Ein täglicher Feldbericht über Dinge, die wahrscheinlich in Ordnung sind
No. 23·Dienstag 20 Oktober 2026·Erscheint 06:00 UK·Fine-Anzeige 3/5: Nicht ganz in Ordnung
Aufmacher · Lieferkette
Das Backup war der Zugang: ConnectWise setzt Cloud Backup nach bestätigtem Einbruch aus, und Forscher sagen, dessen Zugangsdaten hätten Microsoft-365-Tenants geöffnet
Was man für den Katastrophenfall aufbewahrt, ist zur Eingangstür der Katastrophe geworden. Der Hersteller sagt, Auswirkungen auf Kunden seien nicht bestätigt, und das ist nicht dasselbe wie „nicht betroffen“.
Konfidenz0.80
Am Freitag teilte ConnectWise mit, man untersuche „Versuche unbefugten Zugriffs im Zusammenhang mit der ConnectWise-Cloud-Backup-Umgebung“. Am Samstag bestätigte das Unternehmen den Zugriff. Am Montag waren die Cloud-Dienste ausgesetzt; sie bleiben nicht verfügbar, während das Unternehmen Maßnahmen durchführt, die es Bereinigung und Sicherheitsvalidierung nennt – eine gelassene Umschreibung dafür, dass jemand Logs liest, die er nie lesen wollte.
Für alle weiter unten in der Kette stammt der entscheidende Satz nicht vom Hersteller, sondern von Forschern: Angreifer hätten sich mit ConnectWise-Zugangsdaten in Microsoft-365-Tenants authentifiziert. ConnectWise sagt, Auswirkungen auf Kunden seien weiterhin unbestätigt. Beides kann zugleich stimmen, so verlaufen die meisten Montage. Ein Medium spricht bereits von einem Lieferkettenangriff, und die Berichterstattung nimmt die nachgelagerten MSPs in den Blick, denn ein MSP-Werkzeug ist ein Schlüsselbund. Ein Schlüsselbund versagt nicht Tür für Tür.
Ein Backup ist die zweite Kopie des Unternehmens, die existiert, damit die erste sterben darf. Wir geben ihr die weitreichendsten Leserechte der gesamten Umgebung und die geringste Aufsicht, in der Annahme, sie lese ja nur. Das ist ein Kategorienfehler: Was alles lesen kann, ist aus Sicht des Angreifers die Umgebung selbst. Die Arbeit dieser Woche ist unglamourös. Alle Zugangsdaten und App-Zustimmungen auflisten, die ConnectWise in Ihren Tenants hält, rotieren, was sich rotieren lässt, und die Anmeldeprotokolle dieser Identitäten lesen, bevor jemand anderes sie Ihnen in einem Bericht vorliest.
Warum es wichtig istWer ConnectWise Cloud Backup nutzt, selbst oder über einen MSP, sollte dessen Microsoft-365-Zugangsdaten bis zum Gegenbeweis als kompromittiert behandeln und noch heute die Anmeldeprotokolle der Tenants prüfen.
Das Backup ist die einzige vollständige Kopie des Unternehmens, die niemand beobachtet, weshalb der Angreifer genau diese Kopie zuerst liest.
— Sturgeon's Revelations · Probably Fine Daily No. 23
Jeden Morgen06:00 UK
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§2
Schlagzeilen
Der Rest der letzten 24 Stunden – mit Belegen.
Schwachstellen
Plex2Shell einen Tag nach dem Proof of Concept ausgenutzt – gegen einen Patch, der am 3. August erschien
Vier verkettete Schwachstellen in Plex Media Server (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656, eine davon mit CVSS 8.6) ermöglichen die Ausführung von Code aus der Ferne ohne Authentifizierung. Eine SSRF in /player/timeline liefert ein Admin-Token, anschließend wird eine ELF-Binärdatei im Verzeichnis Codecs abgelegt. Die Korrektur erschien am 3. August in Version 1.43.3.10861. Die Ausnutzung begann einen Tag nach dem Proof of Concept vom 16. Oktober und liefert den Miner XMRig sowie eine Linux-Reverse-Proxy-Hintertür mit dem, man muss sagen, freimütigen Namen „myawesomeproxy“. Am selben Tag veröffentlichte F5 außerplanmäßige NGINX-Patches, darunter drei kritische Schwachstellen zur Codeausführung; Drupal warnte vor rascher Ausnutzung einer kritischen RCE im Core; ein Forscher zeigte, dass die weiterhin ungepatchte WLAN-Einrichtungssoftware von Broadcom jedem in Funkreichweite Root-Rechte auf Routern verschafft; und eine ausgenutzte Fortinet-Lücke wurde mit einem unauffälligen FortiGate-Implantat bei einer Kompromittierung eines Telekommunikationsunternehmens in Verbindung gebracht.
