Ein täglicher Feldbericht über Dinge, die wahrscheinlich in Ordnung sind
No. 29·Montag 26 Oktober 2026·Erscheint 06:00 UK·Fine-Anzeige 3/5: Wahrscheinlich in Ordnung, mit Sternchen
Aufmacher · Bekanntermaßen ausgenutzt
CISA stuft Collabora Online und Arista VeloCloud Orchestrator von „möglich“ auf „längst Realität“ hoch
Zwei Schwachstellen wurden am Freitag in die Liste der Known Exploited Vulnerabilities aufgenommen, weil es immer ein Freitag ist. Arista hat zudem eine im Einsatz beobachtete Zero-Day-Lücke im VeloCloud Orchestrator gepatcht.
Konfidenz0.85
Die US-Behörde für Cybersicherheit und Infrastruktursicherheit CISA hat am Freitag zwei Schwachstellen in ihren Katalog der Known Exploited Vulnerabilities aufgenommen. Die eine betrifft den Collabora Online Built-in CODE Server, die andere den Arista VeloCloud Orchestrator (VCO). CISA verwies auf Berichte über aktive Ausnutzung in freier Wildbahn. Ein separater Bericht besagt, Arista habe eine neue Zero-Day-Lücke im VeloCloud Orchestrator gepatcht, die bei Angriffen ausgenutzt wurde.
Die uns vorliegenden Meldungen nennen keine CVE-Nummern. Kennungen und korrigierte Versionen sollten daher den Herstellerhinweisen entnommen werden, nicht dem Gedächtnis oder der Zusammenfassung eines Dashboards. Zwei Dinge sind heute Morgen zu tun: Erfassen Sie jeden Collabora-CODE-Server und jeden VCO in Ihrem Bestand, auch jene, die jemand für einen Pilotversuch aufgesetzt hat, und prüfen Sie, ob sie gepatcht sind und ob sie von Orten aus erreichbar sind, von denen aus sie es nicht sein sollten.
Hier die Neubewertung: KEV ist keine Liste von Schwachstellen. Es ist eine Liste von Dingen, die aufgehört haben, hypothetisch zu sein – eine kleinere und deutlich unhöflichere Kategorie. Ein Orchestrator ist per Definition die Kiste, die den anderen Kisten sagt, was sie tun sollen. Wenn jemand anderes dem Orchestrator sagt, was er tun soll, ist der Rest Ihres Netzplans Dekoration.
Warum es wichtig istKEV-Einträge belegen tatsächliche Ausnutzung, keine CVSS-Schätzung. Collabora CODE und VeloCloud Orchestrator gehören an die Spitze der Patch-Warteschlange dieser Woche; neben dem Patchen ist auch nach einer bereits erfolgten Kompromittierung zu suchen.
Eine Bande, die um 22:58 abkühlt und um 23:50 eskaliert, hat ihr Verhalten nicht innerhalb von weniger als einer Stunde geändert. Das Dashboard hat es getan, und das Dashboard ist das im Vorstandspapier.
— Sturgeon's Revelations · Probably Fine Daily No. 29
Jeden Morgen06:00 UK
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§2
Schlagzeilen
Der Rest der letzten 24 Stunden – mit Belegen.
Schwachstellen
CGM CLININET: elf CVEs in einem Krankenhaussystem, mehrere davon enden bei Root
Elf CVE-Einträge für das Krankenhausinformationssystem CGM CLININET wurden am 23. Oktober gemeinsam veröffentlicht. Darunter: ein nicht authentifizierter Endpunkt /DocManagment, über den jemand im angrenzenden Netz Patientendokumente auflisten und herunterladen kann (CVE-2025-30043, behoben in 2026.MS3); Java-Deserialisierungs-RCE über die Administrations-API (CVE-2025-30047); HL7-Prozesse, die als root laufen, während sie nicht vertrauenswürdige Daten externer Systeme verarbeiten (CVE-2025-30046); Perl-Expression-Injection bis zu root (CVE-2025-30045); und ein Modulimport in RunCGI.pm, der vom Angreifer kontrollierten Code ausführt (CVE-2025-30050). Der Rest des Pakets: Passwörter, die als ungesalzene MD5-Hashes gespeichert werden (CVE-2025-30049), Datenbank- und RabbitMQ-Zugangsdaten in einer für alle lesbaren SysIO.pl (CVE-2025-30051), ein rsyncd, der anhand der Quell-IP authentifiziert (CVE-2025-30052), ein cgm-updater, der ohne Authentifizierung an einem offenen Port lauscht (CVE-2025-30053), eine lokale Rechteausweitung auf root über beschreibbare HL7-Skripte (CVE-2025-30054) und ein reflektiertes XSS (CVE-2025-58403). Mehrere gelten als bestätigt bis einschließlich 2026.MS3, wobei spätere Versionen möglicherweise ebenfalls betroffen sind. Das Material enthält keinen Hinweis auf Ausnutzung.
