Ein täglicher Feldbericht über Dinge, die wahrscheinlich in Ordnung sind
No. 24·Mittwoch 21 Oktober 2026·Erscheint 06:00 UK·Fine-Anzeige 3/5: Nicht ganz in Ordnung
Aufmacher · Schwachstellen
Die MFA ist bei PAN-OS nicht gescheitert. Sie wurde nie abgefragt
Palo Alto zufolge nutzen Ransomware-Akteure weiterhin CVE-2026-0257 aus, eine im Mai gepatchte Authentifizierungsumgehung, um unautorisierte VPN-Verbindungen aufzubauen und die Multi-Faktor-Authentifizierung zu umgehen; genannt werden Qilin und INC.
Konfidenz0.85
Multi-Faktor-Authentifizierung ist keine Mauer. Sie ist eine Frage, die an einer Tür höflich gestellt wird – und CVE-2026-0257 ist der Trick, durch einen Gebäudeteil hineinzukommen, in dem niemand Fragen stellt. Palo Alto Networks hat bekannt gegeben, dass es weiterhin Angriffe auf die Schwachstelle beobachtet – CVSS 7.8, eine Authentifizierungsumgehung in PAN-OS und Prisma Access –, bei denen Ransomware-Akteure unautorisierte VPN-Verbindungen einrichten. Die Weitergabe des Berichts auf Mastodon bringt es auf den Punkt: Qilin und INC, an der MFA vorbei, gegen einen im Mai behobenen Fehler. Fünf Monate sind keine Schonfrist. Sie sind ein Fenster mit einem Vorhang davor.
Im selben Zeitraum hatte Qilin den lautesten Tag aller Akteure in den Feeds: einen Schub von neunzehn Meldungen am 19. Oktober bei einem Median von einer an den übrigen Tagen, mit Forderungen gegen Belcorp, CREDIN, Salauno, Grupo Cronica, Dental Team FL, Johnson & Pace, SkyWorld Air Cargo, WalkingTree Technologies, GardaWorld und Toyota Canarias; Spiegelungen der Leak-Seiten folgten. INC reklamierte in denselben Tagen Seetelhotels.de und centralrogers.com für sich. Niemand hat gezeigt, dass diese Opfer über die Palo-Alto-Lücke erreicht wurden, und wir werden nicht so tun – doch der Hersteller sagt, der Angriffsvektor sei aktiv, und die in der Warnung genannten Akteure sind jene, die die Leak-Seiten füllen.
Die heutige Arbeit ist daher nüchtern und konkret: Prüfen Sie anhand der Versionsnummer – nicht aus dem Gedächtnis –, ob Ihr PAN-OS- und Prisma-Access-Bestand den Mai-Fix tatsächlich erhalten hat, und sehen Sie dann in den VPN-Authentifizierungsprotokollen nach Sitzungen, bei denen nie jemand zur Eingabe aufgefordert wurde. Die zweite Hälfte überspringen viele, weil die erste den grünen Haken liefert. Ein gepatchtes Gerät sagt etwas über die Zukunft. Die Protokolle sagen etwas über die fünf Monate, die Sie bereits hinter sich haben.
Warum es wichtig istWenn das Ihr Netzwerkrand ist, wird die ausgleichende Maßnahme, die Sie dem Vorstand genannt haben – MFA auf dem VPN –, genau von dem Exploit ausgehebelt.
Ein Vertrauensanker ist keine mathematische Tatsache. Er ist eine Aussage über den schlimmsten Morgen, den jemand während einer Schlüsselzeremonie hatte, konserviert in Ihrem Trust Store für ein Jahrzehnt.
— Sturgeon's Revelations · Probably Fine Daily No. 24
Jeden Morgen06:00 UK
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§2
Schlagzeilen
Der Rest der letzten 24 Stunden – mit Belegen.
