Ein täglicher Feldbericht über Dinge, die wahrscheinlich in Ordnung sind
No. 31·Mittwoch 28 Oktober 2026·Erscheint 06:00 UK·Fine-Anzeige 3/5: Nicht ganz in Ordnung
Aufmacher · Sicherheitslücken
PHP2Shell steht auf der KEV-Liste, Frist ist Donnerstag – und jede bestätigte Shell landete bislang in einem Honeypot
Die CISA spricht von aktiver Ausnutzung; der einzige veröffentlichte Erfolg sind 35 Shells von zwei Adressen gegen Rechner, die eigens zum Einbruch gebaut wurden – und genau diese Unterscheidung ist Ihr Mittwoch.
Konfidenz0.82
Zwei Use-after-free-Schwachstellen in der Verarbeitung von session.upload_progress in der PHP-Engine, CVE-2026-109618 und CVE-2026-109619, beide mit 9,2 bewertet, beide beim Verarbeiten von Multipart-Anfragen ausgelöst, gemeinsam unter dem Namen PHP2Shell vermarktet. Am Montag bestätigte die CISA die aktive Ausnutzung, nahm sie in den Katalog der Known Exploited Vulnerabilities (KEV) auf und ordnete an, dass Bundesbehörden bis Donnerstag patchen. Das ist die Schlagzeile, und die Schlagzeile stimmt.
Interessanter ist, was darunter liegt. SecurityWeek beschreibt den Schritt von Sondierungen zu funktionierenden Shells als 35 Shells, die am 24. Oktober von zwei IP-Adressen aus gegen Honeypots gestartet wurden. Wiz, das seit der öffentlichen Offenlegung am 21. Oktober beobachtet, meldet Ausnutzungsversuche, aber keine erfolgreiche Kompromittierung. Ein OTX-Pulse, 31 Stunden nach der ersten Nachrichtenmeldung, formuliert es deutlich flotter: UNC-Akteure nutzten öffentlichen Exploit-Code gegen öffentliche, wirtschaftliche und Bildungsinfrastruktur. Niemand lügt hier. Drei Personen beschreiben dieselbe Flut von drei verschiedenen Stränden aus, und nur eine von ihnen hat eine Kamera.
Was das in einem Raum bedeutet, in dem ein Patch-Fenster läuft: Der Exploit funktioniert zuverlässig mit öffentlichem Code, und das ist der einzige Teil der Frage, den Sie tatsächlich beantwortet haben müssen. Siemens, Schneider Electric und ABB haben bereits bestätigt, dass einige ihrer Produkte betroffen sind – die traditionelle Art der Industrie, Ihnen mitzuteilen, dass das Monate dauern wird. Die CISA hat Donnerstag gesetzt. Die Flut kommt Freitag, und es ist immer Freitag.
Warum es wichtig istWenn Sie PHP irgendwo betreiben, wo Fremde eine Multipart-Anfrage senden können, sind Sie heute betroffen, und die Uhr läuft auf Bundesebene.
Jedes „aktiv in freier Wildbahn ausgenutzt“ beginnt sein Leben als „irgendjemandes Honeypot hat seine Arbeit getan“; in der Distanz zwischen diesen beiden Sätzen verschwindet Ihre ganze Woche.
— Sturgeon's Revelations · Probably Fine Daily No. 31
Jeden Morgen06:00 UK
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§2
Schlagzeilen
Der Rest der letzten 24 Stunden – mit Belegen.
Sicherheitslücken
Der Fehler mit vier Namen bekommt einen fünften: CISA KEV, zusammen mit Adobe Commerce
Der KEV-Feed selbst enthielt zwei Neuzugänge mit Datum 27. Oktober: CVE-2026-48356, ein unbeschränkter Upload von Dateien gefährlichen Typs in Adobe Commerce und Magento, der zu beliebiger Codeausführung führt (EPSS 0.30582), sowie CVE-2026-111497, ein ungeprüfter Rückgabewert in Google Brotli, der es einem entfernten, nicht authentifizierten Angreifer ermöglicht, über einen präparierten komprimierten Datenstrom benachbarten Speicher des Decoder-Zustands zu beschädigen, Speicherinhalte offenzulegen, einen Denial-of-Service auszulösen oder möglicherweise Code auszuführen (EPSS 0.55483). Die Brotli-Lücke ist jene, die diese Woche je nachdem, welche Pressemitteilung Sie zuerst erreichte, Node2Shell, HTTP2Shell oder Broccoli2Shell hieß; sie reicht in Node.js-, .NET-, PowerShell- und Python-Pakete hinein. Microsoft hat dafür Notfall-Updates für .NET ausgeliefert. Ein Decoder, vier Namen, ein sehr langes Gespräch über die Asset-Inventarisierung.