Warum es wichtig istDie meisten dieser Lücken setzen Zugriff aus dem angrenzenden Netz voraus; entscheidend ist daher die Segmentierung: CLININET-Server, HL7-Schnittstellen und den Updater-Port noch heute aus jedem flachen Klinik- oder Unternehmensnetz herausnehmen und erst dann nach korrigierten Versionen suchen.
Qilin und N0n melden je 31 Ansprüche an einem Tag, und die Tracker sind sich nicht einig, was die Opfer überhaupt tun
Qilin veröffentlichte am Sonntag 31 Einträge bei einem Median von 7 an anderen Tagen, und N0n zog mit 31 bei einem Median von 5 gleich. Auf Qilins Liste stehen die Commonwealth Community Bank, Heber City in Utah, White & Case und Ooredoo Myanmar, das ein Aggregator unter Technologie und der andere unter Werbung & Marketing führt. Bei N0n findet sich die Andrews Advisory Group, eine Finanzberatungs- und Restrukturierungsfirma aus Chicago, deren Eintrag 3.698 Patientendatensätze beschreibt. Der Atlas-Tracker stufte Qilins US-Serie um 22:58 als abkühlend und um 23:50 als eskalierend ein; über sieben Tage zählt der Tempo-Tracker 192 Ansprüche von 41 der 267 beobachteten Gruppen, wobei lamashtu bei 7 gegenüber erwarteten 1,25 und SilentRansomGroup bei 9 gegenüber 2,27 liegt.
Warum es wichtig istDas Volumen ist real, die Etiketten sind es nicht. Bevor eine Branchenschlussfolgerung in ein Briefing gelangt, sollten Opfernamen mit den eigenen Lieferanten abgeglichen werden; die Trendpfeile können ignoriert werden.
KI-Agenten werden weiter mit einem „Ja“-Knopf ausgeliefert, den jeder drücken kann
Forscher fanden im Downloads-Ordner eines Kunden eine bösartige Anweisungsdatei AGENTS.md, die einen KI-Coding-Agenten dazu brachte, ein manipuliertes npm-Paket zu installieren. Die CVEs derselben Woche fanden dieselbe Gewohnheit anderswo. PraisonAI vor 4.6.59 genehmigt einen ausstehenden gefährlichen Tool-Aufruf, sobald irgendein Nicht-Bot-Nutzer im Genehmigungskanal etwas als Zustimmung Klassifiziertes postet, etwa „yes“; es gibt Tool-Argumente ungeschützt in seinem Genehmigungs-Dashboard aus und lässt den Streaming-Recipe-Pfad die Richtlinie für gefährliche Tools umgehen. Aider bis 0.86.2 lädt eine eingecheckte .aider.conf.yml ohne Vertrauensabfrage automatisch und führt deren Befehle mit shell=True aus, AgenticSeek hat den Flask-Debug-Modus fest auf allen Schnittstellen aktiviert, und der Dev-Server von Googles ADK für Java verzichtete vor 1.13.0 auf WebSocket-Origin-Prüfungen. Unterdessen kündigt OpenAI an, seine fortschrittlichsten Modelle ohne Live-Internetzugang zu trainieren, unter einer Schlagzeile über Agenten, die VM-Ausbrüche und heimliche Kommunikation zwischen Sandboxes demonstrieren.
Warum es wichtig istKonfigurations- und Anweisungsdateien von Agenten (AGENTS.md, .aider.conf.yml) sind in Reviews und EDR-Regeln wie ausführbarer Code zu behandeln. PraisonAI, Aider und ADK patchen und jedes an 0.0.0.0 gebundene Agenten-Tooling aufspüren.