Warum es wichtig istBei Plex ist das Risikofenster die Spanne zwischen dem August-Patch und Ihrem Neustart; die Miner haben sie gefunden, und die NGINX- und Drupal-Korrekturen gehören diese Woche in dieselbe Warteschlange.
Rank Math PRO und AOMEI: Malware kam über die offiziellen Download- und Update-Kanäle der Hersteller
Kopien von Rank Math PRO, dem kostenpflichtigen WordPress-SEO-Plugin, die zwischen 20:02 UTC am 15. Oktober und 07:12 UTC am 16. Oktober von rankmath.com heruntergeladen oder als Updates ausgeliefert wurden, enthielten Malware, die eine sich selbst wiederherstellende Hintertür einrichtete. SecurityWeek nennt die Version 3.0.123. Unabhängig davon sollen Angreifer die Server von AOMEI kompromittiert und eine integrierte Werbefunktion der Backup-Software zur Verbreitung von Malware genutzt haben. Sie manipulierten kurzzeitig Konfigurationsdateien und stellten danach die Originale wieder her, um ihre Spuren zu verwischen. Und der Betreiber von GhostAction ist vom Einschleusen bösartiger GitHub-Actions-Workflows zum Phishing von Open-Source-Entwicklern übergegangen: Er platzierte einen als Schriftart getarnten Zugangsdaten-Stealer in 94 GitHub-Repositories.
Warum es wichtig istWer Rank Math PRO in diesem Zeitfenster installiert oder aktualisiert hat, sollte die Website als mit einer Hintertür versehen behandeln statt als aktualisiert: Eine Neuinstallation über ein sich selbst wiederherstellendes Implantat lässt es nur zurückkehren.
Ahold Delhaize bestätigt „böswillige Handlungen“, die Systeme bei den meisten seiner US- und Europa-Marken lahmlegten; Bullhorn nimmt seine Personalvermittlungsplattform vom Netz
Ahold Delhaize teilt mit, ein Cyberangriff habe das Unternehmen gezwungen, IT-Systeme, darunter Websites und Apps, bei den meisten seiner US- und Europa-Marken offline zu nehmen. Die Filialen bleiben geöffnet, und nach Angaben des Unternehmens hat die Untersuchung bislang keine Hinweise darauf ergeben, dass sensible Kundendaten betroffen waren. Auf den von uns beobachteten Leak-Seiten hat sich keine Gruppe zu dem Angriff bekannt. Unabhängig davon hat der Anbieter von Personalvermittlungssoftware Bullhorn den Zugang zu seiner Plattform gesperrt, um einen Cyberangriff einzudämmen, der einen systemweiten Ausfall verursachte.
Warum es wichtig istEin Ausfall, zu dem sich niemand bekennt, ist die unbequeme Mitte eines Vorfalls. Zu erwarten ist entweder ein Eintrag auf einer Leak-Seite oder eine Erklärung zu den Daten; wer Ahold Delhaize oder Bullhorn als Lieferanten hat, sollte diese Gespräche jetzt beginnen.
N0n veröffentlicht einen Schwung, darunter drei namenlose „Company #“-Einträge; Qilin listet Opfer in sieben Ländern
Die Leak-Seite von N0n veröffentlichte einen Schwung: Amagi Media Labs, Finzly Corp, The Akeeli Group, Kingwood Endoscopy, Hotel DuPont, Froggys Fog und Vormittag Associates, ein Anbieter von ERP-Software und Hosting, dazu drei Einträge, die nur als Company #92, #93 und #94 geführt und mit PENDING EXPOSURE markiert sind. Ransomlook erfasste acht davon in derselben Minute, was eher nach einem laufenden Skript aussieht als nach einer Verbrechenswelle. Qilin veröffentlichte CREDIN, Salauno und Grupo Cronica binnen drei Minuten, rund eine Stunde später Dental Team FL, Johnson & Pace, SkyWorld Air Cargo und WalkingTree Technologies und danach Toyota Canarias und GardaWorld, verteilt auf Portugal, Mexiko, Argentinien, die USA, das Vereinigte Königreich, die Vereinigten Arabischen Emirate und Indien. Maureens Fußnote: Die Aggregatoren sind sich uneins, was CREDIN eigentlich tut. Der eine ordnet es den Finanzdienstleistungen zu, der andere Food & Beverage.