Warum es wichtig istBrotli ist eine Abhängigkeit Ihrer Abhängigkeiten; der KEV-Status bedeutet, dass nicht mehr die Frage ist, ob Sie es ausliefern, sondern wo.
UNM Health leitet Krankenwagen um, und die Gruppe, die das System gesperrt hat, bietet dem Krankenhaus den Schlüssel gratis an
Das University of New Mexico Health System forderte die Menschen auf, nicht zu seinem Hauptkrankenhaus in Albuquerque zu kommen, sagte Termine in mehr als 30 Kliniken ab, setzte ambulante Operationen aus und leitete am Montag etwa zwei Stunden lang Krankenwagen zu Einrichtungen in Albuquerque und Santa Fe um. Der Leak-Post des unter BYOD geführten Akteurs behauptet 36.000 Rechner, beide AD-Forests für Hauptcampus und Krankenhaussektor, GPOs, zwei Oracle-Datenbanken sowie personenbezogene Daten von Studierenden und Beschäftigten einschließlich Sozialversicherungsnummern. Einen Tag später veröffentlichte derselbe Akteur eine Aktualisierung, in der er den Entschlüsselungsschlüssel ausschließlich für den Krankenhaussektor kostenlos anbot und erklärte, er habe nicht gewusst, dass die Rechner Patienten in Echtzeit versorgten. Die Behauptung erschien zuerst auf ransomlook, die Presse lag 4,1 Stunden dahinter.
Warum es wichtig istIhre Identitätslandschaft ist der Wirkungsradius: Zwei Forests und die GPOs, die sie verbinden, sind die gesamte Organisation, keine Abteilung.
Der Ausschalter hatte eine gute Woche: GMO fordert Kunden zum Herunterfahren auf, Moldau nimmt mehr als 80 Dienste vom Netz
Japans GMO Group forderte Kunden von Onamae Desktop Cloud auf, ihre Internetverbindung zu trennen und ihre Rechner herunterzufahren, nachdem ein Eindringling, der die Plattform bereits kompromittiert hatte, mit der Zündung von Ransomware drohte; eine breit geteilte Zusammenfassung beziffert die Betroffenheit auf bis zu 26.739 Kundenserver, nennt die Forderung von rund 8 Milliarden Yen (etwa 50 Millionen US-Dollar) als abgelehnt und erklärt, gestohlene Daten seien veröffentlicht worden. Im selben Nachrichtenzyklus nahm Moldau nach einem Cyberangriff mehr als 80 öffentliche Dienste vom Netz. Zwei Organisationen, zwei Kontinente, eine Maßnahme – und es ist die, die niemand in ein Reifegradmodell aufnimmt, weil sie beim Automatisierungsgrad null Punkte erzielt.
Warum es wichtig istWenn Ihr Notfallplan keinen dokumentierten, autorisierten Weg enthält, große Systeme schnell abzuschalten, haben Sie keinen Notfallplan, sondern einen Aufsatz.
Der Montag war der lauteste Leak-Site-Tag des Zeitraums: 291 von 524 Einträgen fielen auf den 27. Oktober
Das Lagebild von Ninja Signal für heute zählt 203 Leak-Site-Behauptungen in sieben Tagen von 40 der 267 beobachteten Gruppen, wobei Booba Project mit 10 Behauptungen gegenüber erwarteten 2,4 aus der eigenen früheren Rate nach oben ausschlägt, qilin mit 44 gegenüber 25,41 und everest mit 10 – alle bei p unter 0,001. Auf Tagesebene ist das Bild noch deutlicher: Everest veröffentlichte am 27. Oktober 28 Einträge bei einem Median von null an den übrigen Tagen, Booba Project 26, Play 24, The Gentlemen 21 (und am Vortag 31 unter anderer Schreibweise), WhiteArmor 13. Die genannten Opfer sind die übliche Mischung gewöhnlicher Organisationen – der Stadtrat von Bristol, von Wallstreet beansprucht, zwei US-Kreditgenossenschaften von qilin, die belgische Gemeinde Machelen von rhysida mit 1,3 Millionen Dateien und etwa 2,9 TB. Ein Vorbehalt, den man im Kopf behalten sollte: ransomlook und ransomware.live spiegeln einander mit Verzögerungen von einer bis fünfundzwanzig Stunden, sodass ein guter Teil der scheinbaren Bestätigung derselbe Beitrag ist, zweimal gesehen.