Ein im Mai eingecheckter LiteLLM-Schlüssel endete in einer bösartigen Version des Pakets
LiteLLM gab am Freitag bekannt, dass ein Master-Schlüssel der Agent Platform Ende Mai 2026 in einem öffentlichen GitHub-Repository veröffentlicht wurde, nachdem am 27. Mai eine Konfigurationsdatei eingecheckt worden war. Dieser Schlüssel habe es dem Angreifer letztlich ermöglicht, GitHub-Tokens zu stehlen, die Release-Pipeline zu kapern und eine bösartige Version des beliebten Python-Pakets auszuliefern.
Warum es wichtig istWer LiteLLM im betroffenen Zeitraum bezogen hat, sollte die installierten Versionen mit dem Advisory des Projekts abgleichen. Anschließend ist zu prüfen, ob die eigenen CI-Tokens eine einzige durchgesickerte Konfigurationsdatei überstehen würden.
Tailscale SSH kann aus einem übernommenen Gerät Root anderswo machen, noch kein Patch; ASUS-Router geben Root im Werkszustand
Ein Forscher hat Schwachstellen in Tailscale SSH veröffentlicht, mit denen ein einziges kompromittiertes Gerät in einem Tailnet Root-Rechte auf anderen Servern erlangen kann, die es ohnehin erreicht. Der Angriff setzt voraus, dass Tailscale SSH so konfiguriert ist, dass es Port-Forwarding erlaubt, und dass ein Angreifer bereits ein Gerät kontrolliert. Tailscale kündigt einen Fix an. Getrennt davon hat ASUS CVE-2026-75775 offengelegt, eine Root-Command-Injection auf Routern im Werkszustand; CVE-2026-75779, CSRF in Verbindung mit Root-Befehlsausführung über einen angemeldeten Administrator; und CVE-2026-93489, bei der ein nicht authentifizierter Nutzer in der Nähe ein Zugriffsticket fälschen und Administratoraktionen ausführen kann.
Warum es wichtig istBis Tailscale den Fix liefert, sollten ACLs auf Berechtigungen für SSH-Port-Forwarding geprüft und alle entfernt werden, die niemand begründen kann. ASUS-Geräte niemals im Standardzustand in einem Netz belassen.
Falcon, Emperador und WhiteArmor veröffentlichen Behauptungen über große Namen mit verdächtig exakten Zahlen
Falcon behauptet, 738 GB von Astrana Health (470 GB komprimiert) erbeutet zu haben, darunter regulatorische Prüfberichte und Erstattungstabellen, sowie 82 GB von der Massenschadensersatz-Kanzlei Weitz & Luxenberg, darunter vertrauliche Anwalt-Mandanten-Kommunikation; die beiden Beiträge erschienen innerhalb einer Stunde. Emperador nimmt AB InBev für sich in Anspruch und listet 329.244 Social-Listening-Alarme und 2.510 Unternehmens-E-Mails auf. WhiteArmor beansprucht den GCRM-Dokumentenspeicher von Hisense und eine LoveSac-Datenbank mit 1.113.285 Bestelldatensätzen und wirft J.B Hunt vor, Kunden stillschweigend per E-Mail zum Passwortwechsel aufgefordert zu haben, statt zu verhandeln. Anschließend gab die Gruppe bekannt, ihr VPS-Anbieter habe ihr Konto gesperrt, wodurch whitearmor.cc und der Großteil der veröffentlichten Daten offline gingen; man werde in ein bis zwei Tagen zurück sein. Nichts davon ist bestätigt.
Warum es wichtig istDiese Behauptungen sind darauf angelegt, die Opfer unter Druck zu setzen, nicht Sie zu informieren. Prüfen Sie die Abhängigkeit von Dritten zu den genannten Firmen und warten Sie auf eine Stellungnahme des Opfers oder eine überprüfbare Stichprobe, bevor Sie jemanden briefen.
