Ein täglicher Feldbericht über Dinge, die wahrscheinlich in Ordnung sind
No. 28·Sonntag 25 Oktober 2026·Erscheint 06:00 UK·Fine-Anzeige 3/5: Fast in Ordnung
Aufmacher · Bekannt ausgenutzt
CISA nimmt kritische Schwachstellen in Collabora Online und Arista VeloCloud Orchestrator in ihre Liste ausgenutzter Lücken auf, selbstverständlich an einem Freitag
Ein Dokumentenserver und ein SD-WAN-Orchestrator gelten nun offiziell als angegriffen. Die Angreifer wussten das schon, denn sie waren es selbst, die angriffen.
Konfidenz0.85
Am Freitag hat CISA zwei Schwachstellen in ihren Katalog Known Exploited Vulnerabilities aufgenommen und sich dabei auf Berichte über aktive Ausnutzung in freier Wildbahn berufen. Die eine steckt im Built-in CODE Server von Collabora Online, die andere im Arista VeloCloud Orchestrator; beide werden als kritisch eingestuft. Mehr gibt die öffentliche Aktenlage an diesem Morgen nicht her. Es genügt.
Keines der beiden Produkte ist exotisch. Das eine lässt Menschen gemeinsam Dokumente bearbeiten. Das andere ist ein Orchestrator, eine Kiste, deren Stellenbeschreibung lautet, vom restlichen Netzwerk befolgt zu werden. Angreifer wollen beides aus demselben Grund, aus dem wir es einsetzen: An einer Stelle sammelt sich viel Vertrauen. Ist der Orchestrator kompromittiert, haben Sie kein verwundbares Gerät. Sie haben eine verwundbare Meinung, die jedes andere Gerät teilt.
Eine Warnung aus der Tiefenlektüre. Das ganze Wochenende über versieht der Atlas-Scoring-Feed Ransomware-Gruppen mit dem Etikett „KEV × ransomware fusion“, was so klingt, als habe jemand diese Lücken mit Qilin und Konsorten in Verbindung gebracht. Das hat niemand. Nichts in den heutigen Feeds verknüpft irgendeine Ransomware-Gruppe mit einer bestimmten CVE. Das Fusion-Label ist die Hypothese des Dashboards, kein Befund. Patchen Sie diese Lücken, weil sie ausgenutzt werden, und nicht, weil eine Kachel gelb wurde.
Warum es wichtig istWer Collabora CODE Server oder einen VeloCloud Orchestrator betreibt, der für nicht vertrauenswürdige Quellen erreichbar ist, sollte heute patchen und in dieser Reihenfolge nach Kompromittierungsspuren suchen.
Eine zweite Quelle, die die erste gelesen hat, ist keine Bestätigung. Sie ist ein Echo mit Konfidenzwert.
— Sturgeon's Revelations · Probably Fine Daily No. 28
Jeden Morgen06:00 UK
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§2
Schlagzeilen
Der Rest der letzten 24 Stunden – mit Belegen.
Ransomware
Der Leak-Site-Ansturm vom Samstag: The Gentlemen, Qilin und N0n posten im Dutzend, und die Dashboards zählen doppelt
Am 24. Oktober veröffentlichten mehrere Gruppen weit über ihrer üblichen Rate. Die Tiefenlektüre zählt 24 Einträge für The Gentlemen, 20 für Qilin und 16 für N0n, bei einem Median von null an anderen Tagen für The Gentlemen und N0n, wobei viele dieser Einträge aus denselben Listungen generierte Atlas-Meldungen sind. Qilin reklamierte Heber City in Utah, die Commonwealth Community Bank und den britischen Castle Howard Estate für sich. N0n listete das Arthritis Center of Riverside und Ecuadors Asisken Asistencia Médica, deren Eintrag Identitätsdaten von 139.006 namentlich genannten Versicherungskunden beschreibt. Die Postings kamen in Schüben: N0n stellte vier Opfer in etwa zwei Minuten online, krybit sechs in drei. Der Wochentakt von Ninja Signal zählt 202 Bekennungen von 43 der 131 beobachteten Gruppen, wobei SilentRansomGroup bei 10 gegenüber erwarteten 2,27 liegt und lamashtu bei 7 gegenüber 1,15. Maureen aus Governance, Risk and Compliance bittet mich zu ergänzen, dass die Länderzuordnungen stellenweise falsch sind: Conax Technologies ist mit Norwegen verschlagwortet, obwohl der Eintrag einen Hersteller in Buffalo, New York, beschreibt, und Asisken mit Argentinien, obwohl das Unternehmen in Guayaquil sitzt.