Warum es wichtig istKunden von Vormittag sollten davon ausgehen, dass das Netz ihres ERP-Hosters nun in einem Katalog steht. Bei mehreren N0n-Opfern bestehen die behaupteten Daten aus Konfigurationsdateien und Zugangsgeheimnissen, was die Sache zuerst zu einer Aufgabe der Zugangsdaten-Rotation macht und erst danach zu einer der Offenlegung.
Konfidenz0.75
Ransomware
Ein Eintrag zu Latham & Watkins, zwei behauptete Urheber; Baker Donelson mit 355 GB gelistet
Ransomware.live schreibt einen Eintrag zu Latham & Watkins der SilentRansomGroup zu. Vier Minuten später schreibt ransomlook denselben, abgeschnittenen Text einem Akteur namens „leakeddata“ zu. Das ist ein Rebranding, eine Wiederveröffentlichung oder ein Zuordnungsfehler der Aggregatoren, und die heutigen Daten lassen nicht erkennen, was davon. Unabhängig davon listete eine Gruppe namens redact Baker Donelson, beschrieb es als Anwaltskanzlei und behauptete 355 GB in 102.390 Dateien.
Warum es wichtig istAnwaltskanzleien verwahren per Definition die Geheimnisse aller anderen. Wer privilegiertes Material mit externen Beratern teilt, sollte diese Woche klären, was dort liegt und wie schnell man informiert würde.
Jemand sucht nach Ihren KI-Schlüsseln: der OpenCode-Einbruch, npm-Köder mit kostenlosen Claude-Guthaben und ein Scanner, der unsere Server nach /.env.anthropic fragt
OpenCode teilt mit, ein Eindringling habe in der Nacht zum 16. Oktober ein Altsystem erreicht und möglicherweise die OpenAI-, Anthropic- und Google-Schlüssel offengelegt, die Nutzer in OpenCode Console gespeichert hatten, dem optionalen gehosteten Dienst des Unternehmens. Eine kleine Zahl von Nutzern wurde benachrichtigt. Ein gefälschter Web3-Accelerator verbreitet bösartige npm-Pakete, die kostenlose Claude- und Gemini-Guthaben anbieten, Windows und macOS mit Infostealern und Hintertüren infizieren und den Datenverkehr von KI-Agenten kapern. Unterdessen erfasst MITREs ATT&CK v20 nun den Missbrauch von KI neben der Umgehung von MFA, mit 15 neuen Erkennungsstrategien, gestützt auf 38 Analysen.
Warum es wichtig istAPI-Schlüssel für Modelle sind jetzt Cloud-Zugangsdaten mit angehängter Rechnung: Alles rotieren, was in OpenCode Console gespeichert war, und .env-Dateien von allem fernhalten, was ein Webserver ausliefert.
ClickFix kommt jetzt mit echter Siemens-Signatur, und es funktioniert weiterhin aus demselben banalen Grund
Angreifer kombinierten eine echte, signierte Kopie von Siemens Software Center mit bösartigen DLLs, um Windows-PCs über ClickFix-Köder zu infizieren. Auf Mastodon erklärte da_667 schlicht, warum das funktioniert: Nutzer haben PowerShell und den Ausführen-Dialog, die fast keiner von ihnen braucht. Die Verantwortung, diese Wege zu schließen, liegt bei dem Unternehmen, das sie offen gelassen hat, nicht bei dem Nutzer, der einer überzeugenden gefälschten Cloudflare-Aufforderung folgte.
Warum es wichtig istAusführen-Dialog und PowerShell bei Nutzern entfernen, die sie nicht brauchen. Eine Signatur belegt, wer die Binärdatei gebaut hat, nicht, wer die DLL daneben gelegt hat.
