Ein täglicher Feldbericht über Dinge, die wahrscheinlich in Ordnung sind
No. 30·Dienstag 27 Oktober 2026·Erscheint 06:00 UK·Fine-Anzeige 3/5: Nicht in Ordnung, aber überlebbar
Aufmacher · Schwachstellen
PHP steht gleich zweimal im KEV, und die Shells waren da, bevor die Warnung kam
Die CISA hat am 26. Oktober zwei Remote-Code-Execution-Lücken ohne Authentifizierung in PHP selbst aufgenommen; bereits am 24. wurden auf Honeypots funktionierende Shells beobachtet, und Siemens, Schneider Electric und ABB haben begonnen, ihre eigenen Bestände zu prüfen.
Konfidenz0.85
CVE-2026-109618 ist ein Speicherfehler. CVE-2026-109619 ist ein Fehler im internen Anfragezustand, der veraltete Daten stehen lässt. Die CISA beschreibt beide im gleichen nüchternen Ton, den sie für alles verwendet: enthält eine Schwachstelle, die eine nicht authentifizierte Remote-Code-Ausführung ermöglicht. Ihre EPSS-Werte liegen bei 0,99981 und 0,99997, was das Bewertungssystem auf seine Weise mit einem Achselzucken ausdrückt: ja, selbstverständlich, alle, bald. Zusammen werden sie PHP2Shell genannt, und SecurityWeek berichtet, dass Angreifer am 24. Oktober von Sondierungen zu funktionierenden Shells gegen Honeypots übergingen: fünfunddreißig Shells, zwei IP-Adressen, ein Samstag.
Der zeitliche Ablauf ist der Teil, den man sich merken sollte. Ausnutzung am 24., KEV am 26., und ein OTX-Pulse vom 26., der einen koreanischsprachigen Akteur beschreibt, verfolgt als Minjun-Kampagne vom Juni 2026 und mit mittlerer Sicherheit der Lazarus Group zugeordnet, der die gezielte Ausnutzung der beiden Lücken aktiv plane. Plane. Eines dieser Dokumente hinkt hinterher, und es ist nicht der Honeypot. »Plant« ist ein Verb, das letzte Woche zutraf.
Dann der Umfang. Dies ist kein Plugin, sondern der Interpreter unter einem enormen Teil des Webs, darunter WordPress, das an einem beliebigen Tag grob die Hälfte des CVE-Stroms in diesen Feeds liefert. Siemens, Schneider Electric und ABB haben bestätigt, dass einige ihrer Produkte betroffen sind – der Satz, der aus einem Web-Fehler über Monate hinweg ein OT-Problem macht. PHP patcht man nicht an einem Dienstagnachmittag in einem Umspannwerk.
Warum es wichtig istWer irgendwo PHP mit Internetzugang betreibt – und das tun Sie, Sie haben es nur noch nicht zu Ende gefunden –, für den ist das die Arbeit von heute Nacht, nicht des nächsten Quartals.
Der Fehler mit den drei Marketingnamen hat einen Patch und keine Opfer; der Fehler mit dem langweiligen Namen hat fünfunddreißig Shells und eine Frist.
— Sturgeon's Revelations · Probably Fine Daily No. 30
Jeden Morgen06:00 UK
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§2
Schlagzeilen
Der Rest der letzten 24 Stunden – mit Belegen.