Warum es wichtig istWer eines dieser Unternehmen beliefert, versichert oder dort sein Konto führt, sollte heute die Drittparteien-Risiko-Mail verschicken. Sektor- oder Länder-Trends gehören aus den Opferbeschreibungen abgeleitet, nicht aus den Tags.
Alte Fehler, neue Papiere: Die NVD erfasst eine Charge von Schwachstellen aus den Jahren 2017 bis 2025, die meisten mit Ausnutzungsnachweisen von Shadowserver
Eine am Donnerstag, dem 22. Oktober, um 11:17 UTC veröffentlichte Reihe von Einträgen vergibt förmliche CVEs an alte Lücken in FineReport, DedeCMS, Weaver E-cology, SeaCMS, dem WordPress-Theme Javo Spot und anderen; die meisten Einträge verweisen auf eine zuerst von Shadowserver beobachtete Ausnutzung. Zuerst anzugehen sind jene, die Codeausführung ohne Authentifizierung erlauben. In FineReport 9.0 (CVE-2021-48014) kann ein POST an die Operation design_save_svg eine JSP-Webshell schreiben. DedeCMS bis einschließlich 5.8.1-beta (CVE-2021-48016) führt PHP-Code aus, der über den HTTP-Referer-Header eingeschleust wird. Weaver E-cology 8.0, 9.0 und 10.0 vor 10.76 hat eine SQL-Injection ohne Authentifizierung (CVE-2025-71434), und Javo Spot (CVE-2017-20287) händigt wp-config.php jedem aus, der mit ../../ danach fragt. Gesondert meldet das CTI-Team von VulDB rege Aktivität gegen das Plugin GeoDirectory (CVE-2026-113489).
Warum es wichtig istSuchen Sie zuerst in Ihrem Bestand nach FineReport und DedeCMS. Das Jahr in einer CVE-ID verrät, wann sie vergeben wurde, nicht, wie gefährlich sie ist.
Sicherheitssoftware ist eben auch Software: mod_qos prüft die falsche Anfrage, eine WAF kommt mit Ersatzkonto, WatchGuard lässt einen Wiederherstellungsschlüssel im Log liegen
Unter den vier am Donnerstag veröffentlichten mod_qos-CVEs findet sich CVE-2026-114460, ein Off-by-one-Fehler, der den Query-String bei der Sicherheitsprüfung abschneidet, während die tatsächliche Anfrage unverändert durchgeht, sodass verbotene Inhalte vor dem Filter verborgen werden können. Die anderen drei sind Denial-of-Service-Fehler ohne Authentifizierung. Die Web Application Firewall WAPPLES von Penta Security hat eine Path Traversal in /webapi/file/transfer (CVE-2022-51025, Teil der Shadowserver-Charge), verschärft durch ein fest einprogrammiertes Konto namens systemi. WatchGuard Endpoint Security für macOS schreibt den persönlichen FileVault-Wiederherstellungsschlüssel in ein Diagnoseprotokoll, das jeder lokale Nutzer lesen kann (CVE-2026-96293), und das Log-Verzeichnis des WatchGuard Agent lässt sich von jedem lokalen Nutzer ohne Administratorrechte umschreiben (CVE-2026-115253).
Warum es wichtig istFilter, WAFs und Endpunkt-Agenten sind ebenfalls Angriffsfläche. Patchen Sie sie nach demselben Zeitplan wie alles, was sie schützen sollen.