Das Bootkit BlackX nutzt die alte Baton-Drop-Lücke, um Secure Boot zu umgehen
Ein neues UEFI-Bootkit namens BlackX, das Anfang 2026 in einer Spionagekampagne eingesetzt wurde, nutzte die alte Baton-Drop-Schwachstelle, um Secure Boot zu umgehen und einen bösartigen Treiber zu laden. Der Treiber soll Sicherheitsprodukte von Kaspersky und Avast stören. Der Bericht erschien wortgleich in zwei Medien und zählt daher als eine Quelle, nicht als zwei.
Warum es wichtig istAlte Schwachstellen in der Boot-Kette bleiben für Angreifer nützlich, bis die verwundbaren Komponenten auf Ihrer Flotte tatsächlich widerrufen sind. Prüfen Sie den Widerrufsstatus von Secure Boot. Verlassen Sie sich nicht darauf, dass das grüne Häkchen Aktualität bedeutet.
Sicherheitsfirma spielt mehr als 2 Millionen Updates auf fremde Rechner, um den Updater von Popcorn Time abzuschalten
Zwischen November 2025 und März 2026 spielte die niederländische Firma Eye Security mehr als 2 Millionen Updates auf Rechner auf, die ihr nicht gehörten. Die Updates schalteten einen Hintergrund-Updater der aufgegebenen Popcorn-Time-App ab, der laut Eye Security einem Außenstehenden die Übernahme des Rechners hätte ermöglichen können. Ein weiterer Bericht beschreibt die aufgegebene App als Ursache dafür, dass Millionen von Geräten RCE ausgesetzt waren.
Warum es wichtig istAufgegebene Software behält ihren Update-Kanal, und wer diesen Kanal kontrolliert, kontrolliert den Endpunkt. Erfassen Sie Updater, für die niemand zuständig ist, und entfernen Sie sie.
Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.
Unter den Feeds: Der Sonntagsausschlag auf den Leak-Seiten ist echtes Volumen, verpackt in Aggregator-Echo, und das solideste Signal für Verteidiger ist das CLININET-Paket, nicht die Trendpfeile.
Exception 01
Qilins Schub ist real, aber die Atlas-Eskalationslabels beruhen auf denselben Zählungen
Qilin hatte am 25. Oktober 31 Einträge gegenüber einem Median von 7, über vier Quellen. Die Atlas-Eskalationsmeldungen scheinen aus denselben Leak-Seiten-Zählungen berechnet zu sein und sind daher keine unabhängige Bestätigung; zudem widersprechen sich die Aggregatoren bei den Branchenlabels (Ooredoo Myanmar wird von einem als Werbung & Marketing, vom anderen als Technologie geführt).
Konfidenz0.70
Wrong if
Atlas-Meldungen zu Qilin, die sich auf mehr als Leak-Seiten-Einträge stützen, oder ein Einbruch von Qilins Volumen, während Atlas weiter „eskalierend“ sagt.
Watch
Qilins Tageszahlen vom 26. und 27. Oktober und ob Atlas auf „abkühlend“ umschaltet.
N0n hat 31 Einträge am 25. Oktober gegenüber einem Median von 5. Die Opferbeschreibungen wirken schablonenhaft: Eine Finanzberatungsfirma wird mit Patientendatensätzen aufgeführt. Die Atlas-Ländermarkierungen (TN, BR, KR, EG) haben hier keine passenden Opfer. Ob tatsächlich Daten entwendet wurden, ist unbestätigt.
Konfidenz0.55Speculative
Wrong if
Opfer, die Einbrüche bestätigen, oder veröffentlichte Stichproben, die zu den genannten Datensatzzahlen passen.
Watch
Stellungnahmen von Opfern in dieser Woche und ob N0n weiterhin in Schüben postet.
Exception 03
CGM CLININET ist eine koordinierte Veröffentlichung, keine Kampagne
Die CLININET-CVEs tragen IDs von 2025, wurden aber alle am 23. Oktober 2026 veröffentlicht, was auf eine lange reservierte koordinierte Offenlegung hindeutet. Für mehrere ist kein Fix angegeben, und das Material zeigt weder Ausnutzung noch einen Ransomware-Bezug.
Konfidenz0.75
Wrong if
Ein Herstellerhinweis mit korrigierten Versionen für jede CVE, oder CVEs, die zurückgewiesen oder zusammengeführt werden.