Schwachstellen
Der Brotli-Fehler hat drei Namen, vier Notfall-Patches und niemanden, der ihn ausnutzt
CVE-2026-111497 ist ein Heap-Überlauf im Brotli-Dekoder bis einschließlich Version 1.2.0, bei dem ein fehlerhafter komprimierter Datenstrom einen internen Acht-Byte-Puffer überlaufen lässt; je nachdem, wer zuerst meldete, heißt er HTTP2Shell, Node2Shell oder Broccoli2Shell. Microsoft lieferte Notfall-Updates für .NET aus; PHP baute seine offiziellen Windows-Pakete für 8.2 bis 8.5 neu, das zweite Windows-Sicherheitsupdate binnen fünf Tagen, und wies darauf hin, dass die Lücke über die cURL-Erweiterung erreichbar ist; Berichten zufolge zählen Node.js, .NET, PowerShell, Python-Pakete, Envoy und Istio zu den Betroffenen. Der Proof of Concept ist öffentlich, und eine Ausnutzung in freier Wildbahn wurde nicht gemeldet, weshalb CyberScoop einen Beitrag darüber brachte, wie Experten die Alarmstufe Notfall relativieren. Behoben in Brotli 1.2.1 und Node 26.12.1.
Warum es wichtig istIm normalen Zyklus patchen, aber nicht auf Kosten des Abends, den Sie den beiden PHP-KEV-Einträgen schulden, die tatsächlich ausgenutzt werden.
Qilin veröffentlichte in hundert Minuten rund zwanzig Opfer, und die Korrelations-Engine veröffentlichte sechsundsiebzig Meldungen darüber
Zwischen 11:33 und 13:13 Uhr am 26. Oktober nahm Qilins Leak-Seite Bau, Schulen, Stahl, Laminate, Rheumatologie, Süßwaren und zwei Energieunternehmen auf – darunter die Natural Energy Laboratory of Hawaii Authority und die Delta Electric Power Association. Unser Tempo-Feed sieht Qilin bei 42 Meldungen in sieben Tagen gegenüber 25 erwarteten nach der eigenen früheren Rate, innerhalb einer Woche mit 199 Meldungen von 38 der 267 beobachteten Gruppen; auch lamashtu (7 gegenüber 1,25 erwarteten) und BrainCipher (8 gegenüber 1,86) legen stark zu. Eine Warnung für alle, die gleich einen Screenshot des Dashboards machen wollen: Atlas führt für den Tag 76 Qilin-Einträge gegenüber einem Median von null an anderen Tagen, und die meisten davon sind dieselben Opfer, die in Länder-, Branchen- und geschwindigkeitsgewichteten Branchenläufen neu bewertet wurden, keine neuen Ereignisse.
Warum es wichtig istDer Schub ist real, und die Gefährdung des Energiesektors ist real; die Sechsundsiebzig sind ein Artefakt davon, dass dasselbe in vier Koordinatensystemen gezählt wurde.
Ein Krankenhaussystem in New Mexico leitet Patienten um; eine Gruppe namens BYOD sagt, sie habe 36.000 seiner Rechner
Das University of New Mexico Health System forderte die Menschen nach einem Cybersicherheitsvorfall auf, nicht zum Hauptkrankenhaus in Albuquerque zu kommen, und sagte Termine in mehr als 30 Kliniken ab. Unabhängig davon beanspruchte am selben Tag ein Akteur, der als BYOD auftritt, die University of New Mexico für sich und listete 36.000 kompromittierte Rechner, beide Active-Directory-Forests für Hauptcampus und Krankenhausbereich, GPOs, zwei Oracle-Datenbanken sowie personenbezogene Daten von Studierenden und Beschäftigten einschließlich Sozialversicherungsnummern. Keine der beiden Meldungen nennt die andere: Der Ausfallbericht nennt keine Ursache, und der Leak-Seiten-Beitrag verweist nicht auf die Klinikschließungen. Man sollte sie als zwei Tatsachen behandeln, die ein Datum und eine Organisation teilen, bis jemand etwas anderes sagt.
Warum es wichtig istSollte die Behauptung zu beiden Forests irgendwo zutreffen, ist die Identität das Wiederherstellungsprojekt und alles andere Terminplanung.