LiteLLM führt eine vergiftete Version seines Python-Pakets auf einen im Mai in ein öffentliches Repository eingecheckten Master-Key zurück
LiteLLM erklärte am Freitag, ein Agent-Platform-Master-Key in einer Konfigurationsdatei, die am 27. Mai 2026 in ein öffentliches GitHub-Repository eingecheckt wurde, habe es einem Angreifer letztlich ermöglicht, GitHub-Tokens zu stehlen, die Release-Pipeline zu übernehmen und eine bösartige Version des Python-Pakets auszuliefern. In derselben Woche verzeichnete die NVD die CVE-2026-111079 in Goose: Ist dessen Terminal-Integration aktiviert, sendet es erfasste Shell-Historie wortwörtlich an den konfigurierten LLM-Anbieter, samt aller in diese Historie getippten Tokens oder Passwörter. Ein Bewertungsbot auf Mastodon stuft eine Chrome-Erweiterung namens „Ask ChatGPT“ mit 96 von 100 Punkten als schädlich ein. Dave aus dem Einkauf hat sie nicht installiert. Dave war an jenem Morgen beschäftigt, und wir sind dankbar dafür.
Warum es wichtig istRotieren Sie jeden Model-Gateway-Schlüssel, der je ein Repository berührt hat, und behandeln Sie KI-Entwicklerwerkzeuge als Weg, auf dem Geheimnisse das Haus verlassen.
Die Brotli-Decoder-Lücke hinter einer Node.js-RCE steckt auch in Bun, Python-Paketen und Envoy
CVE-2026-111497 ist eine Speicherbeschädigung im Brotli-Decoder von Google, die sich durch präparierte komprimierte Daten auslösen lässt. Sie liegt einer Remote-Code-Ausführung in Node.js zugrunde und betrifft zudem Bun, die Python-Pakete Brotli und brotlicffi sowie Envoy-Proxys, die zum Entpacken von Brotli konfiguriert sind. Die Bibliothek esaml von Dropbox zeigte diese Lehre diese Woche im Kleinen: Drei neu veröffentlichte Fehler lassen einen Angreifer ohne Authentifizierung den Erlang-Knoten mit einer präparierten SAMLResponse oder LogoutResponse zum Absturz bringen, einer davon, indem vom Angreifer gelieferte komprimierte Daten ohne Begrenzung der Ausgabegröße entpackt werden.
Warum es wichtig istFinden Sie alle Stellen, an denen Sie nicht vertrauenswürdige Eingaben dekomprimieren, Proxys eingeschlossen, und aktualisieren Sie Brotli überall dort, wo es mitgebündelt statt installiert wurde.
Das BlackX-Bootkit nutzt die alte Baton-Drop-Lücke, um Secure Boot zu umgehen und Kaspersky und Avast zu stören
BlackX, ein neues UEFI-Bootkit, das Anfang 2026 in einer Spionagekampagne zum Einsatz kam, nutzte die alte Baton-Drop-Schwachstelle, um Secure Boot zu umgehen. Anschließend lud es einen bösartigen Treiber, der gebaut wurde, um Sicherheitsprodukte von Kaspersky und Avast zu stören. Zwei Medien brachten denselben Bericht wortgleich, es handelt sich also um eine syndizierte Quelle, nicht um zwei unabhängige Bestätigungen.
Warum es wichtig istPrüfen Sie, ob Ihre Secure-Boot-Sperrdaten aktuell sind, und gehen Sie davon aus, dass Endpunktwerkzeuge das Ziel sein können und nicht der Schiedsrichter.
Google stellt klar, dass Gmail- und Fotos-Daten, die mit KI-Funktionen geteilt werden, für gezielte Werbung genutzt werden können
Google hat seine Datenschutzerklärung aktualisiert und stellt darin klar, dass die Nutzung personalisierter KI-Funktionen in der Suche oder in Gemini es ermöglichen könnte, gezielte Werbung auf Grundlage der Aktivitäten der Nutzer in anderen verbundenen Google-Diensten auszuspielen, darunter Gmail und Fotos. Die Änderung erläutert, wie die Daten verwendet werden, und ist keine neue Sicherheitslücke. Das ist der Punkt.