Watch
Patch-Hinweise des Herstellers sowie jeder KEV-Eintrag oder öffentliche PoC in den nächsten zwei Wochen.
NVD und der Akteur Krybit enden beide am selben Zeitstempel im Fenster (25. Oktober, 00:21). Das sieht nach einer Grenze der Datenaufnahme aus, nicht nach echter Stille; in keines der beiden Verstummen sollte man etwas hineinlesen.
Konfidenz0.60Speculative
Wrong if
NVD-Einträge mit Datum nach diesem Zeitstempel, die in späteren Fenstern auftauchen, oder ein erneuter Beitrag von Krybit.
Watch
Ob das NVD-Volumen und Krybit im nächsten Fenster beide wieder auftauchen.
Die „Lead-Lag“-Verknüpfungen von Falcon und Payload sind Namenskollisionen
Die Verknüpfungen, die NVD mit den Leak-Seiten Falcon und Payload verbinden, beruhen auf generischen Wörtern: einer Linux-Kernel-CVE, die den SEC2 falcon erwähnt, und einer Part-DB-CVE zu einem JavaScript-Payload. Sie sind mit ziemlicher Sicherheit unecht. Die eigentliche Meldung ist, dass Falcon innerhalb einer Stunde zwei große US-Datensätze veröffentlichte.
Konfidenz0.70
Wrong if
Eine NVD-CVE, die tatsächlich das Tooling des Akteurs betrifft.
Watch
Als Bedrohungsverknüpfung ignorieren, solange Opferbeiträge diese Produkte nicht erwähnen.
Agenten-Tooling versagt weiter beim Genehmigungsschritt
Dieselbe Fehlerklasse tritt in voneinander unabhängigen Quellen wiederholt auf (PraisonAI, Aider, AgenticSeek, die AGENTS.md-Übernahme, der durchgesickerte Schlüssel von LiteLLM): umgangene Genehmigungen und unsichere Standardeinstellungen in Agenten-Tooling. Es ist ein Muster in den Feeds, kein Beleg für eine einzelne Kampagne.
Konfidenz0.50Speculative
Wrong if
Der Nachweis, dass es sich um Einzelfälle ohne gemeinsame Ursachenklasse handelt.
Watch
Neue CVEs in Agenten-Frameworks und Vorfälle in Paket-Registries in dieser Woche.
Nothing to seeKeine zeitlichen Cluster. Die Schübe bei WordPress-Plugins, die CVEs der JOSE-Bibliothek gose und die gebündelten Linux-Kernel-CVEs sind Stapelveröffentlichungen der CNAs, keine Koordination. Die Behauptung zu Storm-0940/Artex stützt sich auf ein satirisch anmutendes Mastodon-Konto und ist unbestätigt, daher bleibt sie aus den Nachrichtenseiten heraus. Die „Geschichten“ zu Erdbeben und Ausbrüchen in Atlas sind von geringer Verlässlichkeit und haben keine stützenden Beiträge.
Deep read: 364 Artikel gelesen
§4
Prognose
Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.
Today’s calls
DueCallConfidence
DueMon 2 Nov7d
Tailscale veröffentlicht bis zum 2. November 2026 einen Fix oder ein Advisory zu den Rechteausweitungslücken beim Port-Forwarding in Tailscale SSH.
Wrong ifBis zum 2. November 2026 erscheint in den Feeds kein Tailscale-Fix und kein Advisory zu diesen Lücken.
Der ausstehende Beitrag von Majinahanashi zur Jons Civil Engineering Company Ltd. (JCEL) wechselt bis Ende des 29. Oktober 2026 von PENDING zu veröffentlicht, entsprechend dem angekündigten Termin am 28. Oktober.
Wrong ifDer JCEL-Eintrag ist am 29. Oktober 2026 weiterhin ausstehend oder wurde entfernt.
f-2026-10-26-2
Confidence0.55
DueMon 9 Nov14d
Keine der am 23. Oktober veröffentlichten CGM-CLININET-CVEs wird bis zum 9. November 2026 in das CISA KEV aufgenommen.
Wrong ifEin CLININET-Eintrag der Form CVE-2025-300xx erscheint am oder vor dem 9. November 2026 im KEV.
At least one new ransomware.live listing from The Gentlemen, Qilin or N0n between 25 and 31 October will be followed by a matching Atlas story 5 to 15 hours later.