Whitearmor ist verärgert, dass seine Opfer weiterhin erwachsen reagieren
Whitearmor beanspruchte J.B. Hunt für sich und beklagte sich öffentlich und ausführlich, dass das Unternehmen, statt Verhandlungen aufzunehmen, Kunden still per E-Mail aufgefordert habe, ihre Passwörter zu ändern. Zudem reklamierte die Gruppe LoveSac für sich – einen Einzelhändler, den sie als Betreiber von mehr als 250 Showrooms mit rund 700 Millionen Dollar Jahresumsatz beschreibt – mit einer Datenbank von 1.113.285 Bestelldatensätzen, sowie Gamdom, ein nicht reguliertes Krypto-Casino, dessen Gründer Felix Romer Verluste von über 3 Millionen Dollar durch einen Hot-Wallet-Einbruch meldete, während On-Chain-Analysten sie näher bei 4,2 Millionen Dollar sehen. In keinem der drei Fälle ist von Verschlüsselung die Rede; es ist Datendiebstahl mit einer Beschwerde obendrauf. Atlas markiert den US-Lauf als eskalierend mit 0,78.
Warum es wichtig istIhr Erpressungs-Playbook braucht einen Zweig für den Fall, dass es nichts zu entschlüsseln gibt und der einzige Hebel Ihr Offenlegungszeitplan ist.
Konfidenz0.65
Malware & IOCs
Drei getrennte Kampagnen, ein Ziel: die Zugangsdaten, die Ihre Build-Pipeline in einer Schublade aufbewahrt
Gheist läuft seit dem 15. September: eine automatisierte Kampagne, die gestohlene GitHub-Tokens nutzt, um in jedes zugängliche Repository einen Workflow namens sync-check einzuchecken, die Secrets des Repositorys in seine Actions-Logs zu drucken, sie herunterzuladen und die Läufe zu löschen – erfolgreich in privaten Repositorys und GitHub-Enterprise-Umgebungen. LiteLLM 1.107.0 wurde am 21. Oktober kompromittiert und über PyPI und offizielle Container-Images verbreitet, wobei Python-Startmechanismen den Diebstahl von Zugangsdaten ausführten. Und Forscher fanden 42 scharfe GitHub-Repositorys bei 11 legitimen Eigentümern, die mit der npm-Operation testmetest in Verbindung stehen und sich hinter der Tarnung nativer Addons verbergen. Die Meldung zu Gheist brauchte etwa dreieinhalb Stunden bis OTX, die Indikatoren sind also in Bewegung.
Warum es wichtig istSuchen Sie nach einem Workflow namens sync-check, rotieren Sie alles, was ein Build-Job je gelesen hat, und behandeln Sie CI-Logs als Exfiltrationskanal statt als Tagebuch.
Eine Datei im Downloads-Ordner erteilte einem Coding-Agenten Befehle, und der Agent befolgte sie
Forever Security berichtete, auf dem Rechner eines echten Kunden eine bösartige Anweisungsdatei im Downloads-Ordner eines Entwicklers abgefangen zu haben, die dessen KI-Coding-Agenten dazu bringen sollte, ein bekanntermaßen bösartiges npm-Paket zu installieren; Dark Reading beschreibt das als Prompt Injection, die ausnutzt, wie Assistenten lokale Anweisungsdateien verarbeiten, und die Grenze zwischen einem Textdokument und einer ausführbaren Handlung verwischt. Das geschieht im selben Zeitraum wie ein Leitfaden von NIST, CISA und NSA, der außer Kontrolle geratene Agenten als Vorfälle behandelt, die geübt werden sollten; die schwierige Frage lautet, welche Autorität der Agent nutzte – eine Antwort, die existieren muss, bevor der Vorfall es tut. Unterdessen nannte die südkoreanische Polizei sieben Verdächtige, darunter einen ehemaligen Pentester, in einer Operation, die mehr als 90 Organisationen kompromittierte und 8,2 Millionen Datensätze erbeutete, wobei in den meisten Angriffen das KI-Pentesting-Framework ARTEX zum Einsatz kam.
