafte Akteure rührten sie kaum an, und ANY.RUN ordnete zwischen April und Oktober 2026 1,258 öffentliche Sandbox-Analysen Kampagnen zu, die lediglich KI-Produkte imitieren. Beides stimmt, und das ist das Unbequeme daran.

Warum es wichtig istAPI-Schlüssel für Modelle gehören in dasselbe Inventar, denselben Rotationsplan und dieselbe Alarmierung wie Cloud-Zugangsdaten, beginnend mit allem, was in Ihren Repositories liegt.

Konfidenz 0.70

Belege

Malware & IOCs

Eine firewallartige Domain mit Dutzenden Vidar-C2-Pfaden und vergiftete Arch-Helfer

ThreatFox nahm in rund einer Minute Dutzende Vidar-Command-and-Control-URLs auf, verteilt auf die Subdomains ih., yk. und ti. von 888-fw.com mit kurzen kampagnenspezifischen Pfadkürzeln wie /wu, /m42 und /q1d. Derselbe Schwung enthielt sechs Sliver-Listener auf Port 31337 und einen Cobalt-Strike-C2 auf 44.214.239.245:443, was den alten Witz bestätigt, dass Standardwerte ewig halten. Gesondert dazu lud ein Bedrohungsakteur schädliche Pakete ins Arch User Repository hoch, die sich als die beliebten Helfer yay und paru ausgeben und Malware mit Root-Rechten ausführen.

Warum es wichtig istSperren Sie noch heute die Subdomains von 888-fw.com und die gelisteten C2-Adressen, und prüfen Sie, welche Ihrer Entwickler diese Woche einen AUR-Helfer installiert haben.

Konfidenz 0.70

Belege

1ThreatFoxSliver IOC: 64.227.97.214:31337 (ip:port) — Indicat…

Kurioses

Die Leak-Site, die ihr eigenes Opfer nicht identifizieren konnte

Der Akteur iah6477 veröffentlichte ein Opfer namens „hensley“ mit einer KI-generierten Beschreibung, die in vollem Ernst festhält, der Name allein genüge nicht, um ein bestimmtes Unternehmen zu identifizieren, da mehrere Firmen so heißen; ein weiterer Eintrag versieht camden-living mit dem Kürzel GB, beschreibt aber ein US-Immobilienunternehmen; und dieselbe Gruppe erscheint beim anderen Tracker als iah647. Die Erpressung ist so weit, dass sie ihre Opferrecherche an ein Modell auslagert, das sich absichert. Anderswo in der Spalte des Seltsamen: Eine Kernel-Schwachstelle, mit der Code in einer virtuellen Maschine Hostspeicher lesen kann, hat die Nummer CVE-2026-99999 erhalten, den Spitznamen PwnEscape, wurde an Vercels Live-Cloud-Sandboxes demonstriert und von Vercel bestätigt.

Warum es wichtig istAkteursnamen, Länderkürzel und Opferbeschreibungen von Leak-Site-Trackern sind generierte Inhalte; prüfen Sie sie, bevor irgendetwas davon in eine Kundenbenachrichtigung gelangt.

Konfidenz 0.60

Belege

§3

Verborgen

Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.

Unter den Feeds: eine Leak-Site, die zweimal ausgelesen und viermal gezählt wurde, eine echte Geschichte mit drei Quellen und ein Batch-Fenster, das den Großteil des gestrigen „Anstiegs“ erklärt.