Bundesermittler vermuten, dass ein Lösegeldverhandler die Erpressungsseite von ShinyHunters betrieb
KrebsOnSecurity berichtet, dass US-Bundesermittler, die ShinyHunters verfolgen – die Gruppe, die zuletzt hochsensible Daten des FBI gestohlen hat –, Führungskräfte zweier Firmen für Lösegeldverhandlungen identifiziert haben, die ungewöhnlich enge Beziehungen zur Erpressergruppe unterhielten. Die Schlagzeile besagt, Ermittler vermuteten, ein Verhandler habe die Erpressungsseite der Gruppe betrieben. Es handelt sich um einen einzelnen Bericht, der sich auf Personen aus dem Umfeld der Ermittlungen stützt.
Warum es wichtig istWenn Ihr Notfallplan eine Verhandlungsfirma nennt, fragen Sie diese Woche nach, welche Sorgfaltsprüfung Sie durchgeführt haben und was sie einsehen kann.
Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.
Unter dem Volumen: drei Akteure, die in Schüben posten, zwei Aggregatoren, die einander widersprechen, und eine Woche von Lieferkettenvorfällen, die eine einzige Geschichte sein können oder auch nicht
Exception 01
N0ns Veröffentlichungen wirken wie eine einzige skriptgesteuerte Massenveröffentlichung, Platzhalter inklusive
N0n hat am 19. Oktober 34 akteurmarkierte Einträge, gegenüber einem Median von 2 an anderen Tagen. Ransomlook spiegelte die Einträge in derselben Minute, und drei Einträge sind Platzhalter „Company #92/#93/#94“ mit PENDING EXPOSURE. Das sieht nach einer einzigen skriptgesteuerten Veröffentlichung aus statt nach getrennten, nacheinander verkündeten Einbrüchen. Ein genanntes Opfer, Vormittag Associates, ist ein ERP- und Hosting-Anbieter, was auch dessen Kunden gefährdet.
Konfidenz0.60
Wrong if
Die Einträge wurden, wie sich zeigt, auf der Seite des Akteurs selbst im Abstand von Stunden veröffentlicht, und die Spiegelung in derselben Minute spiegelt nur den Scrape von ransomlook wider.
Watch
Ob die drei Platzhalter binnen 72 Stunden zu benannten Opfern werden und ob Kunden von Vormittag Verstöße melden.
Exception 02
ConnectWise liegt im selben Zeitfenster wie Rank Math, AOMEI und Bullhorn, ohne nachgewiesene Verbindung
ConnectWise bestätigte unbefugten Zugriff auf Cloud Backup und setzte Cloud-Dienste aus, und Forscher berichten von Zugriffen auf Microsoft-365-Tenants mit ConnectWise-Zugangsdaten. Die Vorfälle bei Rank Math PRO, AOMEI und Bullhorn fallen in dasselbe Zeitfenster. Eine Verbindung zwischen ihnen wurde nicht nachgewiesen, es handelt sich also um zeitliches Zusammentreffen, nicht um eine Kampagne.
Konfidenz0.55Speculative
Wrong if
Die Untersuchung von ConnectWise ergibt, dass der Microsoft-365-Zugriff nichts damit zu tun hat oder auf die eigenen Tenants beschränkt war, und die übrigen Herstellervorfälle erweisen sich als unabhängig verursacht.
Watch
Sicherheitshinweise von ConnectWise, Meldungen von MSP-Kunden und alle Ransomware-Bekennungen, die MSP-Kunden nennen.
Qilins Volumen ist real; die Branchenzuordnungen der Aggregatoren sind es nicht
Qilin ist der einzige Akteur, der in allen vier Ransomware-Quellen sichtbar ist (38 Beiträge). Er veröffentlichte in zwei Schüben im Abstand von etwa einer Stunde. Die Aggregatoren widersprechen sich bei den Branchenzuordnungen: CREDIN ist bei ransomlook „Food & Beverage“ und bei ransomware.live „Financial Services“. Die Zählung ist verlässlich; die Opfer-Metadaten sind es nicht.
Konfidenz0.65
Wrong if
Die Schubzeiten erweisen sich als Scrape-Artefakte, oder Qilins Zahlen an früheren Tagen waren ähnlich.
Watch
Bestätigung durch GardaWorld und ob Qilin den Schubrhythmus morgen wiederholt.