Schwachstellen
Acht CA-Schlüssel waren schwach genug, um rekonstruiert zu werden – und vier Root-Programme entzogen ihnen stillschweigend das Vertrauen
Die Zertifizierungsstelle eMudhra hat acht kompromittierte Zwischenzertifikate widerrufen, nachdem Forscher festgestellt hatten, dass die privaten Schlüssel so schwach waren, dass jeder sie nahezu sofort wiederherstellen und vertrauenswürdige Zertifikate für legitime Websites fälschen konnte. Go veröffentlichte am 20. Oktober die Versionen 1.27.3 und 1.26.10, deren Verifizierer jede Kette ablehnt, die über diese acht Zwischenschlüssel läuft; Mozilla, Googles Chrome Root Program und Apple zogen nach. Wie die Schlüssel so schwach werden konnten, ist in keiner der heutigen Meldungen geklärt. Ein Beitrag zum Thema lautet im Wortlaut, Zertifizierungsstellen hätten erneut bewiesen, dass man ihnen nichts anvertrauen könne – und niemand in den Antworten widersprach.
Warum es wichtig istAlles, was mit Go pinnt, verifiziert oder baut, braucht die neue Toolchain; alles andere erbt den Fix von einem Hersteller und wird Ihnen nicht sagen, dass es passiert ist.
CISA nimmt sechs Einträge in den KEV-Katalog auf – vier davon betreffen Ihren Medienserver
Die CISA nahm am 20. Oktober CVE-2026-96652, 96654, 96655 und 96656 in Plex Media Server auf – zwei SSRF-Lücken, einen Fehler bei kodierten URI-Schemata und ein beliebiges Schreiben von Dateien, ausdrücklich als verkettbar beschrieben –, dazu CVE-2026-110936 in Siemens Software Center sowie CVE-2026-106931, eine OS-Command-Injection in EG Secure Solutions SiteGuard Server Edition, die Befehle als root oder SYSTEM ausführt. Die Ausnutzung der Plex-Kette begann einen Tag nach Veröffentlichung eines Proof of Concept am 16. Oktober und lieferte einen XMRig-Miner und eine Linux-Reverse-Proxy-Hintertür aus – trotz eines Fixes, der am 3. August in Version 1.43.3.10861 erschien. Bemerkenswert ist ein Widerspruch in der Beschreibung: KEV stellt Teile der Kette so dar, dass ein Administrator oder authentifizierter Nutzer nötig sei, während die auf Mastodon kursierende öffentliche Analyse das Endergebnis als unauthentifizierte RCE bezeichnet. Die Siemens-Lücke wird in ClickFix-Ködern verwendet, die eine echte, signierte Kopie von Software Center mit bösartigen DLLs kombinieren.
Warum es wichtig istZweieinhalb Monate zwischen Patch und KEV bedeuten: Die exponierte Population besteht aus Heim- und Kleinunternehmensgeräten, für die niemand ein Inventar führt.
Sieben vertrauenswürdige Update-Kanäle in einer Woche – das ist weniger Zufall als Geschäftsmodell
Ein Microsoft-365-API-Zugangsdatum von ConnectWise Cloud Backup, früher SkyKick, wurde kompromittiert und zur Authentifizierung in M365-Mandanten von Kunden genutzt; ConnectWise setzte den Dienst aus, setzte Konten zurück und ersetzte Anwendungszugangsdaten und erklärt, die Auswirkungen auf Kunden seien weiterhin unbestätigt. In denselben Tagen ersetzte ein Angreifer mit dem Konto eines gekaperten Contributors auf GitHub die Download-Archive von fünf bestehenden OVHcloud-CLI-Releases durch einen Build, der Geheimnisse stiehlt; Downloads von Rank Math PRO zwischen 20:02 UTC am 15. Oktober und 07:12 UTC am 16. Oktober enthielten eine sich selbst wiederherstellende Hintertür; gestohlene UpdraftCentral-Verbindungsschlüssel dienten dazu, WordPress-Seiten mit Hintertüren zu versehen; AOMEIs Update-Infrastruktur lieferte einen ShinyRoad-Downloader an Nutzer von Software aus, die nach Herstellerangaben über 100 Millionen Nutzer hat; und Zeabur stellt den Betrieb ein, nachdem ein Eindringling mit internen Klartext-Zugangsdaten 3,2 Millionen Umgebungsvariablen-Einträge und Daten zu 321.810 Konten entwendet hat. OpenCode rundet das Bild ab: Ein Eindringling erreichte in der Nacht zum 16. Oktober ein Altsystem und hat möglicherweise gespeicherte OpenAI-, Anthropic- und Google-API-Schlüssel von Nutzern offengelegt.