Warum es wichtig istStapelweises Veröffentlichen sieht im Diagramm wie eine Kampagne aus; zählen Sie eindeutige Opfer, nicht eindeutige Feed-Zeilen, bevor Sie jemanden briefen.
Modellschlüssel sind jetzt Beute: ein Stealer für Entwickler-Schlüsselbunde, vergiftete Anweisungsdateien und ein Einbruch in Entscheidungsprotokolle von Agenten
Vier getrennte Meldungen, eine Entwicklungsrichtung. Der Stealer „Aokigahara“ zielt auf Entwickler-Schlüsselbunde und KI-Assistenten und legt von einem einzigen Endgerät aus KI-Sitzungen, Geschäftsdaten und Entwicklerinfrastruktur offen. Eine in freier Wildbahn beobachtete Technik missbraucht, wie Coding-Assistenten lokale Markdown-Anweisungsdateien verarbeiten, und verwischt damit die Grenze zwischen einem Textdokument und einer ausführbaren Aktion. Warp gab einen Einbruch bei einem Drittanbieter bekannt, bei dem Entscheidungsprotokolle von KI-Agenten und Nutzertelemetrie offengelegt wurden. Und ungeschützte Cairn-AI-Penetrationstest-Harnesses werden seit etwa dem 20. Oktober von automatisierten Kampagnen systematisch kompromittiert, die bösartige Aufgaben einschleusen. Unterdessen haben NIST, CISA und NSA Leitlinien veröffentlicht, die außer Kontrolle geratene Agenten als Vorfälle behandeln, die geübt werden müssen; die schwierige Frage ist dabei, wessen Autorität der Agent genutzt hat – und diese Antwort muss existieren, bevor der Vorfall eintritt.
Warum es wichtig istAgentenidentität, Agentengedächtnis und Agentenprotokolle sind jetzt Produktivwerte mit produktiven Folgen; inventarisieren Sie sie, bevor jemand anderes sie für Sie aufzählt.
Tailscale patcht fast ein Dutzend SSH-Lücken öffentlich, weil die Details vor den Fixes erschienen
Das Sicherheitsteam von Tailscale arbeitet knapp ein Dutzend Schwachstellen in Tailscale SSH ab, mit denen sich Zugangsdaten stehlen, Server zum Absturz bringen und Root-Rechte erlangen lassen. Details zu dem als „Tailworm“ bezeichneten Bündel wurden am Wochenende öffentlich, bevor irgendwelche Fixes ausgeliefert waren; der Hersteller schreibt die Patches nun also vor Publikum. Eine Ausnutzung wird in diesen Meldungen nicht berichtet; es gibt allerdings eine veröffentlichte Landkarte.
Warum es wichtig istTailscale SSH liegt auf dem Weg zu Dingen, die Sie für intern halten; wissen Sie, ob Sie es aktiviert haben, bevor Sie entscheiden, dies sei die Geschichte eines anderen.
Eine 9,5 in UEFI-Firmware, unterhalb des Betriebssystems und unterhalb von Secure Boot
Heute Morgen auf dem Infosec-Mastodon gemeldet, mit Verweis auf Ars Technica: CVE-2026-97631 in TianoCore EDK II, der quelloffenen UEFI-Codebasis, die die meisten Serverhersteller und Cloud-Anbieter in ihre Firmware einbauen, bewertet mit 9,5. Die Schwachstelle ist ein Speicherbeschädigungsfehler in einer ICMP-Komponente, der Codeausführung vor dem Laden des Betriebssystems erlaubt; die Beiträge betonen ausdrücklich, dass Secure Boot nicht schützt, weil die Vertrauenskette selbst die Schwachstelle ist. Abhilfe schaffen Firmware-Updates Ihres Server- oder Cloud-Anbieters. Ein Hinweis zur Quellenlage, offen ausgesprochen: In unserem Zeitfenster kam dies über Social-Media-Beiträge und einen verlinkten Nachrichtenartikel an, nicht über NVD oder KEV.