Warum es wichtig istWenn ein Agent eine Zugangsberechtigung hält, braucht diese schon heute einen Eigentümer, ein Protokoll und einen Widerrufsweg, denn das Markdown, das er liest, ist inzwischen nicht vertrauenswürdige Eingabe.
Der Erstzugang dieser Woche ist eine Teams-Nachricht und ein wiedergespieltes Token, und keines von beiden braucht die Erlaubnis Ihrer Firewall
Forscher beschreiben ein wiederkehrendes Social-Engineering-Muster über Hunderte von Fällen hinweg, bei dem Angreifer die standardmäßige Erstellung externer Chats in Microsoft Teams nutzen, um sich als IT-Support auszugeben und Malware sowie Ransomware auszuliefern; eine parallele Analyse von mehr als 400 Vorfällen kommt zum gleichen Schluss über externen Chat als Weg des Erstzugangs. Unabhängig davon legte Huntress eine Microsoft-365-Kampagne offen, die ein Adversary-in-the-Middle-Relay nutzt, um Anmeldesitzungen abzugreifen und die gestohlenen Tokens wiederzuverwenden, und die 97 Konten bei 79 Organisationen kompromittierte. Keine der beiden Techniken beinhaltet eine CVE, eine Nutzlast auf der Festplatte oder irgendetwas, was Ihr Patch-Fenster behoben hätte.
Warum es wichtig istBeschränken Sie den externen Teams-Chat auf eine Allowlist und beginnen Sie, bei der Wiederverwendung von Tokens aus neuen Geräte- und Netzwerkkombinationen zu alarmieren, denn MFA war nie das Ziel.
Ein Mann streamt PHP 8.4.26 live, bis es geknackt wird – heute weniger ein Experiment als ein Wetterbericht
Heute Morgen auf Mastodon: ein Honeypot-Dashboard, live auf Twitch, mit PHP 8.4.26, bis es geknackt wird – veröffentlicht Stunden, nachdem die CISA zwei nicht authentifizierte PHP-RCEs ins KEV aufgenommen hatte. Anderswo in der Spalte des Seltsamen: Doommageddon beanspruchte Referans Lab mit 3,07 GB in zwei Dateien, Status geleakt, Frist 2026-10-26T00:00:00Z, veröffentlicht um 09:22 Uhr am selben Tag – ein Countdown, der schon abgelaufen war, bevor ihn jemand lesen konnte. Und zwei Hersteller patchten einen Zertifikatsvorfall, den niemand benannt hat: BigFix lieferte einen Fix, weil Mozilla-CA-Bundles mit Datum vor dem 20.10.2026 Zertifikaten noch vertrauen, deren private Schlüssel kompromittiert wurden, während Python dem ssl-Modul eine Sperrliste bekannter kompromittierter Zertifikate hinzufügte, die unabhängig von der SSLContext-Richtlinie abgelehnt werden. Apple wiederum veröffentlichte Patches für 304 Schwachstellen.
Warum es wichtig istWenn zwei unabhängige Projekte in derselben Woche Workarounds zum Widerruf ausliefern, ist die interessante Geschichte die, die keines von beiden schon erzählen darf.
Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.
Unter den Feeds: Der Fehler mit Markennamen hat keine Opfer, der stille Fehler hat Shells, und ein Drittel des gestrigen Ransomware-Volumens ist dasselbe Ereignis mit vier Hüten.
Exception 01
Die PHP2Shell-Ausnutzung ist der Zuordnungserzählung voraus
Entweder ist der Pulse veraltet, oder er beschreibt eine spätere, getrennte Welle. Weil PHP WordPress zugrunde liegt, wird der routinemäßige Plugin-CVE-Strom zu einem kürzeren Weg zu vollständiger RCE, und Siemens, Schneider Electric und ABB haben betroffene Produkte bestätigt.
Konfidenz0.70
Wrong if
Die Shell-Telemetrie erweist sich als Scanner-Rauschen statt erfolgreicher Ausnutzung, oder der Pulse trägt ein Datum vor den Sichtungen vom 24. Oktober.