Exception 01
Die beiden Ransomware-Tracker sind ein einziger Zeuge
Bei nahezu jeder gemeinsamen Entität erscheint ransomware.live ein bis fünf Stunden vor ransomlook, mitunter zehn bis vierundzwanzig Stunden vor Atlas; Mehrquellenzählungen zu Akteuren wie Qilin sind daher aufgebläht, weil dieselben Leak-Sites ausgelesen werden, und nicht, weil es Bestätigungen gäbe.
Konfidenz 0.80
Wrong if
Ransomlook-Einträge tragen frühere Zeitstempel der Erstsichtung für dieselben Leaks oder verweisen auf unabhängiges Quellmaterial.
Watch
Ob die Reihenfolge in späteren Zeitfenstern Bestand hat; falls ja, ransomware.live als frühestes Signal nutzen und den Rest abwerten.
Belege
1. 1ransomware.liveqilin claimed Brame Telecom (Technology · BR) — N/A
2. 2RansomLookqilin leaked Brame Telecom — Business Services
Exception 02
Die Stunde ab 22:00 Uhr leistete die Hauptarbeit
259 von 514 Einträgen entfielen auf den 15. Oktober und 77 auf die einzelne Stunde ab 22:00 Uhr, bei einem Mittel von 10.1 pro Stunde, wobei Qilin, Akira, LockBit5, N0n, Interlock und incransom alle vertreten waren, was auf Batch-Veröffentlichung statt auf einen echten Wandel im operativen Tempo hindeutet.
Konfidenz 0.60Speculative
Wrong if
Die täglichen Zahlen je Akteur bleiben vom 16. bis 18. Oktober erhöht, statt auf die Grundlinie zurückzukehren.
Watch
Tägliche Zahlen je Akteur für die nächsten drei Tage und ob Atlas weiterhin dieselben Akteure gleichzeitig als eskalierend und abklingend einstuft.
Belege
1. 1Security newsSecTor 2026 Reveals a Rapidly Shifting Cybersecurit…
2. 2RansomLookqilin leaked Telcoe Federal Credit Union — Banking
Exception 03
N0n betreibt anonymisierte Einträge mit Lieferkettenbezug
N0n veröffentlichte binnen fünfzehn Stunden rund acht „Company #NN“-Einträge mit dem Vermerk PENDING EXPOSURE, darunter eine Firma für Software-Qualitätssicherung mit Bezug zu einer Testumgebung von Wolters Kluwer/CCH Axcess und einen Integrator für Gebäudeautomation und Überwachung, dessen Eintrag alle Kundenstandorte, Geräte, Nutzer und Zugangsdaten beansprucht, was auf eine Betroffenheit nachgelagerter Stellen weit über das genannte Opfer hinaus schließen lässt.
Konfidenz 0.55Speculative
Wrong if
Die Timer laufen ohne Deanonymisierung ab, oder die genannten Umgebungen erweisen sich als unbeteiligte Testdaten.
Watch
Deanonymisierung nach Ablauf der PENDING-EXPOSURE-Timer sowie jede Stellungnahme von Kunden des Integrators.
Exception 04
Das PAN-OS-Etikett widerspricht sich selbst
Ein Bericht stellt die PAN-OS-Lücke als ausgenutzte Zero-Day-Schwachstelle dar, die Remotecodeausführung ermöglicht; ein anderer beschreibt CVE-2026-0322, CVSS 8.6, als Remotecodeausführung in der Verwaltungsschnittstelle unter aktiver Ausnutzung. Ihre tatsächliche Gefährdung hängt davon ab, ob diese Schnittstelle aus dem Internet antwortet.
Konfidenz 0.55
Wrong if
Palo Alto bestätigt die Ausnutzung eines nicht authentifizierten Pfads in freier Wildbahn oder stellt die Authentifizierungsanforderung klar.
Watch
KEV-Aufnahmen für PAN-OS, Cisco Secure Email Gateway und Ivanti Connect Secure in den nächsten drei Tagen.
Belege
Exception 05
Tracker-Metadaten sind generiert, nicht beobachtet
Derselbe Akteur erscheint bei zwei Trackern als iah6477 und iah647, Opferbeschreibungen sind als KI-generiert gekennzeichnet und widersprechen ihren eigenen Länderkürzeln, und Atlas ordnet N0n CA zu und thegentlemen AG, BZ, TH, TW und FI; Geografie und Zählungen aus diesen Quellen sollten daher abgewertet werden.
Konfidenz 0.65
Wrong if
Prüfungen auf Opferebene bestätigen die markierten Länder und die Identität des einzelnen Akteurs.
Watch
Ob die Aliasse zusammengeführt werden und ob sich die Länderlisten von Atlas in späteren Läufen stabilisieren.
Belege
1. 1RansomLookiah647 leaked alera — status: public | hosting: pre…

Nothing to seeDas Siemens- und NVD-Volumen ist dem Veröffentlichungszeitpunkt des Patch Tuesday geschuldet, keine Kampagne; die minderwertigen CVE-Cluster derselben Offenlegungsmühle zeigen keine quellenübergreifende Struktur; die staatsnahen Einträge (Silent Lynx, PEERSTITCH) und die Zerschlagungen von Phishing-Kits tauchten je einmal auf und blieben dabei. Dass NVD nach dem 14. Oktober, 23:22 Uhr, verstummt, ist mit ziemlicher Sicherheit Ingest-Batching und keine echte Stille, und es wurde nur ein Tag an Daten gelesen, also behauptet hier niemand einen Trend.