Warum es wichtig istWenn es unterhalb des Betriebssystems landet, ist keine Ihrer Endpoint-Telemetrie ein Zeuge; das ist eine herstellerweite Firmware-Kampagne, kein Patch Tuesday.
Die Leak-Site, die die Existenz ihrer eigenen Opfer nicht bestätigen kann
Everests Schwall an Behauptungen vom 27. Oktober kam mit KI-generierten Opferbeschreibungen, von denen sich mehrere dem Spiel verweigern: Zu „SleepEx LabRetriever“ heißt es, der Name entspreche keiner überprüfbaren Organisation, und seine ungewöhnliche Konstruktion deute darauf hin, dass er fiktiv oder ein Test sein könnte; „Burris & MacOmber“ und „Point Robotics“ werden ähnlich behandelt; drei weitere sagen schlicht N/A. Anderswo veröffentlichte der Akteur ULose zwei Einträge auf seiner Leak-Site mit den Namen „zzq-test“ und „probe-011637cabbf94076“ und dem Ländercode „zz“ – so sieht Testen in der Produktion aus, wenn die Produktion Erpressung ist. Und WhiteArmor nahm sich an einem arbeitsreichen Veröffentlichungstag die Zeit, KuCoin schriftlich mitzuteilen, dass es keine Hacktivisten-Gruppe sei und sich hauptsächlich auf Datenerpressung und Ransomware konzentriere – das Nächste an einem Leitbild, was diese Woche hervorgebracht hat.
Warum es wichtig istOpferzahlen auf Leak-Sites sind Marketing-Artefakte; behandeln Sie einen unbestätigten Namen als unbestätigt, bis etwas außerhalb der Leak-Site etwas anderes sagt.
Konfidenz0.68
§3
Verborgen
Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.
Eine echte feedübergreifende Schwachstellengeschichte, ein Berg gespiegelter Leak-Beiträge und zwei Feeds, die in derselben Minute stehen blieben.
Exception 01
PHP2Shell: Die Nachrichten lagen 31 Stunden vor dem Bedrohungs-Feed, und die Quellen widersprechen sich bei den Auswirkungen
Dasselbe CVE-Paar erscheint in Cyber-News, OTX und RSS. Cyber-News berichtete zuerst; OTX folgte 31 Stunden später mit einem Pulse, der UNC-Akteure gegen öffentliche, wirtschaftliche und Bildungsziele beschreibt, während Wiz Versuche, aber keine erfolgreiche Kompromittierung meldet. Die 35 funktionierenden Shells stammten von Honeypots; sie belegen also, dass der Exploit-Code funktioniert, nicht, dass jemand kompromittiert wurde. Briefen Sie den OTX-Pulse nicht als bestätigte Kompromittierung von Opfern.
Konfidenz0.60
Wrong if
Ein benanntes Opfer oder Telemetrie aus einer Nicht-Honeypot-Umgebung, die eine erfolgreiche Kompromittierung zeigt.
Watch
Die KEV-Frist am Donnerstag, die Patch-Hinweise der Hersteller und ob OTX oder Wiz ihre Behauptungen in den nächsten 48 Stunden revidieren.
Die KEV-Einträge, die uns vorliegen, sind nicht die PHP-CVEs
Cyber-News und RSS berichten beide, die CISA habe die PHP2Shell-Lücken mit einer Frist bis Donnerstag in KEV aufgenommen. Die zwei KEV-Einträge in unserem eigenen Zeitfenster, datiert auf den 27. Oktober, sind CVE-2026-48356 (Adobe Commerce und Magento) und CVE-2026-111497 (Google Brotli). Beides kann stimmen, und die einfachste Lesart ist, dass unser KEV-Abruf unvollständig ist, doch wir können den PHP-Eintrag anhand der uns vorliegenden Katalogdaten nicht bestätigen.
Konfidenz0.35Speculative
Wrong if
Den Live-KEV-Katalog lesen und CVE-2026-109618 und CVE-2026-109619 dort aufgeführt finden – oder eben nicht.
Der Schwall vom 27. Oktober könnte ein Scrape sein, keine Welle
291 von 524 Einträgen im Zeitraum fallen auf den 27. Oktober, wobei Everest, Booba Project, Play, The Gentlemen und WhiteArmor sämtlich gegenüber Medianen nahe null ausschlagen. Es wurden keine zeitlichen Cluster erkannt, und ransomware.live führt typischerweise ein bis zwei Stunden vor ransomlook bei denselben Beiträgen, was Spiegelung und keine Bestätigung ist. Das passt ebenso zu Stapelveröffentlichung oder einem Scraping-Effekt wie zu einer koordinierten Kampagne.