Watch
Neue PHP2Shell-IOCs, die Durchsetzung der KEV-Fristen und die erste öffentlich benannte Kompromittierung eines PHP-basierten CMS oder einer OT-Umgebung.
Qilin zeigt am 26. Oktober 76 Einträge gegenüber einem Median von null an anderen Tagen, doch die Leak-Seite zeigt rund zwanzig Opfer zwischen 11:33 und 13:13 Uhr, und der 17:00-Uhr-Cluster von 73 Einträgen ist Stapelverarbeitung, keine eigenständigen Ereignisse. Die 76 als unabhängige Aktivität zu zählen, überzeichnet den Tag.
Konfidenz0.65
Wrong if
Die eindeutigen Opfer-Beiträge entsprechen der Zahl der Atlas-Einträge eins zu eins.
Watch
Das Tempo der Qilin-Leak-Seite in den nächsten 48 Stunden.
Leak-Seiten eilen der Korrelationsschicht um fünf bis zwölf Stunden voraus
Bei Scarlettgroup, Whitearmor, Aurora, Falcon, Qilin, Payload und Dragonforce führt ransomware.live die Meldung zuerst, und Atlas folgt zwischen 4,8 und 12,4 Stunden später. N0n ist die Ausnahme und erscheint 1,6 Stunden früher in Atlas. Die Atlas-Kennzeichnung »eskalierend« ist daher eine nachlaufende Bestätigung, keine Frühwarnung.
Konfidenz0.60
Wrong if
Die Verzögerungen verschwinden, sobald Stapel-Zeitstempel von Ereignis-Zeitstempeln getrennt werden.
Watch
Ob sich die N0n-Reihenfolge wiederholt, was auf einen anderen Erfassungsweg hindeuten würde.
Vier Akteure, ein Sektor, eine OT-sensible Meldung
Dragonforce (Inside Passage Electric Cooperative), Qilin (Delta Electric Power Association, Natural Energy Laboratory of Hawaii Authority), Rhysida (MISC Group) und N0n (Ingelectus) beanspruchten innerhalb eines Tages allesamt Opfer aus Energie oder Versorgung. N0ns Beitrag listet Live-Telemetrie elektrischer Anlagen aus dem Leitnetz eines Kraftwerks, aufgezeichnet am 23. Oktober, und ein Inventar von 49 Netzwerkgeräten einschließlich Umspannwerk-Schaltanlagen. Opportunistische Überschneidung ist die wahrscheinlichere Erklärung, doch das OT-Detail erhöht das nachgelagerte Risiko.
Konfidenz0.45Speculative
Wrong if
Die Opfer stehen in keinem Zusammenhang, und frühere Wochen zeigen eine vergleichbare Basislinie an Energiemeldungen.
Watch
Ob N0n Muster veröffentlicht und ob ein ICS-Advisory die betroffenen Versorger nennt.
Der NVD-Feed bricht nach 00:22 Uhr am 26. Oktober schlagartig ab
Alle 100 NVD-Einträge in diesem Zeitfenster liegen vor diesem Zeitpunkt, und danach folgt nichts. Entweder pausierte die Erfassung, oder die Stille ist ein Sammelartefakt; in jedem Fall fehlt in der heutigen Lektüre jede CVE, die danach veröffentlicht wurde, auch Folgemeldungen zum PHP-Paar.
Konfidenz0.50Speculative
Wrong if
Neue NVD-Einträge erscheinen im nächsten Sammellauf mit späteren Ereignis-Zeitstempeln.