Deep read: 514 Artikel gelesen

§4

Prognose

Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.

Today’s calls

DueFri 23 Oct7 days
CISA KEV nimmt bis zum 23. Oktober mindestens eine der Schwachstellen in PAN-OS (CVE-2026-0322), Ivanti Connect Secure (Kette um CVE-2026-104935) oder Cisco Secure Email Gateway auf.
Wrong ifKEV enthält bis einschließlich 23. Oktober keinen Eintrag zu diesen drei Produkten.
Belege
f-2026-10-16-1
Confidence0.60
DueFri 23 Oct7 days
Nach Ablauf der Countdowns von 60 und 72 Stunden am 18. und 19. Oktober werden bis zum 23. Oktober von mindestens einer der sieben von „the seven deadly sins“ gelisteten Organisationen Daten auf der Leak-Site veröffentlicht oder eine öffentliche Stellungnahme abgegeben.
Wrong ifAlle sieben Einträge bleiben bis zum 23. Oktober im Countdown oder verschwinden stillschweigend, ohne Veröffentlichung und ohne Stellungnahme der Opfer.
f-2026-10-16-2
Confidence0.45
DueWed 21 Oct5 days
Qilin wird das gestrige Volumen nicht halten: An mindestens einem Tag zwischen dem 17. und 21. Oktober erscheinen auf ransomware.live weniger als zehn Qilin-Leak-Site-Einträge.
Wrong ifAn jedem Tag vom 17. bis 21. Oktober verzeichnet ransomware.live zehn oder mehr Qilin-Beiträge.
Belege
f-2026-10-16-3
Confidence0.75

Scorecard

2 right · 1 partly · 1 wrong · 2 open

wrong
Rejetto HFS CVE-2026-61500 picks up either an NVD record or a KEV listing in these feeds by 16 October.
Called Tue 6 Oct · due Fri 16 Oct
Due date is today (16 October) and no NVD record or KEV listing for CVE-2026-61500 appears in any of today's feed items.
right
CVE-2026-21589, the Atlassian Data Center flaw already under attack, is added to the CISA KEV catalogue.
Called Fri 9 Oct · due Mon 19 Oct
CISA KEV added CVE-2026-21589 on 15 October 2026, before the 19 October deadline.
Belege
1. 1CISA KEVCVE-2026-21589 Atlassian Multiple Products: Atlassi…
open
No official T-Mobile breach notification or verified data sample corroborating BYOD's claim appears in these feeds.
Called Fri 9 Oct · due Fri 16 Oct
Due date is today (16 October) and no T-Mobile breach notification or verified data sample appears in today's feeds.
open
At least one of N0n's duplicated listings (Companies #19 to #23 or #25 to #29) is removed, merged or retagged on ransomware.live or ransomlook by 16 October.
Called Mon 12 Oct · due Fri 16 Oct
Due date is today (16 October); no items in today's feeds confirm removal/merge/retag of N0n's duplicate listings #19-#23 or #25-#29, but also no explicit confirmation all remain unchanged.
partly
Wallstreet posts at least three further Swedish victims to its leak site.
Called Wed 14 Oct · due Wed 21 Oct
One Wallstreet SE-tagged victim (TGM Manufacturing, US) posted but US-tagged, not Swedish; only one new entry visible; deadline 21 October not yet passed.
right
lockbit5 posts at least three further named victims to ransomware.live by 20 October 2026.
Called Thu 15 Oct · due Tue 20 Oct
lockbit5 posted at least 5 new named victims (grupoabg.com, neweramachines.com, lcww.com.eg, kidzrkooldental.com, torcivialaw.com) on ransomware.live on 15 October, meeting the threshold of three before the 20 October deadline.
Belege

Glossar der Begriffe, bei denen man nicken soll

Verwaltungsschnittstelle (n.): Der Teil der Appliance, der nur aus dem internen Netz erreichbar ist, abgesehen von denen, die aus dem Internet erreichbar sind; so finden wir normalerweise heraus, welche Sorte wir haben.

§5

Von unserem Rand

Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.