Warum es wichtig istWenn Mitarbeitende Konten mit arbeitsnahen Daten an KI-Funktionen anbinden, enthält Ihre Richtlinie zum Umgang mit Daten jetzt eine Werbeklausel, um die sie nicht gebeten hat.
Eye Security spielte mehr als 2 Millionen Updates auf fremde Rechner, um einen Updater abzuschalten
Zwischen November 2025 und März 2026 spielte die niederländische Firma Eye Security mehr als 2 Millionen Updates auf Rechner, die ihr nicht gehörten. Ziel war es, einen Hintergrund-Updater von Time4Popcorn zu deaktivieren, der laut Firma einem Außenstehenden die Übernahme der Maschine hätte ermöglichen und ein Botnetz hätte speisen können. Nur ein Medium berichtete darüber, und dieser Bericht ist hier die Quelle.
Warum es wichtig istVerwaiste Auto-Updater sind Fernausführungskanäle, die auf einen neuen Besitzer warten. Finden Sie sie auf Ihren Endgeräten, bevor jemand anderes sie für sich beansprucht.
Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.
Unter den Feeds: Das Ransomware-Dashboard hinkt den Leak-Sites, die es liest, um 7 bis 13 Stunden hinterher, seine „eskalierend“-Labels echoen diese Seiten also, statt sie zu bestätigen.
Exception 01
Atlas liegt den Leak-Site-Bekennungen 7 bis 13 Stunden hinterher und ist damit keine unabhängige Quelle
Bei Deadlock (13,0 Std.), Qilin (8,6 Std.), Emperador (8,0 Std.), The Gentlemen (7,4 Std.) und N0n (7,0 Std.) erschien die Bekennung zuerst auf ransomware.live und später als Atlas-Meldung. Das passt dazu, dass Atlas ein nach Geschwindigkeit bewertetes Derivat derselben Listungen ist; seine „eskalierend“-Labels sollten daher nicht als zweite Quelle zählen.
Konfidenz0.70
Wrong if
Atlas-Meldungen mit Zeitstempel vor den zugehörigen Listungen oder Atlas-Meldungen, die andere Quellen als die Leak-Sites zitieren.
Watch
Ob auf neue Listungen in den nächsten 24 Stunden erneut Atlas-Meldungen mit ähnlicher Verzögerung folgen.
Der Schub vom 24. Oktober ist real, aber aufgebläht
The Gentlemen (24 Einträge), Qilin (20) und N0n (16) lagen weit über ihrer üblichen Rate, und Opfer wurden in engen Schüben eingestellt (N0n vier in etwa zwei Minuten, krybit sechs in drei), was auf Massen-Uploads der Betreiber hindeutet. Jede Listung erzeugt mehrere Atlas-Meldungen, weshalb die Eintragszahlen die Zahl der Opfer überzeichnen.
Konfidenz0.60
Wrong if
Rohe ransomware.live-Listungen, die den Schubzahlen entsprechen, statt deutlich weniger zu sein.
Watch
Verschiedene Opfer je Akteur im Vergleich zur Zahl der Atlas-Meldungen am 25. und 26. Oktober.
Länder- und Sektor-Tags widersprechen den Opferbeschreibungen
Conax ist mit NO verschlagwortet, wird aber als US-Unternehmen beschrieben. Asisken ist mit AR verschlagwortet, wird aber in Guayaquil, Ecuador, verortet. choicegoodwill.com ist als US-Einzelhandel getaggt, aber als indischer Immobilienentwickler beschrieben. Frommann ist als Energie getaggt, aber als Fertigung annotiert. Geografische oder sektorale Trends auf Grundlage dieser Tags sind unzuverlässig.
Konfidenz0.70
Wrong if
Eine systematische Prüfung, die zeigt, dass solche Abweichungen über diese Handvoll hinaus selten sind.
Watch
Das getaggte Land bei jeder neuen Listung mit dem beschriebenen Standort vergleichen.