Nothing to seeDie WordPress-Plugin-Cluster (GeoDirectory, GiveWP, WPVR), die Object-Injection-Welle, die chinesischen Framework-Autorisierungsfehler, Cervantes, Travisun Opptrix und Apples 304 Patches wirken routinemäßig oder isoliert, ohne verborgene Verbindung jenseits der bereits genannten PHP-Gefährdung. Die Lazarus-Zuordnung beruht auf einem einzigen Pulse mittlerer Sicherheit, und die Atlas-Geschichten über eine »zusammengesetzte Krise« mit einer Konfidenz von 0,42 bis 0,51 sind zu schwach, um sie als etwas anderes zu deuten als das Räuspern der Engine.
Deep read: 369 Artikel gelesen
§4
Prognose
Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.
Today’s calls
DueCallConfidence
DueTue 3 Nov7 days
Die CISA wird CVE-2026-111497 (Brotli / HTTP2Shell / Node2Shell / Broccoli2Shell) nicht in den KEV-Katalog aufnehmen.
Wrong ifEin KEV-Eintrag für CVE-2026-111497 erscheint am oder vor dem 3. November.
Neue PHP2Shell-Indikatoren – Quelladressen der Ausnutzung oder Shell-Artefakte jenseits der beiden am 24. Oktober gesehenen IPs – werden in Nachrichten oder OTX-Berichten auftauchen.
Wrong ifBis zum 6. November werden keine neuen PHP2Shell-IOCs über die beiden ursprünglichen Adressen hinaus veröffentlicht.
At least three of N0n's 'Company #71'–'Company #83' placeholders appear on the leak trackers as named victims by 27 October 2026.
Called Sat 17 Oct · due Tue 27 Oct
Due today. No item shows any 'Company #71'–'#83' placeholder replaced by a named victim. The only N0n item names Ingelectus.
wrong
At least one of N0n's placeholder listings (Company #92, #93 or #94) will reappear under a real organisation name on ransomware.live or ransomlook by 27 October 2026.
Called Tue 20 Oct · due Tue 27 Oct
Due today. No item shows Company #92, #93 or #94 named on the trackers.
right
CVE-2026-109618 and/or CVE-2026-109619 (PHP2Shell) are added to the CISA KEV catalogue.
Called Thu 22 Oct · due Thu 29 Oct
CISA KEV added both PHP2Shell CVEs on 26 October, before the 29 October deadline.
Eine Namenskonvention, die anzeigt, dass ein Speichersicherheitsfehler seine Formalitäten erledigt und eine Marke zugeteilt bekommen hat. Das Suffix verbreitet sich schneller als der Patch und erheblich schneller als das Asset-Inventar, das Ihnen sagen würde, ob Sie das Ding betreiben.
§5
Von unserem Rand
Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.
Unser eigener Rand, letzte 24 Stunden: Der lokale Adversary-DNA-Sensor profilierte 90 feindliche Quellen – 50 Scanner, 25 Bot-Crawler, 9 Forscher und 4 gezielt agierende Operatoren –, die zusammen 9.994 Anfragen sandten, von denen 32 über die Aufklärung hinaus zu tatsächlichen Ausnutzungsversuchen gelangten, über 5.667 Adressen aus 114 Ländern, davon 1.627 heute erstmals gesehen. Zwei Details verdienen ihren Platz. Ein Scanner unter 34.62.25.61 (Feindseligkeit 5,5/10) sandte 116 Anfragen auf der Suche nach /.docker/.env, /.env-example und – das ist der neue Eintrag auf der Einkaufsliste – /.env.anthropic, was zeigt, dass API-Schlüssel für Modelle nun in derselben Beutetabelle stehen wie Cloud-Schlüssel; ein Verwandter unter 195.178.110.242 feuerte seine eigenen 116 Anfragen in etwa 0,3 Sekunden ab, denn Geduld ist etwas für Leute, die für Bandbreite zahlen. Die höchste Feindseligkeit auf der Liste, 7,7/10, gehörte einem Paar gezielter Operatoren unter 143.244.57.84 und .123, die jeweils zwanzigmal nach /login/wp-includes/wlwmanifest.xml und /login/xmlrpc.php fragten und in der Kill Chain den Zugriff auf Zugangsdaten erreichten; drei weitere Adressen versuchten CVE-2018-10561 gegen /gponform/diag_form, einen Exploit, der alt genug ist, um Meinungen zu haben. Sechzehn Adressgruppen teilten einen Verhaltensfingerabdruck, eine davon mit acht IPs in einem einzigen Bereich. Rohprotokolle haben den Server nie verlassen; nur die Erkenntnisse.