Unser eigener Edge-Sensor hat in den letzten 24 Stunden 86 feindliche Quellen erfasst – 62 Scanner, 18 Bot-Crawler, 5 gezielt vorgehende Akteure und 1 Brute-Forcer –, die zusammen 16,405 Anfragen sendeten; 18 davon gingen über die Aufklärung hinaus zu tatsächlichen Ausnutzungsversuchen, und 6 Adressgruppen teilten einen Verhaltensfingerabdruck. Der höchste Feindseligkeitswert lag bei 8.5 von 10; der entschlossenste erfasste Besucher, 146.70.40.70 mit 7.7, sandte nur 20 Anfragen und erreichte dennoch den Zugriff auf Zugangsdaten, ein nützliches Korrektiv für alle, die Bedrohungen nach Volumen ordnen. 45.138.12.185 sandte 442 Anfragen auf der Suche nach Umgebungsdateien, darunter /gemini.env; siebzehn Adressen teilten die DNA dfef4501b216, während sie nach /.git/config und /.env.production suchten; 92.118.39.126 feuerte 24 Anfragen in etwa einer Zehntelsekunde ab; zwei Hosts, 209.38.91.228 und 94.26.0.103, sprühten fünfzehn Anfragen nach dem Muster von CVE-2017-9841 auf phpunit-Pfade, ein neun Jahre alter Exploit, der sich weiter lohnt. Über den Tag erreichten 2,807 Adressen aus 90 Ländern unseren Edge, 993 davon waren neu für uns. Rohprotokolle haben den Server nie verlassen, nur diese Erkenntnisse.

86erfasste feindliche Quellen

16,405Anfragen von ihnen

18bis zur Ausnutzung gelangt

6Cluster mit gemeinsamer DNA

8.5/10höchste Feindseligkeit

2,807Adressen an unserem Edge

993heute erstmals gesehen

90Länder

Die WTF-Liste

WTF #1
Auf der Suche nach Ihren KI-Schlüsseln
45.138.12.185, ein Scanner (Feindseligkeit 4.4/10), sandte 442 Anfragen an eine unserer Seiten und suchte nach /.env, /.env.local, /.env.development, /config.php.
Warum es seltsam istGing direkt auf KI-Zugangsdaten los: /gemini.env. API-Schlüssel für Modelle stehen bei den Scannern jetzt neben Cloud-Schlüsseln auf dem Einkaufszettel.
attribution: unbekanntFri 16 Oct, 00:00 UTC
Detail
```
Kill Chain: Aufklärung → Waffenentwicklung → Ausnutzung · DNA f54b5889aafb
```
WTF #2
Der entschlossenste Besucher
146.70.40.70, ein gezielt vorgehender Akteur (Feindseligkeit 7.7/10), sandte 20 Anfragen an eine unserer Seiten und suchte nach /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Warum es seltsam istHöchste Feindseligkeit auf der Liste; seine Kill Chain erreichte den Zugriff auf Zugangsdaten.
attribution: unbekanntFri 16 Oct, 00:00 UTC
Detail
```
Kill Chain: Aufklärung → Waffenentwicklung → Ausnutzung → Zugriff auf Zugangsdaten · DNA 82a939927b85
```
WTF #3
CVE-2017-9841 gegen uns versucht
2 Adressen sandten 15 Anfragen nach dem Muster einer Ausnutzung von CVE-2017-9841 (/vendor/phpunit/phpunit/…), darunter 209.38.91.228, 94.26.0.103.
Warum es seltsam istEin bekannter, benannter Exploit wird noch immer ins Internet gesprüht; unser Edge sah ihn heute, was auch immer die Patch-Hinweise über das Jahr sagen.
attribution: unbekannt
Detail
```
Sondenfamilie: phpunit-rce
```
WTF #4
Gleiche DNA, andere Adressen
34.130.52.167, ein Scanner (Feindseligkeit 6.3/10), sandte 277 Anfragen an eine unserer Seiten und suchte nach /.git/config, /.env, /.env.local, /.env.production.
Warum es seltsam ist17 IPs teilen einen Verhaltensfingerabdruck (DNA dfef4501b216): ein Werkzeug oder ein Akteur, der Adressen rotiert: 20.197.26.190, 20.204.146.105, 151.240.45.25, 95.153.31.12, 167.172.90.23 und weitere.
attribution: unbekanntFri 16 Oct, 00:00 UTC
Detail
```
Kill Chain: Aufklärung → Waffenentwicklung · DNA dfef4501b216
```
WTF #5
Der seltsamste Einkaufszettel
20.214.147.109, ein gezielt vorgehender Akteur (Feindseligkeit 6.2/10), sandte 113 Anfragen an 2 unserer Seiten und suchte nach /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /3PJcpMFsD8B.php, /z70.php.
Warum es seltsam istFragte nach Dateien, nach denen fast niemand sonst fragt: /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /3PJcpMFsD8B.php, /z70.php, /1.php.
attribution: unbekanntFri 16 Oct, 00:00 UTC
Detail
```
Kill Chain: Aufklärung → Waffenentwicklung → Ausnutzung · DNA 938595d2ae44
```
WTF #6
In Eile
92.118.39.126, ein Scanner (Feindseligkeit 6.2/10), sandte 24 Anfragen an eine unserer Seiten und suchte nach /dev/.git/config, /.git/HEAD, /admin/.git/config, /app/.git/config.
Warum es seltsam istFeuerte 24 Anfragen in etwa 0.1 Sekunden ab.
attribution: unbekanntFri 16 Oct, 00:00 UTC
Detail
```
Kill Chain: Aufklärung → Waffenentwicklung · DNA 30414a1527be
```