Konfidenz0.40Speculative
Wrong if
Wenn die Einträge vom 27. Oktober einen gemeinsamen Scrape-Zeitpunkt oder Backfill teilen oder dieselben Beiträge anderswo frühere Daten tragen, handelt es sich um ein Ingestions-Artefakt.
Watch
Tageszahlen dieser Gruppen für den 28. und 29. Oktober; ein Rückfall auf das Grundniveau bedeutet einen einmaligen Stapel.
NVD und SafePay verstummen beide um 2026-10-27T01:31
Der NVD-Feed (81 Einträge) und der Akteur SafePay (9 Einträge) enden in derselben Minute. Ein identischer Stichtag bei einer nicht verwandten Schwachstellenquelle und einer einzelnen Ransomware-Gruppe deutet auf eine gemeinsame Erfassungsgrenze hin, nicht auf zwei unabhängige reale Ereignisse. SafePays Schub am 26. Oktober mit anschließender völliger Stille ist höchstwahrscheinlich dasselbe Artefakt.
Konfidenz0.50Speculative
Wrong if
Neue NVD-Einträge oder SafePay-Beiträge mit einem Zeitstempel nach 2026-10-27T01:31.
Watch
Der nächste NVD-Abruf; ist er weiterhin leer, ist die Pipeline defekt und sollte als solche behandelt werden.
Nothing to seeIm gesamten Zeitraum wurden keine zeitlichen Cluster gefunden. Der Großteil der quellenübergreifenden Ransomware-Überschneidung besteht darin, dass ransomlook und ransomware.live denselben Leak-Beitrag zweimal führen, was keine unabhängige Bestätigung ist, so befriedigend es im Diagramm auch aussehen mag. Die OTX-Behauptung über „UNC-Akteure“ enthält keine für uns erkennbaren Zuordnungsdetails. Viele der „x:“-Entitäten sind Duplikate der „actor:“-Entitäten und sollten nicht doppelt gezählt werden.
Deep read: 525 Artikel gelesen
§4
Prognose
Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.
Today’s calls
DueCallConfidence
DueWed 4 Nov7 days
Bis zum 4. November wird in diesen Feeds keine namentlich genannte Organisation außerhalb von Honeypots öffentlich als erfolgreich über CVE-2026-109618 oder CVE-2026-109619 kompromittiert gemeldet.
Wrong ifJeder Herstellerbericht, Presseartikel oder Leak-Site-Beitrag, der eine reale, über PHP2Shell kompromittierte Opferorganisation nennt.
NVD-Einträge mit einem Zeitstempel nach 2026-10-27T01:31 werden bis zum 31. Oktober in unserem Feed erscheinen und bestätigen, dass die Stille eine Ingestionsgrenze war und kein Stillstand an der Quelle.
Wrong ifDer NVD-Feed bleibt über den 31. Oktober hinaus leer, was ihn zu unserer Pipeline und unserem Problem macht.
A public proof of concept or in-the-wild exploitation report appears for the Magento BlockStrap flaw CVE-2026-103849.
Called Sun 18 Oct · due Wed 28 Oct
No PoC or exploitation report for CVE-2026-103849 (Magento BlockStrap flaw) appears in today's feeds; the KEV addition is for CVE-2026-48356, a different Adobe Commerce CVE, and the due date of 28 October has now passed
Tailscale publishes a fix or advisory for the Tailscale SSH port-forwarding privilege-escalation flaws by 2 November 2026.
Called Mon 26 Oct · due Mon 2 Nov
Tailscale published an advisory warning of SSH privilege-escalation flaws and announced patches are being rushed, but fixes not yet released as of today's feeds; deadline is 2 November
Fresh PHP2Shell indicators — exploitation source addresses or shell artefacts beyond the two IPs seen on 24 October — will appear in news or OTX reporting.
Called Tue 27 Oct · due Fri 6 Nov
OTX and SecurityWeek reporting on 2026-10-27 describe exploitation from two IPs on 24 October and broader UNC actor exploitation, with additional IOC details published beyond the original two addresses
Beobachtet auf einer Maschine, die eigens ins Internet gestellt wurde, um beobachtet zu werden. In der Nacherzählung befördert zu der Maschine, die Ihnen gehört, und dann zu der Frist, die man Ihnen gesetzt hat.