90profilierte feindliche Quellen
9.994Anfragen von ihnen
32bis zur Ausnutzung gelangt
16Cluster mit gemeinsamer DNA
7,7/10höchste Feindseligkeit
5.667Adressen an unserem Rand
1.627heute erstmals gesehen
114Länder
Die WTF-Liste
WTF #1
Auf der Suche nach Ihren KI-Schlüsseln
34.62.25.61, ein Scanner (Feindseligkeit 5,5/10), sandte 116 Anfragen an eine unserer Seiten und suchte nach /.docker/.env, /.env-example, /.env.anthropic, /.aws/config.
Warum es seltsam istGing direkt auf KI-Zugangsdaten los: /.env.anthropic. API-Schlüssel für Modelle stehen jetzt neben Cloud-Schlüsseln auf der Einkaufsliste der Scanner.
attribution: unbekanntTue 27 Oct, 04:00 UTC
Detail
Kill Chain: Aufklärung → Waffenbereitstellung · DNA 18e39c4b41fb
WTF #2
Der hartnäckigste Besucher
143.244.57.84, ein gezielt agierender Operator (Feindseligkeit 7,7/10), sandte 20 Anfragen an eine unserer Seiten und suchte nach /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Warum es seltsam istHöchste Feindseligkeit auf der Liste; seine Kill Chain erreichte den Zugriff auf Zugangsdaten.
attribution: unbekanntTue 27 Oct, 04:00 UTC
Detail
Kill Chain: Aufklärung → Waffenbereitstellung → Ausnutzung → Zugriff auf Zugangsdaten · DNA 82a939927b85
WTF #3
CVE-2018-10561 wird bei uns ausprobiert
3 Adressen sandten 3 Anfragen in der Form einer Ausnutzung von CVE-2018-10561 (/gponform/diag_form), darunter 110.38.8.235, 98.148.243.98, 103.152.101.118.
Warum es seltsam istEin bekannter, benannter Exploit, der noch immer ins Internet gestreut wird; unser Rand sah ihn heute, was auch immer die Patch-Hinweise über das Jahr sagen.
attribution: unbekannt
Detail
Sondierungsfamilie: gpon-router
WTF #4
Gleiche DNA, andere Adressen
47.82.8.116, ein Forscher (Feindseligkeit 1,1/10), sandte 4 Anfragen an 2 unserer Seiten und suchte nach /threat-check/Microsoft%20.NET%20Framework,%20SharePoint,%20and%20Visu.
Warum es seltsam ist8 IPs teilen einen Verhaltensfingerabdruck (DNA b77200c2c27d): ein Werkzeug oder ein Operator, der Adressen rotiert: 47.82.14.167, 47.82.49.167, 47.82.48.59, 47.82.15.96, 47.82.54.114 und weitere.
attribution: unbekanntMon 26 Oct, 16:00 UTC
Detail
Kill Chain: Aufklärung → Ausnutzung · DNA b77200c2c27d
WTF #5
Die merkwürdigste Einkaufsliste
143.244.57.123, ein gezielt agierender Operator (Feindseligkeit 7,7/10), sandte 20 Anfragen an eine unserer Seiten und suchte nach /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Warum es seltsam istFragte nach Dateien, nach denen fast sonst niemand fragt: /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml, /login/wordpress/wp-incl.
attribution: unbekanntTue 27 Oct, 04:00 UTC
Detail
Kill Chain: Aufklärung → Waffenbereitstellung → Ausnutzung → Zugriff auf Zugangsdaten · DNA 82a939927b85
WTF #6
In Eile
195.178.110.242, ein Scanner (Feindseligkeit 5,5/10), sandte 116 Anfragen an eine unserer Seiten und suchte nach /.aws/.env, /.docker/.env, /.env, /.docker/laravel/app/.env.