Latham & Watkins zwei verschiedenen Akteuren zugeschrieben
Ransomware.live nennt die SilentRansomGroup, ransomlook nennt „leakeddata“, bei identischem, abgeschnittenem Text; es handelt sich also um ein Rebranding, eine Wiederveröffentlichung oder einen Zuordnungsfehler. Unabhängig davon veröffentlichte „redact“ Daten von Baker Donelson, im selben Sektor. Anwaltskanzleien als Zielgruppe sind plausibel, doch die Akteure sind wahrscheinlich verschiedene Gruppen.
Konfidenz0.50Speculative
Wrong if
Der Leak-Seiten-Eintrag selbst zeigt einen einzigen genannten Akteur, oder „leakeddata“ erweist sich als bekannter Alias der SilentRansomGroup.
Watch
Ein korrigierter Akteursname bei einem der Aggregatoren oder eine Stellungnahme der Kanzlei.
Plex2Shell: Ausnutzung einen Tag nach dem PoC, bei einer Patch-Lücke von rund zweieinhalb Monaten
Die Ausnutzung begann etwa einen Tag nach dem PoC vom 16. Oktober, gegen einen Patch vom 3. August; die Geschichte ist also das ungepatchte Zeitfenster. Zusammen mit den Meldungen zu NGINX, Drupal und FortiGate zeigt sie, wie bereits gepatchte Schwachstellen rasch zu Waffen gemacht werden.
Konfidenz0.55
Wrong if
Der PoC oder die erste Ausnutzung liegt vor dem 16. Oktober, oder die Telemetrie zeigt kaum echtes Scannen.
Watch
Ausnutzungszahlen für Plex und NGINX sowie alle KEV-Aufnahmen.
KI-API-Schlüssel als Ziel, thematisch statt koordiniert
Der Einbruch bei OpenCode Console und die npm-Pakete des gefälschten Accelerators zielen beide auf KI-API-Schlüssel und Agentenverkehr. Das ist ein gemeinsames Thema, keine nachgewiesene Koordination.
Konfidenz0.40Speculative
Wrong if
Die beiden Vorfälle zeigen keine gemeinsame Infrastruktur oder Akteure, und OpenCode bestätigt, dass keine Schlüssel offengelegt wurden.
Watch
Die Offenlegung der Auswirkungen durch OpenCode und seine Hinweise zur Schlüsselrotation.
Nothing to seeDer Großteil der quellenübergreifenden Überschneidungen bei Akteuren ist darauf zurückzuführen, dass Aggregatoren einander spiegeln, und Vorlaufzeiten von Stunden spiegeln meist Scrape-Zeitpläne wider. Die Atlas-Geschichten sind schablonenhafte Wiederholungen; die Stunde mit 77 Beiträgen um 17:00 Uhr am 19. Oktober ist ein Batch-Artefakt, kein Ereignis; die IOC-Schübe zu Mirai und Mozi wirken wie Feed-Ingestion. Die geopolitischen Atlas-Beiträge (seismische Sequenzen und „zusammengesetzte Krisen“) zeigen keinen Cyber-Bezug. N0ns „Eskalation im Gesundheitswesen“ wird von den Opfern dieses Zeitfensters nicht gestützt. In diesem Zeitfenster erscheint kein neuer CISA-KEV-Eintrag.
Deep read: 282 Artikel gelesen
§4
Prognose
Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.
Today’s calls
DueCallConfidence
DueTue 27 Oct7d
Mindestens einer der Platzhaltereinträge von N0n (Company #92, #93 oder #94) wird bis zum 27. Oktober 2026 auf ransomware.live oder ransomlook unter dem Namen einer realen Organisation wieder auftauchen.
Wrong ifAm 27. Oktober sind alle drei Einträge weiterhin namenlose Platzhalter oder wurden entfernt, ohne benannt worden zu sein.
f-2026-10-20-1
Confidence0.45
DueFri 30 Oct10d
Eine Ransomware- oder Erpressergruppe wird sich bis zum 30. Oktober 2026 auf einer von ransomware.live oder ransomlook erfassten Leak-Seite zu Ahold Delhaize bekennen.
Wrong ifBis zum 30. Oktober hat keiner der beiden Aggregatoren einen Eintrag, der Ahold Delhaize oder eine seiner Marken nennt.
No official T-Mobile breach notification or verified data sample corroborating BYOD's claim appears in these feeds.
Called Fri 9 Oct · due Fri 16 Oct
No T-Mobile notification, filing or data sample appears in any item through 20 Oct, past the 16 Oct due date.
wrong
SonicWall CVE-2026-102255 is added to the CISA KEV catalogue.