Warum es wichtig istIhre Allowlist ist eine Liste von Menschen, deren Zugangsdaten jetzt Teil Ihrer Angriffsfläche sind; erfassen Sie, welche Anbieter Tokens für Ihren Mandanten halten, und rotieren Sie diese.
226 Meldungen in sieben Tagen – und die am schnellsten wachsende Gruppe veröffentlicht Netzwerkdiagramme statt Erpresserschreiben
Die Wochenbilanz zählt 226 Leak-Seiten-Meldungen von 38 der 130 beobachteten Gruppen; N0n schnellt auf 51 Meldungen gegenüber 20.74 erwarteten aus der eigenen früheren Rate, iah6477 auf 8 gegenüber 1.0 und Helix auf 7 gegenüber 0.81. N0ns Einträge lesen sich anders als bei einer gewöhnlichen Verschlüsselungsbande: Netzwerk- und Gerätekonfigurationsdateien eines Rundfunk-Playout-Standorts, Zugangsgeheimnisse und Cloud-Topologie einer Zahlungsinfrastruktur, Zugangsdaten für ERP-Hosting-Administration und Fernzugriff sowie eine Reihe anonymisierter Platzhalter – Company #92 bis #98 –, verteilt auf Südkorea, die Schweiz, Trinidad und Tobago, Tunesien und Äthiopien. Anderswo veröffentlichte Booba Project an einem Tag sieben Opfer, darunter 295 GB, die der Research Foundation of The City University of New York zugeschrieben werden; Redact listete Baker Donelson mit 355 GB in 102.390 Dateien; und das FBI nannte gemeinsam mit britischen und deutschen Behörden SafePay eine der aktivsten Gruppen mit mehr als 600 Opfern seit 2024, die sich durch Erraten von Passwörtern, Ausnutzen von Schwachstellen und Phishing Zugang verschafft.
Warum es wichtig istEine Gruppe, die mit Zugangsdaten und Topologie statt mit Verschlüsselung auftritt, verkauft Zugang und Druckmittel – Ihr Erkennungsfenster liegt also vor dem Ausfall, nicht danach.
Eine KI-Pentest-Plattform wurde auf 1.200 Websites angesetzt und legte einfach los
Mindestens drei Bedrohungsakteure haben die KI-Plattform Cairn für dauerhaften Zugang und finanziellen Diebstahl missbraucht; ein chinesischsprachiger Operator richtete autonome Agenten auf mehr als 1.200 Unternehmenswebsites und erreichte über 100 Organisationen, darunter John Deere, SharkNinja und Cummins. Ein Forscher konnte zusehen, weil die Betreiber ihre Kontrollpanels offen im Internet stehen ließen. An denselben zwei Tagen veröffentlichten NIST, CISA und NSA zehn freiwillige Praktiken zur Vorbereitung auf, Erkennung, Reaktion auf und Meldung von Vorfällen mit außer Kontrolle geratenen KI-Agenten, und Microsoft erklärte, Unternehmen sollten Agenten wie Insider behandeln, den Zugriff je Aufgabe gewähren und ihn mit steigendem Risikowert des Agenten verschärfen. MITRE ATT&CK v20 erschien im selben Zeitraum und katalogisiert KI-Missbrauch, MFA-Umgehung und Angriffe auf Wasserversorger mit 15 neuen Erkennungsstrategien und 38 Analysen.
Warum es wichtig istDer Agent des Angreifers ist bereits im Produktivbetrieb; Ihrer steckt in einem Pilotprojekt mit Lenkungsausschuss.
PHP liefert heute Notfall-Patches aus, weil die Details zuerst durchgesickert sind
Das PHP-Sicherheitsteam warnte Administratoren am 20. Oktober, sich auf Notfall-Updates am Folgetag – also heute – für zwei kritische Schwachstellen vorzubereiten, nachdem Informationen darüber Berichten zufolge vor der geplanten Offenlegung durchgesickert waren; ein über Nacht kursierender Beitrag nennt sie CVE-2026-109618 und CVE-2026-109619. Daneben ist ein öffentlicher Proof-of-Concept-Exploit für CVE-2026-106173 verfügbar, eine kritische Path-Traversal-Lücke in Fortinet FortiSIEM mit CVSS 9.4, die unauthentifizierte Remote-Codeausführung erlaubt; Drupal warnt vor einem Risiko schneller Ausnutzung bei einer kritischen RCE im Core; F5 veröffentlichte außerplanmäßige Patches für drei kritische NGINX-Schwachstellen; und eine kritische Authentifizierungsumgehung in BeyondTrust Remote Support, CVE-2026-102764, wird nach Berichten aktiv ausgenutzt.