Warum es seltsam istFeuerte 116 Anfragen in etwa 0,3 Sekunden ab.
attribution: unbekanntTue 27 Oct, 04:00 UTC
Detail
Kill Chain: Aufklärung → Waffenbereitstellung · DNA 18e39c4b41fb
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
199claims, 7 days
38of 267 groups active
qilin42 this week · surging
N0n32 this week
emperador9 this week · surging
Surginglamashtu — 7 claims in 7 days against 1.2 expected from its own prior rate (p < 0.001)
SurgingBrainCipher — 8 claims in 7 days against 1.9 expected from its own prior rate (p < 0.001)
Surgingqilin — 42 claims in 7 days against 25.4 expected from its own prior rate (p = 0.002)
SurgingFalcon — 3 claims in 7 days against 0.4 expected from its own prior rate (p = 0.008)
Surgingpayoutsking — 3 claims in 7 days against 0.6 expected from its own prior rate (p = 0.024)
SurgingSilentRansomGroup — 6 claims in 7 days against 2.4 expected from its own prior rate (p = 0.035)
UpTransportation — 2.1× its own prior share (70 claims, 33 expected)
UpEducation — 1.8× its own prior share (48 claims, 26 expected)
UpEnergy & Utilities — 1.4× its own prior share (36 claims, 25 expected)
UpHealthcare — 1.4× its own prior share (114 claims, 82 expected)
DownProfessional Services — 0.9× its own prior share (117 claims, 137 expected)
22% of claims carry no sector label.
Brand churn
Of the 229 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 19% of the 210 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 9 — newest: Whitearmor (2026-10-23, 8 claims), Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 35% of its claims on Germany (6.7× every other brand's share); N0n put 34% of its claims on Transportation (7.7× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: nightspire across 10.4 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 92% of its claims on Wednesdays, half of them in 12:00–15:59 UTC; safepay released 63% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 194 claims at weekends and half its claims in 12:00–13:59 UTC; half of Deadlock's claims appeared in 12:00–13:59 UTC. Leak sites overall are 37% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§8
Kolophon
Wie diese Ausgabe entstanden ist – unverblümt.
Ausgabe 30 wurde von Maschinen erstellt und von Code geprüft. Jeder Beitrag, den 12 öffentliche Bedrohungs-Feeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlicht haben (369 Beiträge), wurde vollständig gelesen: Statistiken wurden im Code berechnet, jeder Ausschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus synthetisiert. Anschließend redigierte Claude Opus die Zeitung. Jede Geschichte nennt die Beiträge, auf denen sie beruht; Geschichten, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung verworfen (heute 0). Prognosen werden in späteren Ausgaben öffentlich benotet. »Von unserem Rand« sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: 0,68 $. Sie wird maschinell in der Stimme von ScottG verfasst, dem Autor von Everything Is Probably Fine, und niemand hat sie von Hand redigiert, was entweder der Sinn der Sache ist oder das Problem.
369items read
24hour window
$0.68cost of this edition
05:05 UTCgenerated
Quellen von heute Morgen
NVD100ok
Signal Atlas98ok
Security news55ok
infosec.exchange36ok
ransomware.live32ok
atlas18ok
RSS10ok
signal:ioc-family8ok
AlienVault OTX7ok
signal:kev2ok
CISA KEV2ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 369|SOURCES: 12|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.68|STATUS: NICHT IN ORDNUNG, ABER ÜBERLEBBAR
OWNER: die Maschine|EDITOR: die Regeln|CALLS OPEN: 3|NEXT REVIEW: morgen 06:00 UK