Ein täglicher Feldbericht über Dinge, die wahrscheinlich in Ordnung sind
No. 32·Donnerstag 29 Oktober 2026·Erscheint 06:00 UK·Fine-Anzeige 3/5: Weniger fein als sonst
Aufmacher · Schwachstellen
Die Frist war Donnerstag. Heute ist Donnerstag.
Die CISA hat die beiden PHP2Shell-Use-after-free-Lücken in die Liste ausgenutzter Schwachstellen aufgenommen und Bundesbehörden angewiesen, bis heute zu patchen. Ein mutmaßlich China-naher Akteur hat unterdessen bereits 25 Server übernommen und ein US-Regierungsnetzwerk erreicht.
Konfidenz0.85
CVE-2026-109618 und CVE-2026-109619 werden beide mit 9.2 bewertet, beide stecken in der session.upload_progress-Verarbeitung der PHP-Engine, und beide werden bei der Verarbeitung von Multipart-Anfragen ausgelöst, also beim ganz gewöhnlichen Vorgang, dass jemand eine Datei auf eine Website hochlädt. Die CISA bestätigte aktive Ausnutzung, nahm sie in den Known-Exploited-Vulnerabilities-Katalog auf und setzte Bundesbehörden eine Frist bis Donnerstag. Sie lesen dies an einem Donnerstag.
Die Ausnutzung ist nicht theoretisch, aber auch nicht einheitlich. Am 25. Oktober beobachteten Forscher einen nach ihrer Beschreibung KI-gestützten Angriff eines mutmaßlich China-nahen Akteurs, der 25 Server übernahm und ein US-Regierungsnetzwerk kompromittierte; er verkettete PHP2Shell mit einem zweiten Exploit namens Fragnesia, um Root-Rechte auf Firewalls zu erlangen, und nahm in dieser einen Organisation zwei Server ein. Unabhängig davon zeigte ein offen zugänglicher Staging-Server unter 96.126.130.81 einen Betreiber, der vom 9. bis 11. Oktober japanische Immobilien-Websites erpresste und danach PHP2Shell-Werkzeuge aufgriff, weil sie dort herumlagen. Wiz, das seit der Veröffentlichung am 21. Oktober beobachtet, sagt, in der eigenen Telemetrie zwar Versuche, aber keine erfolgreichen Angriffe gesehen zu haben.
Und gestern Morgen fragte auf Mastodon eine praktizierende Malware-Analystin öffentlich, ob die Ausnutzung von PHP2Shell in freier Wildbahn inzwischen tatsächlich bestätigt sei, weil sie widersprüchliche Dinge gehört habe. Sie fragt zu Recht, und die Hersteller berichten zu Recht. Beide Aussagen sind zugleich wahr, was der Normalzustand eines Donnerstags ist. Ein Infrastrukturbericht merkt zudem an, dass die Lücken die Weboberflächen zur Verwaltung von Firewalls, VPNs und Application-Delivery-Controllern erreichen, also genau dort, wo man das Ding platziert, das eigentlich nicht erreichbar sein soll.
Warum es wichtig istWenn PHP irgendwo in Ihrer Infrastruktur über eine Verwaltungsoberfläche erreichbar ist, hat sich das Zeitfenster, das zu entdecken, geschlossen, bevor der Kaffee fertig war.
Eine Schwachstelle mit Markennamen wird vor einer Schwachstelle gepatcht, die nur eine Nummer hat, was zeigt, dass unsere Priorisierungs-Engine Marketing ist und es immer war.
— Sturgeon's Revelations · Probably Fine Daily No. 32
Jeden Morgen06:00 UK
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§2
Schlagzeilen
Der Rest der letzten 24 Stunden – mit Belegen.
Schwachstellen
Ein Brotli-Fehler, drei Namen und mindestens ein Angreifer, dessen Exploit nicht funktioniert
Die CISA nahm am Dienstag CVE-2026-111497 in den Katalog ausgenutzter Schwachstellen auf: ein ungeprüfter Rückgabewert und ein Schreibzugriff außerhalb der Grenzen im Brotli-Decoder von Google, der in Node.js und einer langen Reihe weiterer Pakete steckt und den das Internet je nach Absender Node2Shell, Broccoli2Shell oder HTTP2Shell nennt. Zwei Honeypot-Betreiber protokollierten Angriffsversuche, einer davon mit einem schlicht defekten Exploit. Im selben Zeitraum begannen Angreifer, nach der frisch gepatchten Oracle-E-Business-Suite-Lücke CVE-2026-101767 mit der Bewertung 9.8 zu suchen, wenige Tage nach Veröffentlichung des Fixes.
Warum es wichtig istBrotli ist eine Abhängigkeit, die Sie nicht gewählt haben und auf einer Inventarliste nicht sehen können; suchen Sie sie über das Build-Manifest, nicht über den Produktnamen.