Warum es wichtig istDer Zeitpunkt der Offenlegung ist inzwischen ein Planungsfaktor für Angreifer; sickern Details vor dem Fix durch, befinden Sie sich in einem Wettlauf, den Sie nie angetreten haben.
Die Leute, die Sie bei einer Erpressung anrufen, standen womöglich mit den Erpressern auf Du und Du
KrebsOnSecurity berichtet, dass US-Bundesermittler, die ShinyHunters verfolgen – die Gruppe, die kürzlich hochsensible Daten des FBI gestohlen hat –, Führungskräfte bei zwei verschiedenen Ransomware-Verhandlungsfirmen identifiziert haben, die ungewöhnlich enge Beziehungen zur Erpressergruppe pflegten; einer von ihnen steht im Verdacht, eine Erpresser-Website zu betreiben. Es ist vorerst eine Einzelquellen-Meldung, und die Firmen werden in dem Beitrag nicht genannt. Sie kommt in einer Woche, in der Ahold Delhaize bestätigte, dass bösartige Handlungen Systeme in den meisten seiner US-amerikanischen und europäischen Marken lahmgelegt haben; keine Gruppe hat sich dazu bekannt.
Warum es wichtig istDie Sorgfaltsprüfung Ihres Incident-Response-Panels ist jetzt eine Kontrollmaßnahme, keine Beschaffungsformalie – fragen Sie, wem der Verhandler gehört und mit wem er gearbeitet hat.
WhatsApps Hilfeseiten wiesen den eigenen Chatbot an, die Aufsichtsbehörde nicht zu erwähnen
WhatsApps Hilfeseiten enthielten versteckte Anweisungen für den Support-Chatbot, Nutzern, die ihr Konto nicht mehr löschen konnten, keine Datenschutzbehörde und keine Aufsichtsstelle zu empfehlen – eine Haltung, der die eigene europäische Datenschutzerklärung widerspricht, da diese den Nutzern mitteilt, dass sie sich beschweren können. Aus dem Aktenschrank des Unwahrscheinlichen dieser Woche außerdem: Ein früherer OpenAI-Mitarbeiter, der beschuldigt wird, einen versteckten Rekorder in einem Konferenzraum platziert zu haben, wollte nach Angaben der Staatsanwaltschaft nach Saudi-Arabien fliegen, und seine Familie verließ am Tag nach seiner Festnahme das Land. Und in den Leak-Seiten-Daten verbindet der Eintrag der Global Secret Group zu Seminole Schools eine Florida-Domain mit der Website eines Schulbezirks in Oklahoma – was ungefähr verrät, wie sorgfältig die Opferdatensätze sind, die wir alle zitieren.
Warum es wichtig istPrompt-Text auf einer Hilfeseite ist jetzt Richtlinie, und niemand in der Governance prüft ihn.
Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.
Unter den Feeds: eine einzige Beobachtung im Upstream in sechs Kostümen und eine Offenlegung durch Root-Programme, die sich schneller bewegte als die Nachrichten.
Exception 01
Go sperrte die Schlüssel Stunden, bevor eMudhra genannt wurde
Die Änderung an Gos Sperrliste erfolgte am 20. Oktober etwa drei bis fünf Stunden, bevor Nachrichtenmedien die acht Schlüssel eMudhra zuschrieben; der Cyber-News-Strom lag bei der Entität 7,6 Stunden vor RSS, und Mozilla, Google und Apple folgten. Diese Abfolge wirkt wie eine koordinierte, stille Offenlegung unter den Betreibern von Root-Programmen und nicht wie eine unabhängige Entdeckung. Die Ursache der schwachen Schlüssel ist weiterhin unbekannt.
Konfidenz0.70
Wrong if
Belege, dass das Go-Release nichts mit eMudhra zu tun hatte oder dass die Schlüssel nicht schwach waren.
Watch
Berichte von eMudhra nach dem Vorfall, Mozillas Bug-Tracker und tatsächliche Belege für Fehlausstellungen.