Called Sat 10 Oct · due Tue 20 Oct
No KEV item for CVE-2026-102255 appears in today's feed, and the call is due today.
wrong
At least one of N0n's named maritime victims has data published or its listing state changed on ransomware.live or ransomlook on or after the 2026-10-19 13:27 UTC deadline.
Called Tue 13 Oct · due Tue 20 Oct
After the 19 Oct deadline, the N0n listings that changed (Amagi, Finzly, Akeeli, Kingwood, Hotel DuPont, Froggys Fog) are not maritime. No named maritime victim shows a change.
open
None of KFC, MoneyGram, Confluent, BigID or Placer AI publicly confirms a breach in these feeds by 18 October.
Called Tue 13 Oct · due Sun 18 Oct
No item shows KFC, MoneyGram, Confluent, BigID or Placer AI confirming a breach by 18 Oct.
partly
ConnectWise or Microsoft publishes a further public update on the Cloud Backup / SkyKick incident — revised tenant numbers, scope of data access, or customer guidance — by 26 October.
Called Mon 19 Oct · due Mon 26 Oct
ConnectWise suspended cloud services and said customer impact is unconfirmed, which is new guidance. No revised tenant numbers or Microsoft statement is shown, and the 19 Oct items may predate the call.
Ein Leak-Seiten-Eintrag mit einer Nummer, wo der Name stehen sollte (siehe Company #92, #93 und #94), was bedeutet, dass die Verhandlungen laufen. Von der Unternehmensversion „Wir untersuchen den Vorfall“ unterscheidet er sich vor allem dadurch, dass er ehrlich sagt, was vor sich geht.
§5
Von unserem Rand
Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.
In den vergangenen 24 Stunden hat unser Sensor 76 feindliche Quellen erfasst (44 Scanner, 27 Bot-Crawler, 3 gezielt vorgehende Akteure und 1 Brute-Forcer), die zusammen 14.937 Anfragen sendeten. Davon gingen 16 über die Aufklärung hinaus und wurden zu Ausnutzungsversuchen, und 11 Adressgruppen teilten einen Verhaltensfingerabdruck, was auf ein Werkzeug oder einen Akteur mit wechselnden Adressen hindeutet. Der feindseligste Besucher, mit 7,7 von 10, arbeitete sich in 20 Anfragen über WordPress-Anmeldepfade bis zum Zugriff auf Zugangsdaten vor. Ein Scanner fragte namentlich nach /.env.anthropic, als stünden Modellschlüssel nun einfach auf der Einkaufsliste. Ein anderer feuerte 112 Anfragen in etwa 0,4 Sekunden ab, und drei Adressen sprühten weiterhin CVE-2024-4577 auf /index.php, einen bekannten Exploit, der wie die Gezeiten kommt, was auch immer die Patch-Notes über das Jahr sagen. Rohprotokolle haben den Server nie verlassen; nur diese Erkenntnisse.
76erfasste feindliche Quellen
14.937Anfragen von ihnen
16bis zur Ausnutzung gelangt
11Cluster mit gemeinsamer DNA
7,7/10höchste Feindseligkeit
5.983Adressen an unserem Rand
1.549heute erstmals gesehen
82Länder
Die WTF-Liste
WTF #1
Auf der Suche nach Ihren KI-Schlüsseln
195.178.110.242, ein Scanner (Feindseligkeit 5,9/10), sendete 1.093 Anfragen an 3 unserer Websites und suchte nach /.docker/config.json, /.env, /.docker/.env, /.aws/.env.
Warum es seltsam istGing direkt auf KI-Zugangsdaten los: /.env.anthropic. API-Schlüssel für Modelle stehen nun neben Cloud-Schlüsseln auf der Einkaufsliste der Scanner.
attribution: unbekanntMon 19 Oct, 11:00 UTC
Detail
Kill Chain: Aufklärung → Waffenfertigung · DNA 50ac33006ee2
WTF #2
Der hartnäckigste Besucher
139.28.219.70, ein gezielt vorgehender Akteur (Feindseligkeit 7,7/10), sendete 20 Anfragen an eine unserer Websites und suchte nach /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Warum es seltsam istHöchste Feindseligkeit auf der Liste; seine Kill Chain erreichte den Zugriff auf Zugangsdaten.
attribution: unbekanntMon 19 Oct, 11:00 UTC
Detail
Kill Chain: Aufklärung → Waffenfertigung → Ausnutzung → Zugriff auf Zugangsdaten · DNA 82a939927b85
WTF #3
CVE-2024-4577 gegen uns versucht
3 Adressen sendeten 3 Anfragen nach dem Muster einer Ausnutzung von CVE-2024-4577 (/index.php), darunter 130.49.79.188, 185.177.72.7, 2a0f:ca80:b00b:f814::5.