Die CISA hat eine Schwachstelle aufgenommen, deren gesamte Wirkung darin besteht, dass Sie nichts wissen werden
Neben den prominenten Lücken nahm der KEV-Katalog still CVE-2026-41709 in Broadcom VMware ESX auf: eine Schwachstelle durch unzureichende Protokollierung, die es einem Akteur mit Administratorzugriff erlaubt, bestimmte Operationen ohne Protokolleintrag auszuführen, bei einem EPSS von 0.00297. Hinzu kamen CVE-2026-46300, eine fehlende Initialisierung einer Variablen im Linux-Kernel bei einem EPSS von 0.10192, und CVE-2026-48356, ein unbeschränkter Datei-Upload in Adobe Commerce und Magento, der zur Ausführung beliebigen Codes führen kann. Eine davon verschafft Zugriff auf Code. Eine andere hinterlässt Stille im Zeitverlauf, wo die Beweise stehen sollten.
Warum es wichtig istEine Protokolllücke in ESX ist am Dienstag kein Erkennungsproblem, sondern im März ein Problem für den Vorfallbericht; patchen Sie sie und prüfen Sie dabei Ihre Aufbewahrungsfristen.
GMO wies 26,739 Server an, sich abzuschalten, lehnte ¥8bn ab und zahlt nun für Namen
GMO Internet forderte Kunden von Onamae Desktop Cloud auf, sich vom Internet zu trennen und ihre Server herunterzufahren, bevor eine während des Einbruchs platzierte Ransomware-Nutzlast ausgelöst werden könne; bis zu 26,739 Kundenserver könnten betroffen sein, die Forderung von ¥8bn (rund $50m) wurde abgelehnt, gestohlene Daten wurden dennoch veröffentlicht. Am 28. Oktober legte die Gruppe ein Belohnungsprogramm auf, das insgesamt bis zu $1m für Hinweise zahlt, die zu einer Festnahme oder Anklage führen. In Japan ist es eine geschäftige Fortnacht: Japan Airlines warnte, dass Passnummern, Vielfliegernummern, E-Mail-Adressen und Telefonnummern von rund 2,000 Kunden entwendet wurden, Sony Network Communications bestätigte etwa 2.5 million Datensätze, und Forscher beschreiben drei Angriffe auf japanische Ziele, bei denen eine Operation 44 KI-Agenten zur Automatisierung der Arbeit einsetzte.
Warum es wichtig istWenn Sie Kunden-Workloads hosten, legen Sie jetzt schriftlich fest, wer befugt ist, jedem Mandanten das Herunterfahren zu befehlen, denn diese Entscheidung muss binnen Minuten fallen, und ein Dashboard wird sie nicht treffen.
Der Klinikausfall erreichte die Feeds siebzehn Stunden vor der Stellungnahme
Am Montagabend behauptete ein Leak-Site-Eintrag eines als byod verfolgten Akteurs, 36,000 Rechner der University of New Mexico seien betroffen, dazu beide Active-Directory-Forests für den Hauptcampus und den Klinikbereich, Gruppenrichtlinienobjekte, zwei Oracle-Datenbanken sowie personenbezogene Daten von Studierenden und Beschäftigten einschließlich Sozialversicherungsnummern. Am folgenden Nachmittag bestätigte UNM Health einen Cyberangriff mit Systemausfällen: Rettungswagen wurden am Montag etwa zwei Stunden lang zu Kliniken in Albuquerque und Santa Fe umgeleitet, ambulante Operationen und Termine wurden für den Rest des Tages ausgesetzt. Die Behauptung ging der öffentlichen Berichterstattung um etwa 17.6 Stunden voraus.
Warum es wichtig istDie Beobachtung von Leak-Sites ist kein Aufklärungstheater; für Ihre Branchenkollegen ist sie häufig das früheste Signal, dass ein gemeinsamer Zulieferer oder Nachbar ausgefallen ist.
The Gentlemen führen keine Angriffskampagne, sie führen einen Redaktionskalender
Am 26. Oktober veröffentlichte die Gruppe 31 Einträge, gegenüber einem Median von 4.5 an anderen Tagen, rund 22 Opfer binnen etwa zwei Stunden, jeweils mit einer ordentlichen Firmenbiografie: Vietnam Airlines, eine Behauptung gegen SAPs Niederlassung für Lateinamerika und die Karibik, FPT Software, der Wassertechnikkonzern WABAG, Cherry Bekaert, SK Capital Partners, die schwedische Gemeinde Svedala und die bayerische Stadt Eichstätt. Ransomlook führte den Schub etwa 27 Stunden, bevor Atlas ihn abbildete; der Großteil der scheinbaren Bestätigung über Tracker hinweg ist also Spiegelung, nicht Bestätigung. Über das gesamte Feld zeigt das Tempo der Woche 192 Leak-Site-Behauptungen von 38 der 267 beobachteten Gruppen, wobei Booba Project mit 10 Behauptungen gegenüber erwarteten 2.38 aus der eigenen Vorrate hervorsticht, rhysida mit 6 gegenüber 1.29 und qilin mit 39.