Quellenübergreifende Zählungen bei Ransomware-Akteuren sind meist eine einzige Quelle, nachgehallt
Ransomware.live liegt bei nahezu jeder gemeinsamen Entität vor ransomlook, und zwar um 1 bis 23,2 Stunden, und Atlas gab am 19. Oktober um 17:18 Uhr in einem einzigen Zeitstempel einen Block von „thegentlemen“-Meldungen aus, den signal:atlas 29,7 Stunden später wiederholte. Die Breite über Quellen hinweg ist hier daher ein schwacher Indikator für Bestätigung, und das scheinbare Sechs-Quellen-Gewicht hinter Qilin sollte entsprechend abgewertet werden.
Konfidenz0.70
Wrong if
Unabhängige Opferbestätigungen, die vor ransomware.live in ransomlook eintreffen.
Watch
Ob die nächste Neuberechnung von Atlas wieder um 17:xx gebündelt wird.
N0n hat 34 Einträge aus drei Quellen, veröffentlichte in etwa 24 Stunden mindestens elf Opfer und legte dann die nummerierten Platzhalter Company #95 bis #98 gemeinsam offen, mit Einträgen, die mit Netzwerkkonfigurationen, Topologie und Zugangsgeheimnissen statt mit Verschlüsselung aufmachen. Dieses Muster passt eher zu stapelweiser Automatisierung und einem Access-Broker- oder Datenerpressungsmodell als zu einer herkömmlichen Ransomware-Operation. Ein Teil des scheinbaren Volumens überschneidet sich mit einem Aggregator-Cluster von 38 Einträgen in der 17:00-UTC-Stunde am 19. Oktober.
Konfidenz0.50Speculative
Wrong if
Opfer, die Verschlüsselung oder Betriebsstörungen bestätigen, oder nummerierte Einträge, die sich in regulärem Takt zu benannten Opfern auflösen.
Watch
Ob die Platzhalter de-anonymisiert werden und ob der Output über der erwarteten Wochenrate von 20.74 bleibt.
Der Lieferketten-Cluster teilt eine Form, noch keine Kampagne
ConnectWise, OVHcloud, Rank Math PRO, UpdraftCentral, AOMEI und Zeabur wurden alle in denselben wenigen Tagen getroffen, und das gemeinsame Muster ist der Diebstahl von Zugangsdaten, Schlüsseln und Geheimnissen aus Entwickler- und Administrationswerkzeugen statt eines einzelnen Exploits. Ob es sich um eine Kampagne handelt, ist unbewiesen; ConnectWise tauchte in OTX 3,3 Stunden vor der Berichterstattung auf, was zu einer Offenlegung mit Indikatoren zuerst passt.
Konfidenz0.50Speculative
Wrong if
Unterschiedliche, nicht zusammenhängende Ursachen ohne gemeinsame Infrastruktur oder Werkzeuge in den Indikatoren der Vorfälle.
Watch
ConnectWise bestätigt Auswirkungen auf Kunden, und es gibt überlappende IOCs zwischen den Vorfällen bei OVHcloud, Rank Math und Updraft.
Nothing to seeDie Mozi- und Mirai-Indikatorspitzen um 04:06 sind ein Feed, der ausatmet, ohne Akteursbedeutung. Die „Compound Crisis“-Geschichten von Atlas zu Taiwan, Russland, Kolumbien und Vanuatu haben im Zeitfenster nirgends stützende Beiträge. Die Berichte zu Swallowtail und APT28 beschreiben mit großer Wahrscheinlichkeit zwei Hersteller, die dieselbe russische Spionageaktivität benennen, und keine zweite Kampagne. Die 250-GB-Behauptung zur AfD auf Mastodon ist unbestätigt und bleibt außen vor, bis jemand seine Herleitung zeigt. Und die Stille nach 05:48 am 20. Oktober bei Atlas, KEV und Qilin ist Scrape-Takt, keine Ruhe.
Deep read: 391 Artikel gelesen
§4
Prognose
Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.
Today’s calls
DueCallConfidence
DueFri 23 Oct72h
PHP veröffentlicht bis Ende des 23. Oktober Fixes für die beiden am 20. Oktober gemeldeten kritischen Schwachstellen (berichtet als CVE-2026-109618 und CVE-2026-109619).