§5
Von unserem Rand
Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.
Unser eigener Rand, letzte 24 Stunden: Der lokale Adversary-DNA-Sensor erfasste 40 feindliche Quellen – 25 Scanner, 13 Bot-Crawler, zwei gezielt vorgehende Operatoren –, die zusammen 7.920 Anfragen sendeten; 13 gingen über die Aufklärung hinaus zu Ausnutzungsversuchen, und vier Adressgruppen teilten einen Verhaltensfingerabdruck. Die Einkaufsliste wurde der Zeit angepasst: 34.156.56.233, Feindseligkeit 5,6 von 10, sendete 228 Anfragen an zwei unserer Seiten und fragte nach /.env.anthropic, /.aws/.env, /.aws/credentials und /.aws/config – Modell-API-Schlüssel, abgelegt neben Cloud-Schlüsseln, als wären sie schon immer dort gewesen. 35.241.239.86 feuerte 117 Anfragen in etwa einer halben Sekunde ab, ausschließlich auf AWS-Zugangsdatenpfade. Drei Adressen sprühten mit 24 Anfragen CVE-2017-9841 über /vendor/phpunit/phpunit/ auf uns, und acht IPs teilten einen Fingerabdruck (DNA 672df8667b3d) – ein Werkzeug oder ein Operator mit rotierenden Adressen, den die Tabelle als acht Angreifer führt. Insgesamt berührten 4.549 Adressen aus 96 Ländern den Rand, 1.746 davon erstmals heute bei uns gesehen. Rohprotokolle haben den Server nie verlassen; nur diese Erkenntnisse.
40erfasste feindliche Quellen
7.920Anfragen von ihnen
13erreichten Ausnutzung
4Cluster mit gemeinsamer DNA
6,7/10höchste Feindseligkeit
4.549Adressen an unserem Rand
1.746heute erstmals gesehen
96Länder
Die WTF-Liste
WTF #1
Auf der Suche nach Ihren KI-Schlüsseln
34.156.56.233, ein Scanner (Feindseligkeit 5,6/10), sendete 228 Anfragen an 2 unserer Seiten und suchte nach /.env.anthropic, /.aws/.env, /.aws/credentials, /.aws/config.
Warum es seltsam istGing direkt auf KI-Zugangsdaten los: /.env.anthropic. Modell-API-Schlüssel stehen jetzt neben Cloud-Schlüsseln auf der Einkaufsliste der Scanner.
attribution: unbekanntTue 27 Oct, 22:00 UTC
Detail
Kill Chain: Aufklärung → Waffenentwicklung · DNA 9427f6c77bf1
WTF #2
Der entschlossenste Besucher
20.24.222.184, ein Scanner (Feindseligkeit 6,5/10), sendete 42 Anfragen an eine unserer Seiten und suchte nach /file2.php, /general.php, /666.php, /file.php.
Warum es seltsam istHöchste Feindseligkeit auf der Liste; seine Kill Chain erreichte die Waffenentwicklung.
attribution: unbekanntTue 27 Oct, 22:00 UTC
Detail
Kill Chain: Aufklärung → Waffenentwicklung · DNA dfef4501b216
WTF #3
CVE-2017-9841 gegen uns versucht
3 Adressen sendeten 24 Anfragen in der Form einer Ausnutzung von CVE-2017-9841 (/vendor/phpunit/phpunit/…), darunter 185.238.231.89, 94.26.0.103, 185.177.72.29.
Warum es seltsam istEin bekannter, benannter Exploit wird weiter ins Internet gesprüht; unser Rand sah ihn heute, was auch immer die Patch-Hinweise über das Jahr sagen.
attribution: unbekannt
Detail
Sondierungsfamilie: phpunit-rce
WTF #4
Gleiche DNA, andere Adressen
94.180.163.194, ein Bot-Crawler (Feindseligkeit 1,2/10), sendete 60 Anfragen an eine unserer Seiten und suchte nach /threat-check/%22Next%20Exploit%20Opportunities%22%3A%20How%20a%20Thre.