Warum es seltsam istEin bekannter, benannter Exploit wird weiter ins Internet gesprüht; unser Rand sah ihn heute, was auch immer die Patch-Notes über das Jahr sagen.
attribution: unbekannt
Detail
Sondierungsfamilie: Webshell
WTF #4
Gleiche DNA, andere Adressen
34.94.192.5, ein Scanner (Feindseligkeit 6,3/10), sendete 277 Anfragen mit 267 pro Minute an eine unserer Websites und suchte nach /.git/config, /.env, /.env.local, /.env.production.
Warum es seltsam ist7 IPs teilen einen Verhaltensfingerabdruck (DNA dfef4501b216): ein Werkzeug oder ein Akteur mit wechselnden Adressen: 34.94.192.5, 34.65.60.252, 143.198.88.218, 20.211.97.120, 146.70.194.236 und weitere.
attribution: unbekanntMon 19 Oct, 11:00 UTC
Detail
Kill Chain: Aufklärung → Waffenfertigung · DNA dfef4501b216
WTF #5
Die seltsamste Einkaufsliste
119.59.116.39, ein gezielt vorgehender Akteur (Feindseligkeit 6,4/10), sendete 128 Anfragen und suchte nach /phpMyAdmin5/index.php, /phpmyadmin_/index.php, /db/webdb/index.php, /__phpmyadmin/index.php.
Warum es seltsam istFragte Dateien an, nach denen fast niemand sonst fragt: /phpMyAdmin5/index.php, /phpmyadmin_/index.php, /db/webdb/index.php, /__phpmyadmin/index.php, /sql/phpmyadmin5/index.php.
attribution: unbekanntTue 20 Oct, 03:00 UTC
Detail
Kill Chain: Aufklärung → Waffenfertigung → Ausnutzung · DNA 6e70267a94d8
WTF #6
In Eile
34.14.99.143, ein Scanner (Feindseligkeit 5,5/10), sendete 112 Anfragen an eine unserer Websites und suchte nach /.env, /backend/.env, /.git/config, /.git/logs/HEAD.
Warum es seltsam istFeuerte 112 Anfragen in etwa 0,4 Sekunden ab.
attribution: unbekanntTue 20 Oct, 03:00 UTC
Detail
Kill Chain: Aufklärung → Waffenfertigung · DNA 18e39c4b41fb
§6
Mitfahrten
Kostenlose Live-Tools. Keine Anmeldung, kein Verkaufsgespräch.
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§7
Kolophon
Wie diese Ausgabe entstanden ist – unverblümt.
Ausgabe 23 wurde maschinell erstellt und per Code geprüft. Jeder Beitrag, den 8 öffentliche Bedrohungs-Feeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlichten (282 Beiträge), wurde vollständig gelesen: Statistiken im Code berechnet, jeder Ausschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus synthetisiert. Anschließend redigierte Claude Opus die Zeitung. Jede Geschichte nennt die Beiträge, auf denen sie beruht; Geschichten, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung gestrichen (heute 0). Prognosen werden in späteren Ausgaben öffentlich benotet. „From our edge“ sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: 0,00 $. Sie wird maschinell geschrieben, in der Stimme von ScottG, Autor von Everything Is Probably Fine, und niemand hat sie von Hand redigiert, was entweder der Sinn der Sache ist oder das Problem.
282items read
24hour window
$0.00cost of this edition
04:05 UTCgenerated
Quellen von heute Morgen
Signal Atlas107ok
Security news39ok
infosec.exchange36ok
RansomLook30ok
atlas30ok
ransomware.live26ok
RSS10ok
signal:ioc-family4ok
ITEMS READ: 282|SOURCES: 8|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.00|STATUS: NICHT GANZ IN ORDNUNG
OWNER: die Maschine|EDITOR: die Regeln|CALLS OPEN: 3|NEXT REVIEW: morgen 06:00 UK