Wrong ifKein PHP-Release, das diese Schwachstellen behebt, bis 23:59 UTC am 23. Oktober.
N0n veröffentlicht bis zum 28. Oktober mindestens zehn weitere Opfer auf Leak-Seiten (laut ransomware.live oder ransomlook), darunter mindestens einen zuvor nummerierten Platzhalter, der zu einer benannten Organisation aufgelöst wird.
Wrong ifWeniger als zehn neue N0n-Einträge oder kein nummerierter Platzhalter de-anonymisiert bis zum 28. Oktober.
Eine Zertifizierungsstelle, die nicht die Wurzel ist – weshalb sie zur Fußnote in Ihrem Trust Store wird, zu einer Zeile in den Notfall-Release-Notes von jemandem und zu etwas, von dem Sie nicht wussten, dass Sie sich darauf verlassen, bis man Ihnen sagt, Sie sollten es lassen.
§5
Von unserem Rand
Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.
Unser eigener Netzwerkrand setzte derweil seine Imitation eines sehr langweiligen Küstenstädtchens fort. In den letzten 24 Stunden profilierte der Adversary-DNA-Sensor 13 feindliche Quellen – 8 Scanner, 4 Bot-Crawler und 1 Brute-Forcer –, die zusammen 1.834 Anfragen sandten; zwei gelangten von der Aufklärung zu Ausnutzungsversuchen, und ein Verhaltensfingerabdruck (DNA dfef4501b216) umfasste zwei verschiedene Adressen, 178.211.139.240 und 20.207.202.183 – ein Werkzeug oder ein Operator, der den Mantel wechselt. Der Spitzenreiter, 20.194.17.163 mit 6.1 von 10, feuerte 50 Anfragen mit 26 pro Minute ab und fragte nach /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /wp-Iogin.php – man beachte das große I, wo das l hingehört – und /bdroot.php. Eine weitere, 94.26.106.162, fragte 82 Mal in etwa 1,7 Sekunden nach /.env, /.env.local, /.env.staging und /.env.development, was entweder ein Abstimmungsproblem oder echte Begeisterung ist. Und zwei Adressen sandten Anfragen in der Form von CVE-2015-2051 an /hnap1, weil irgendwo noch ein D-Link-Router lauscht und die Hoffnung zuletzt stirbt. Von 6.862 an unserem Rand gesehenen Adressen in 89 Ländern waren 3.024 heute neu. Rohprotokolle haben die Maschine nie verlassen.
13profilierte feindliche Quellen
1.834Anfragen von ihnen
2bis zur Ausnutzung gelangt
1Cluster mit gemeinsamer DNA
6.7/10höchste Feindseligkeit
6.862Adressen an unserem Rand
3.024heute erstmals gesehen
89Länder
Die WTF-Liste
WTF #1
Der hartnäckigste Besucher
20.194.17.163, ein Scanner (Feindseligkeit 6.1/10), sandte 50 Anfragen mit 26 pro Minute an eine unserer Websites und suchte nach /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /wp-Iogin.php, /bdroot.php.
Warum es seltsam istHöchste Feindseligkeit auf der Tafel; seine Kill Chain erreichte die Weaponization.
attribution: unbekanntWed 21 Oct, 01:00 UTC
Detail
Kill Chain: Reconnaissance → Weaponization · DNA bccc30d19899
WTF #2
Gleiche DNA, andere Adressen
20.207.202.183, ein Scanner (Feindseligkeit 6.7/10), sandte 16 Anfragen an eine unserer Websites und suchte nach /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /403.php, /aaa.php.
Warum es seltsam ist2 IPs teilen einen Verhaltensfingerabdruck (DNA dfef4501b216): ein Werkzeug oder ein Operator, der Adressen wechselt: 178.211.139.240, 20.207.202.183.
attribution: unbekanntWed 21 Oct, 01:00 UTC
Detail
Kill Chain: Reconnaissance → Weaponization · DNA dfef4501b216
WTF #3
CVE-2015-2051 wird bei uns ausprobiert
2 Adressen sandten 2 Anfragen in der Form einer Ausnutzung von CVE-2015-2051 (/hnap1), darunter 103.213.112.213, 223.123.43.62.