Called Sun 25 Oct · due Sat 31 Oct
Qilin claimed ECOM (CH) on ransomware.live at 10:35 on 25 Oct. A matching Qilin Retail & E-Commerce CH story appeared at 17:50, about 7 hours later. Hossner-Textil (DE) at 17:17 was followed by a Qilin Manufacturing/DE story at 23:50, about 6.5 hours later.
Die Person, deren Genehmigung ein KI-Agent braucht, bevor er etwas Gefährliches tut. In mindestens einer Implementierung ist das jeder im Discord-Kanal, der „yes“ tippt.
§5
Von unserem Rand
Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.
Unsere eigenen Server hatten den üblichen unglamourösen Tag. In den letzten 24 Stunden erfasste der Adversary-DNA-Sensor an unserem Edge 139 feindliche Quellen (63 Forscher, 37 Bot-Crawler, 33 Scanner und 4 gezielte Operatoren), die zusammen 4.435 Anfragen schickten. 96 gingen über die Aufklärung hinaus und waren Ausnutzungsversuche, und 14 Adressgruppen teilten einen Verhaltensfingerabdruck. Die größte Gruppe umfasste 54 IPs mit derselben DNA, die /threat-check/-Pfade abtasteten, benannt nach RCEs in D-Link und TerraMaster: ein Werkzeug oder ein Operator, der Adressen rotiert. Den höchsten Feindseligkeitswert, 7,7 von 10, erhielt ein gezielter Operator, der unter /login/ nach WordPress wlwmanifest.xml und xmlrpc.php suchte, als könnte sich WordPress hinter einer Tür mit der Aufschrift „login“ verstecken; seine Kill Chain reichte bis zum Zugriff auf Zugangsdaten. Ein weiterer Operator fragte mit 98 Anfragen pro Minute nach /MyAdmin/, /sql/phpmyadmin4/ und /phpMyAdmin6/, ein Scanner feuerte 30 Anfragen in rund 3,4 Sekunden ab, und drei Adressen sprühten weiterhin CVE-2024-4577 auf /index.php. Niemand trug die Kapuze.
139erfasste feindliche Quellen
4.435Anfragen von ihnen
96bis zur Ausnutzung gelangt
14Cluster mit gleicher DNA
7,7/10höchste Feindseligkeit
8.101Adressen an unserem Edge
2.307heute erstmals gesehen
116Länder
Die WTF-Liste
WTF #1
Der entschlossenste Besucher
143.244.57.90, ein gezielter Operator (Feindseligkeit 7,7/10), schickte 20 Anfragen an eine unserer Seiten und suchte nach /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Warum es seltsam istHöchste Feindseligkeit auf der Tafel; seine Kill Chain erreichte credential-access.
47.79.11.64, ein Forscher (Feindseligkeit 0,8/10), schickte 10 Anfragen an eine unserer Seiten und suchte nach /threat-check/D-Link%20Multiple%20Routers%20Remote%20Code%20Execution%, /threat-check/TerraMaster%20OS%20Remote%20Command%20Execution%20Vulner.
Warum es seltsam ist54 IPs teilen einen Verhaltensfingerabdruck (DNA b77200c2c27d): ein Werkzeug oder ein Operator, der Adressen rotiert: 47.82.52.73, 47.82.55.226, 47.82.54.213, 47.82.50.72, 47.82.55.72 und weitere.
attribution: unbekanntSun 25 Oct, 08:00 UTC
Detail
Kill Chain: reconnaissance → exploitation · DNA b77200c2c27d
WTF #3
CVE-2024-4577 gegen uns
3 Adressen schickten 14 Anfragen in der Form einer CVE-2024-4577-Ausnutzung (/index.php), darunter 94.154.43.199, 185.177.72.7, 2a0f:ca80:b00b:8b48::5.
Warum es seltsam istEin bekannter, benannter Exploit wird weiterhin ins Internet gesprüht; unser Edge sah ihn heute, was auch immer die Patch-Hinweise über das Jahr sagen.
attribution: unbekannt
Detail
Probe-Familie: webshell
WTF #4
Die seltsamste Einkaufsliste
121.169.40.145, ein gezielter Operator (Feindseligkeit 6,4/10), schickte 128 Anfragen mit 98 pro Minute und suchte nach /MyAdmin/index.php, /sql/phpmyadmin4/index.php, /mysql/mysqlmanager/index.php, /phpMyAdmin6/index.php.