Warum es seltsam ist8 IPs teilen einen Verhaltensfingerabdruck (DNA 672df8667b3d): ein Werkzeug oder ein Operator mit rotierenden Adressen: 94.180.163.194, 85.208.96.208, 185.191.171.10, 85.208.96.204, 85.208.96.197 und weitere.
attribution: unbekanntTue 27 Oct, 08:00 UTC
Detail
Kill Chain: Aufklärung → Ausnutzung · DNA 672df8667b3d
WTF #5
Die seltsamste Einkaufsliste
20.53.239.152, ein Scanner (Feindseligkeit 6,4/10), sendete 46 Anfragen an eine unserer Seiten und suchte nach /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php.
Warum es seltsam istFragte nach Dateien, nach denen fast niemand sonst fragt: /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php, /rip.php.
attribution: unbekanntTue 27 Oct, 08:00 UTC
Detail
Kill Chain: Aufklärung → Waffenentwicklung · DNA 83562bd8e880
WTF #6
In Eile
35.241.239.86, ein Scanner (Feindseligkeit 5,5/10), sendete 117 Anfragen an eine unserer Seiten und suchte nach /.aws/.env, /.aws/credentials.bak, /.aws/config, /.aws/credentials.
Warum es seltsam istFeuerte 117 Anfragen in etwa 0,5 Sekunden ab.
attribution: unbekanntTue 27 Oct, 22:00 UTC
Detail
Kill Chain: Aufklärung → Waffenentwicklung · DNA 18e39c4b41fb
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
203claims, 7 days
40of 267 groups active
qilin44 this week · surging
N0n24 this week
Whitearmor11 this week · new
SurgingBooba Project — 10 claims in 7 days against 2.4 expected from its own prior rate (p < 0.001)
Surgingqilin — 44 claims in 7 days against 25.4 expected from its own prior rate (p < 0.001)
Surgingeverest — 10 claims in 7 days against 2.8 expected from its own prior rate (p < 0.001)
SurgingFalcon — 3 claims in 7 days against 0.4 expected from its own prior rate (p = 0.008)
Surgingpayoutsking — 3 claims in 7 days against 0.6 expected from its own prior rate (p = 0.024)
Surgingrhysida — 4 claims in 7 days against 1.2 expected from its own prior rate (p = 0.039)
UpTransportation — 2.1× its own prior share (70 claims, 33 expected)
UpEducation — 2.0× its own prior share (52 claims, 26 expected)
UpEnergy & Utilities — 1.5× its own prior share (38 claims, 25 expected)
UpHealthcare — 1.4× its own prior share (116 claims, 81 expected)
22% of claims carry no sector label.
Brand churn
Of the 229 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 19% of the 210 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 9 — newest: Whitearmor (2026-10-23, 11 claims), Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 35% of its claims on Germany (6.8× every other brand's share); N0n put 34% of its claims on Transportation (7.7× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: nightspire across 10.4 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 92% of its claims on Wednesdays, half of them in 12:00–15:59 UTC; safepay released 63% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 193 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 37% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§8
Kolophon
Wie diese Ausgabe entstanden ist – unverblümt.
Ausgabe 31 wurde von Maschinen erstellt und per Code geprüft. Jeder Eintrag, den 13 öffentliche Bedrohungs-Feeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlichten (525 Einträge), wurde vollständig gelesen: Statistiken im Code berechnet, jeder Ausschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus synthetisiert. Anschließend redigierte Claude Opus die Zeitung. Jede Geschichte nennt die Einträge, auf denen sie beruht; Geschichten, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung verworfen (heute 0). Prognosen werden in späteren Ausgaben öffentlich bewertet. „Von unserem Rand“ sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: 1,02 US-Dollar. Sie wird maschinell im Stil von ScottG verfasst, dem Autor von Everything Is Probably Fine, und niemand hat sie von Hand redigiert, was entweder der Sinn der Sache ist oder das Problem.
525items read
24hour window
$1.02cost of this edition
05:05 UTCgenerated
Quellen von heute Morgen
RansomLook100ok
Signal Atlas98ok
Security news88ok
NVD81ok
atlas41ok
ransomware.live41ok
infosec.exchange36ok
signal:ioc-family12ok
AlienVault OTX12ok
RSS11ok
signal:kev2ok
CISA KEV2ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 525|SOURCES: 13|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $1.02|STATUS: NICHT GANZ IN ORDNUNG
OWNER: die Maschine|EDITOR: die Regeln|CALLS OPEN: 3|NEXT REVIEW: morgen 06:00 UK