Warum es seltsam istEin bekannter, benannter Exploit wird weiterhin ins Internet gesprüht; unser Rand sah ihn heute, was auch immer die Patch-Hinweise über das Jahr sagen.
attribution: unbekannt
Detail
Sondierungsfamilie: dlink-hnap
WTF #4
Die seltsamste Einkaufsliste
74.225.146.100, ein Scanner (Feindseligkeit 5.9/10), sandte 50 Anfragen an eine unserer Websites und suchte nach /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /wp-Iogin.php, /bdroot.php.
Warum es seltsam istFragte nach Dateien, nach denen fast niemand sonst fragt: /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /wp-Iogin.php, /bdroot.php, /c.php.
attribution: unbekanntWed 21 Oct, 01:00 UTC
Detail
Kill Chain: Reconnaissance → Weaponization · DNA c67915f564de
WTF #5
In Eile
94.26.106.162, ein Scanner (Feindseligkeit 4.9/10), sandte 82 Anfragen an eine unserer Websites und suchte nach /.env.development, /.env, /.env.staging, /.env.local.
Warum es seltsam istFeuerte 82 Anfragen in etwa 1,7 Sekunden ab.
attribution: unbekanntWed 21 Oct, 01:00 UTC
Detail
Kill Chain: Reconnaissance → Weaponization · DNA ce6ecdfacbe3
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
226claims, 7 days
38of 130 groups active
N0n51 this week · surging
thegentlemen37 this week · surging
qilin29 this week
SurgingN0n — 51 claims in 7 days against 20.7 expected from its own prior rate (p < 0.001)
Surgingiah6477 — 8 claims in 7 days against 1.0 expected from its own prior rate (p < 0.001)
SurgingHelix — 7 claims in 7 days against 0.8 expected from its own prior rate (p < 0.001)
SurgingRedact — 3 claims in 7 days against 0.3 expected from its own prior rate (p = 0.004)
Surgingthegentlemen — 37 claims in 7 days against 25.3 expected from its own prior rate (p = 0.017)
SurgingBooba Project — 6 claims in 7 days against 2.1 expected from its own prior rate (p = 0.022)
UpTransportation — 2.3× its own prior share (72 claims, 31 expected)
UpEducation — 1.9× its own prior share (47 claims, 25 expected)
UpHealthcare — 1.5× its own prior share (115 claims, 76 expected)
DownRetail & E-Commerce — 0.7× its own prior share (44 claims, 60 expected)
22% of claims carry no sector label.
Brand churn
Of the 79 leak-site brands first seen since 2026-06-01, 79% were still claiming 30 days after their first post and 79% were still claiming 60 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 19% of the 53 old enough to judge posted on one day and never again; 40% made at least half their claims in their first week. New brands this month: 10 — newest: Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims), 0x00 (2026-10-15, 1 claim).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§8
Kolophon
Wie diese Ausgabe entstanden ist – unverblümt.
Ausgabe 24 wurde maschinell erstellt und per Code geprüft. Jeder Beitrag, den 12 öffentliche Bedrohungs-Feeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlichten (391 Beiträge), wurde vollständig gelesen: Statistiken im Code berechnet, jeder Ausschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus synthetisiert. Anschließend redigierte Claude Opus die Zeitung. Jede Geschichte nennt die Beiträge, auf denen sie beruht; Geschichten, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung gestrichen (heute 0). Prognosen werden in späteren Ausgaben öffentlich bewertet. „Von unserem Rand“ sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: $0.72. Sie wird maschinell in der Stimme von ScottG verfasst, dem Autor von Everything Is Probably Fine, und niemand hat sie von Hand redigiert, was entweder der Sinn der Sache oder das Problem ist.
391items read
24hour window
$0.72cost of this edition
04:05 UTCgenerated
Quellen von heute Morgen
Security news82ok
infosec.exchange72ok
RansomLook56ok
ransomware.live55ok
Signal Atlas39ok
atlas33ok
RSS22ok
AlienVault OTX13ok
signal:kev6ok
CISA KEV6ok
signal:ioc-family6ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 391|SOURCES: 12|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.72|STATUS: NICHT GANZ IN ORDNUNG
OWNER: die Maschine|EDITOR: die Regeln|CALLS OPEN: 3|NEXT REVIEW: morgen 06:00 UK