Den Shadowserver zugeordnete CVEs sind eine Nachtragung, keine neue Offenlegung
Die am 22. Oktober um 11:17 UTC gemeinsam veröffentlichten NVD-Einträge betreffen Lücken aus den Jahren 2017 bis 2025 in Produkten wie Weaver E-cology, FineReport, DedeCMS und SeaCMS, mit zuerst von Shadowserver beobachteten Ausnutzungsnachweisen. Sie halten Ausnutzung fest, die bereits stattgefunden hat; neue Erkenntnisse sind sie nicht.
Konfidenz0.60
Wrong if
Die Charge erweist sich als nicht an Shadowserver-Daten gebunden, oder spätere NVD-Einträge treffen nach demselben Muster ein.
Watch
Ob CISA KEV oder Herstellerhinweise in der kommenden Woche eine dieser CVEs aufgreifen.
Qilins „eskalierende“ Serie in Spanien beruht auf einem einzigen sichtbaren Opfer
Atlas markierte eine eskalierende Qilin-Serie in Spanien (Konfidenz 0,78), doch die einzige sichtbare spanische Listung ist Miljaus Producciones vom 23. Oktober. Ein Opfer ist eine dünne Grundlage, um von Eskalation zu sprechen.
Konfidenz0.50Speculative
Wrong if
Weitere spanische Qilin-Opfer, die binnen weniger Tage auftauchen.
Watch
Neue Qilin-Listungen mit dem Tag ES in den nächsten drei bis fünf Tagen.
Nothing to seeEs gibt kein Anzeichen für Koordination zwischen voneinander unabhängigen Akteuren, und keine Ransomware-Gruppe ist mit einer bestimmten CVE verknüpft, was auch immer die Fusion-Labels nahelegen. Die Atlas-Meldungen zur „compound crisis“ und zu seismischen Ereignissen wirken wie eine generische geopolitische Regel, nicht wie Cyber-Aktivität. Zwei Social-Media-Beiträge sind Einzelquellen und unbestätigt: einer, der die Schlagzeile verlinkt, China-nahe Hacker hätten agentische KI gegen 2.250 Microsoft-365-Tenants eingesetzt, und einer, der die LockBit-Listung eines libanesischen Krankenhauses verfolgt. Die Ruhe in der NVD nach 00:20 Uhr am 24. Oktober ist am ehesten das Ende einer Charge und keine Flaute. Die IOC-Ladungen von SalatStealer und SmartLoader beginnen beide um 06:27 Uhr, was uns etwas über die Feed-Pipeline verrät und nichts über die Akteure.
Deep read: 288 Artikel gelesen
§4
Prognose
Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.
Today’s calls
DueCallConfidence
DueFri 30 Oct5 days
Qilin wird bis zum 30. Oktober 2026 mindestens ein weiteres Opfer mit dem Tag Spanien (ES) auf ransomware.live veröffentlichen.
Wrong ifZwischen dem 25. und 30. Oktober 2026 erscheint auf ransomware.live keine neue Qilin-Listung mit dem Tag ES.
Auf mindestens eine neue ransomware.live-Listung von The Gentlemen, Qilin oder N0n zwischen dem 25. und 31. Oktober folgt 5 bis 15 Stunden später eine passende Atlas-Meldung.
Wrong ifJede passende Atlas-Meldung erscheint innerhalb von 5 Stunden, nach 15 Stunden oder vor der Listung, oder es erscheint gar keine passende Atlas-Meldung.
Mindestens eine der Lücken FineReport CVE-2021-48014, DedeCMS CVE-2021-48016 oder Weaver E-cology CVE-2025-71434 wird bis zum 8. November 2026 in den KEV-Katalog der CISA aufgenommen.
Wrong ifKeine der drei erscheint bis zum 8. November 2026 im KEV-Feed.
Der Moment, in dem eine Schwachstelle aufhört, etwas zu sein, das die Angreifer wissen, und zu etwas wird, das wir wissen. Er kommt immer an einem Freitag.
§5
Von unserem Rand
Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.