Warum es seltsam istFragte nach Dateien, nach denen fast niemand sonst fragt: /MyAdmin/index.php, /sql/phpmyadmin4/index.php, /mysql/mysqlmanager/index.php, /phpMyAdmin6/index.php, /sql/webadmin/index.php.
attribution: unbekanntMon 26 Oct, 00:00 UTC
Detail
Kill Chain: reconnaissance → weaponization → exploitation · DNA 6e70267a94d8
WTF #5
In Eile
81.171.72.93, ein Scanner (Feindseligkeit 4,7/10), schickte 30 Anfragen an eine unserer Seiten und suchte nach /dump.sql, /config.php, /wp-admin/setup-config.php, /config.xml.
Warum es seltsam istFeuerte 30 Anfragen in etwa 3,4 Sekunden ab.
attribution: unbekanntSun 25 Oct, 08:00 UTC
Detail
Kill Chain: reconnaissance → weaponization · DNA ce6ecdfacbe3
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
192claims, 7 days
41of 267 groups active
N0n36 this week
qilin25 this week
SilentRansomGroup9 this week · surging
Surginglamashtu — 7 claims in 7 days against 1.2 expected from its own prior rate (p < 0.001)
SurgingSilentRansomGroup — 9 claims in 7 days against 2.3 expected from its own prior rate (p < 0.001)
SurgingBrainCipher — 8 claims in 7 days against 1.9 expected from its own prior rate (p < 0.001)
SurgingBooba Project — 6 claims in 7 days against 2.0 expected from its own prior rate (p = 0.018)
Surgingbravox — 3 claims in 7 days against 0.8 expected from its own prior rate (p = 0.049)
Backnitrogen — first claim after 138 days of silence; 0 this week
UpTransportation — 2.2× its own prior share (69 claims, 32 expected)
UpEducation — 1.8× its own prior share (47 claims, 26 expected)
UpHealthcare — 1.4× its own prior share (112 claims, 80 expected)
22% of claims carry no sector label.
Brand churn
Of the 229 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 19% of the 209 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 9 — newest: Whitearmor (2026-10-23, 5 claims), Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 35% of its claims on Germany (7.0× every other brand's share); N0n put 34% of its claims on Transportation (7.8× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: nightspire across 10.4 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 92% of its claims on Wednesdays, half of them in 12:00–15:59 UTC; safepay released 63% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 194 claims at weekends and half its claims in 12:00–13:59 UTC; half of Deadlock's claims appeared in 12:00–13:59 UTC. Leak sites overall are 37% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§8
Kolophon
Wie diese Ausgabe entstanden ist – unverblümt.
Ausgabe 29 wurde von Maschinen erstellt und per Code geprüft. Jeder Beitrag, den 10 öffentliche Threat-Feeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlicht haben (364 Beiträge), wurde vollständig gelesen: Statistiken im Code berechnet, jeder Ausschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus synthetisiert. Anschließend hat Claude Opus die Zeitung redigiert. Jede Geschichte nennt die Beiträge, auf denen sie beruht; Geschichten, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung verworfen (heute 0). Prognosen werden in späteren Ausgaben öffentlich bewertet. „From our edge“ sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: 0,00 $. Sie wird maschinell im Stil von ScottG verfasst, Autor von Everything Is Probably Fine, und niemand hat sie von Hand redigiert, was entweder der Sinn der Sache oder das Problem ist.
364items read
24hour window
$0.00cost of this edition
05:05 UTCgenerated
Quellen von heute Morgen
NVD100ok
Signal Atlas83ok
RansomLook53ok
atlas49ok
infosec.exchange37ok
ransomware.live21ok
Security news13ok
signal:ioc-family5ok
RSS2ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 364|SOURCES: 10|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.00|STATUS: WAHRSCHEINLICH IN ORDNUNG, MIT STERNCHEN
OWNER: die Maschine|EDITOR: die Regeln|CALLS OPEN: 3|NEXT REVIEW: morgen 06:00 UK