§6

Mitfahrten

Kostenlose Live-Tools. Keine Anmeldung, kein Verkaufsgespräch.

§7

Kolophon

Wie diese Ausgabe entstanden ist – unverblümt.

Ausgabe 19 wurde von einer Maschine erstellt und per Code geprüft. Jeder Beitrag, den 13 öffentliche Bedrohungsfeeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlicht haben (514 Einträge), wurde vollständig gelesen: Statistiken per Code berechnet, jeder Ausschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus synthetisiert. Anschließend redigierte Claude Opus die Zeitung. Jede Geschichte nennt die Einträge, auf denen sie beruht; Geschichten, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung verworfen (heute 0). Prognosen werden in späteren Ausgaben öffentlich bewertet. „From our edge“ sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: $0.98. Sie wird maschinell im Stil von ScottG verfasst, dem Autor von Everything Is Probably Fine, und niemand hat sie von Hand redigiert, was entweder der Sinn der Sache oder das Problem ist.

514items read

24hour window

$0.98cost of this edition

04:05 UTCgenerated

Quellen von heute Morgen

NVD100ok
ThreatFox100ok
Signal Atlas81ok
Security news57ok
RansomLook54ok
infosec.exchange38ok
ransomware.live37ok
atlas18ok
AlienVault OTX10ok
RSS9ok
signal:ioc-family8ok
signal:kev1ok
CISA KEV1ok

Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.

Die Anzeige wurde geladen. Das war der gesamte Angriff

Siebenundsiebzig Leak-Site-Einträge in einer Stunde sind keine Verbrechenswelle, sondern ein Cronjob

Sieben Organisationen in rund vier Minuten gelistet, alle mit dem Etikett Salesforce

Rund 700 französische Supermärkte, ungepatchte Kühlungssteuerungen, und niemand bekennt sich dazu

Der Einbruch bei der Legal Aid Agency ist nicht größer geworden. Er ist älter geworden

Die Agenten übernahmen wesentliche Teile eines Angriffs, und die Scanner wollen jetzt Ihre Modellschlüssel

Eine firewallartige Domain mit Dutzenden Vidar-C2-Pfaden und vergiftete Arch-Helfer

Die Leak-Site, die ihr eigenes Opfer nicht identifizieren konnte

Die beiden Ransomware-Tracker sind ein einziger Zeuge

Die Stunde ab 22:00 Uhr leistete die Hauptarbeit

N0n betreibt anonymisierte Einträge mit Lieferkettenbezug

Das PAN-OS-Etikett widerspricht sich selbst

Tracker-Metadaten sind generiert, nicht beobachtet

Today’s calls

Scorecard

Glossar der Begriffe, bei denen man nicken soll

Die WTF-Liste

Auf der Suche nach Ihren KI-Schlüsseln

Der entschlossenste Besucher

CVE-2017-9841 gegen uns versucht

Gleiche DNA, andere Adressen

Der seltsamste Einkaufszettel

In Eile

Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.

Quellen von heute Morgen