Auch unsere eigenen Server hatten ihr übliches Wochenende voller Besucher. In den letzten 24 Stunden hat der Sensor Adversary DNA 94 feindliche Quellen profiliert (34 Forscher, 29 Scanner, 24 Bot-Crawler und 5 gezielt vorgehende Akteure), die zusammen 3.071 Anfragen sandten. 59 gingen über die Aufklärung hinaus zu Ausnutzungsversuchen, und 11 Adressgruppen teilten einen Verhaltensfingerabdruck. Ein Cluster aus 32 IPs wirkte wie ein einzelnes Werkzeug oder ein Akteur, der Adressen rotiert. Ein Scanner unter 35.240.58.49 verzichtete auf Höflichkeiten und fragte nach /.aws/credentials.bak, /.docker/config.json und /.env.anthropic; KI-API-Schlüssel stehen damit auf derselben Einkaufsliste wie Cloud-Schlüssel. Ein anderer, 104.199.36.53, feuerte in etwa 0,4 Sekunden 115 Anfragen ab, auf der Suche nach .env-Dateien. Zwei gezielt vorgehende Akteure mit 7,7 von 10 Feindseligkeit arbeiteten sich über WordPress-Pfade wie xmlrpc.php und wlwmanifest.xml bis zum Zugriff auf Zugangsdaten vor. Jemand sprüht noch immer CVE-2018-20062 ins Internet, als wäre sie neu. Rohprotokolle haben den Server nie verlassen, nur diese Erkenntnisse.
94profilierte feindliche Quellen
3.071Anfragen von ihnen
59erreichten die Ausnutzung
11Cluster mit gemeinsamer DNA
8,2/10höchste Feindseligkeit
11.679Adressen an unserer Edge
4.468heute erstmals gesehen
99Länder
Die WTF-Liste
WTF #1
Auf der Suche nach Ihren KI-Schlüsseln
35.240.58.49, ein Scanner (Feindseligkeit 5,6/10), sandte 228 Anfragen an 2 unserer Websites und suchte nach /.aws/credentials.bak, /.docker/config.json, /.docker/.env, /.env.anthropic.
Warum es seltsam istGing direkt auf KI-Zugangsdaten los: /.env.anthropic. Modell-API-Schlüssel stehen jetzt neben Cloud-Schlüsseln auf der Einkaufsliste der Scanner.
attribution: unbekanntSat 24 Oct, 17:00 UTC
Detail
Kill Chain: Aufklärung → Bewaffnung · DNA 9427f6c77bf1
WTF #2
Der entschlossenste Besucher
143.244.57.86, ein gezielt vorgehender Akteur (Feindseligkeit 7,7/10), sandte 20 Anfragen an eine unserer Websites und suchte nach /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Warum es seltsam istHöchste Feindseligkeit auf der Tafel; seine Kill Chain erreichte den Zugriff auf Zugangsdaten.
attribution: unbekanntSat 24 Oct, 17:00 UTC
Detail
Kill Chain: Aufklärung → Bewaffnung → Ausnutzung → Zugriff auf Zugangsdaten · DNA 82a939927b85
WTF #3
Versucht CVE-2018-20062 bei uns
1 Adresse sandte 3 Anfragen in der Form einer Ausnutzung von CVE-2018-20062 (/index.php), darunter 204.76.203.7.
Warum es seltsam istEin bekannter, benannter Exploit, der noch immer ins Internet gesprüht wird; unsere Edge sah ihn heute, was auch immer die Patch-Hinweise über das Jahr sagen.
attribution: unbekannt
Detail
Sondierungsfamilie: Webshell
WTF #4
Gleiche DNA, andere Adressen
47.79.11.64, ein Forscher (Feindseligkeit 0,9/10), sandte 8 Anfragen an eine unserer Websites und suchte nach /threat-check/D-Link%20Multiple%20Routers%20Remote%20Code%20Execution%, /threat-check/TerraMaster%20OS%20Remote%20Command%20Execution%20Vulner.
Warum es seltsam ist32 IPs teilen einen Verhaltensfingerabdruck (DNA b77200c2c27d): ein Werkzeug oder ein Akteur, der Adressen rotiert: 47.82.50.236, 47.82.53.234, 47.82.49.67, 47.82.48.175, 47.79.51.179 und weitere.
attribution: unbekanntSun 25 Oct, 05:00 UTC
Detail
Kill Chain: Aufklärung → Ausnutzung · DNA b77200c2c27d
WTF #5
Die seltsamste Einkaufsliste
146.70.194.236, ein gezielt vorgehender Akteur (Feindseligkeit 7,7/10), sandte 20 Anfragen an eine unserer Websites und suchte nach /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Warum es seltsam istFragte nach Dateien, nach denen sonst kaum jemand fragt: /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml, /login/wordpress/wp-incl.
attribution: unbekanntSat 24 Oct, 17:00 UTC
Detail
Kill Chain: Aufklärung → Bewaffnung → Ausnutzung → Zugriff auf Zugangsdaten · DNA 82a939927b85
WTF #6
In Eile
104.199.36.53, ein Scanner (Feindseligkeit 5,5/10), sandte 115 Anfragen an eine unserer Websites und suchte nach /.docker/.env, /.env, /.docker/laravel/app/.env, /.aws/.env.
Warum es seltsam istFeuerte 115 Anfragen in etwa 0,4 Sekunden ab.
attribution: unbekanntSat 24 Oct, 17:00 UTC
Detail
Kill Chain: Aufklärung → Bewaffnung · DNA 18e39c4b41fb
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
202claims, 7 days
43of 131 groups active
N0n38 this week · surging
qilin29 this week
SilentRansomGroup10 this week · surging
SurgingSilentRansomGroup — 10 claims in 7 days against 2.3 expected from its own prior rate (p < 0.001)
Surginglamashtu — 7 claims in 7 days against 1.1 expected from its own prior rate (p < 0.001)
SurgingBrainCipher — 8 claims in 7 days against 1.6 expected from its own prior rate (p < 0.001)
SurgingBooba Project — 6 claims in 7 days against 2.1 expected from its own prior rate (p = 0.019)
SurgingN0n — 38 claims in 7 days against 26.6 expected from its own prior rate (p = 0.022)
NewScarlettgroup — first claim 2026-10-08; 5 so far
UpTransportation — 2.1× its own prior share (70 claims, 33 expected)
UpEducation — 1.8× its own prior share (47 claims, 26 expected)
UpHealthcare — 1.4× its own prior share (110 claims, 80 expected)
23% of claims carry no sector label.
Brand churn
Of the 80 leak-site brands first seen since 2026-06-01, 78% were still claiming 30 days after their first post and 78% were still claiming 60 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 56 old enough to judge posted on one day and never again; 41% made at least half their claims in their first week. New brands this month: 11 — newest: Whitearmor (2026-10-23, 3 claims), Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 35% of its claims on Germany (6.8× every other brand's share); N0n put 36% of its claims on Transportation (8.0× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: qilin across 10.1 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 68% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 181 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 39% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§8
Kolophon
Wie diese Ausgabe entstanden ist – unverblümt.
Ausgabe 28 wurde maschinell erstellt und per Code geprüft. Jeder Beitrag, den 9 öffentliche Bedrohungs-Feeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlichten (288 Einträge), wurde vollständig gelesen: Statistiken im Code berechnet, jeder Ausschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus synthetisiert. Anschließend redigierte Claude Opus die Zeitung. Jede Meldung nennt die Einträge, auf denen sie beruht; Meldungen, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung verworfen (heute 0). Prognosen werden in späteren Ausgaben öffentlich bewertet. „Von unserer Edge“ sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: 0,00 $. Sie ist maschinell verfasst, in der Stimme von ScottG, Autor von Everything Is Probably Fine, und niemand hat sie von Hand redigiert, was entweder der Sinn der Sache ist oder das Problem.
288items read
24hour window
$0.00cost of this edition
05:05 UTCgenerated
Quellen von heute Morgen
NVD100ok
Signal Atlas82ok
infosec.exchange39ok
atlas28ok
ransomware.live27ok
Security news6ok
signal:ioc-family4ok
RSS1ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 288|SOURCES: 9|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.00|STATUS: FAST IN ORDNUNG
OWNER: die Maschine|EDITOR: die Regeln|CALLS OPEN: 3|NEXT REVIEW: morgen 06:00 UK