Warum es wichtig istMehrere der genannten Opfer sind IT- und Softwareanbieter, sodass die für Sie relevanten Offenlegungen womöglich erst in zwei Wochen über einen Zulieferer eintreffen und nicht heute aus dieser Liste.
Konfidenz0.70
KI & Sicherheit
Die Modelle stehen nun auf beiden Seiten des Gefechts, und jemand greift die Angriffsroboter an
Anthropic berichtete, ein unveröffentlichtes Modell habe Schwachstellen in Chrome, Safari, Android, Windows und Linux gefunden und zu funktionierenden Proof-of-Concept-Exploits verkettet, im Labor nach entsprechender Aufforderung erstellt und nicht in freier Wildbahn beobachtet. Forscher, die drei offen zugängliche Serverumgebungen analysierten, beschrieben eine auf Japan ausgerichtete Operation mit 44 KI-Agenten zur Automatisierung von Einbruchsarbeit, und ein weiterer offener Staging-Server legte den vollständigen KI-gestützten Erpressungs-Arbeitsbereich eines n0n-Ransomware-Betreibers offen, samt Quellcode des Verschlüsslers. Unterdessen werden ungeschützte Cairn-KI-Angriffs-Harnesses seit etwa dem 20. Oktober systematisch von unbekannten Akteuren kompromittiert, und ein anderer Angreifer sucht unablässig nach Zugangsdaten und gibt sich dabei als Crawler von OpenAI, Anthropic und Meta aus.
Warum es wichtig istBehandeln Sie Ihre Agenten-Infrastruktur als produktive Angriffsfläche: Sie hält Zugangsdaten, sie handelt, und die Automatisierung anderer sucht bereits nach ihr.
Eine gute Woche für die andere Seite der Bilanz, die wir festhalten sollten, bevor wir sie vergessen
Das FBI beschlagnahmte am 27. Oktober im Rahmen der Operation Omegaline virtualine[.]net und nahm damit die Hauptdomain eines Bulletproof-Hosters vom Netz, der auch als Omegatech auf AS202412 firmierte und in Untergrundforen beworben wurde. Die Australian Signals Directorate drang in das Backend einer Amadey-Operation ein und trennte den Betreiber von 180,000 infizierten Computern weltweit. Interpols dritte Operation Serengeti brachte 1,462 Festnahmen in 20 afrikanischen Ländern und den Vereinigten Staaten und führte zur Sicherstellung von $105m, und Artem Stryzhak, 36, wurde wegen seiner Beteiligung an Nefilim- und Hive-Angriffen auf Krankenhäuser, Behörden und Großunternehmen zwischen 2018 und 2021 zu 70 Monaten Haft verurteilt.
Warum es wichtig istBeschlagnahmungen von Infrastruktur verschieben Indikatoren und wechseln das Hosting; erwarten Sie, dass Ihre Virtualine-bezogenen Sperrlisten veralten und Ihre Akteure irgendwo günstiger wieder auftauchen.
Keystone vernichtet 18,835 Hardware-Wallets, weil der Echtheitsbeweis keiner mehr ist
Ein Angreifer, der Zugriff auf die Website von Keystone erlangte, erbeutete den Schlüssel, mit dem sich die Hardware-Wallets als echt ausweisen. Damit könnten gefälschte Geräte gebaut werden, die die Online-Prüfung bestehen, mit der Besitzer ein Keystone verifizieren; das Unternehmen erklärte am 26. Oktober, es werde 18,835 Geräte vernichten. Aus der Abteilung Archäologie: Der längst verstorbene Popcorn-Time-Updater lief offenbar beim Systemstart, fragte periodisch seine Update-Domain ab und führte mit vollen Rechten auf Millionen Computern aus, was immer ihm geliefert wurde.
Warum es wichtig istAttestierung ist nur so gut wie das Geheimnis dahinter; wenn Sie sich auf die Echtheitsprüfung eines Herstellers verlassen, fragen Sie, wo dieser Schlüssel liegt und wer ihn von einem Webserver aus erreichen kann.
Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.
Der Großteil der scheinbaren Bestätigung durch mehrere Quellen sind drei Tracker, die denselben Leak-Post unterschiedlich schnell lesen.
Exception 01
Spiegelung ist keine Bestätigung
Whitearmor, n0n, rhysida, akira, aurora und panzer erscheinen nur deshalb als „Multi-Source“, weil ransomlook, ransomware.live und Atlas dieselben Leak-Posts mit Verzögerungen von etwa 1 bis 37 Stunden aufnehmen. Payload und Aurora zeigen zudem identische Atlas-Konfidenzwerte, was nach einem Korrelationsartefakt aussieht. Zählen Sie dies nicht als unabhängige Bestätigung.
Konfidenz0.70
Wrong if
Die Seiten, die unabhängige Entdeckungsmethoden oder wesentlich abweichende Inhalte zum selben Opfer zeigen.
Watch
Ob das Muster, dass ransomlook zuerst berichtet, im nächsten Zeitfenster Bestand hat.
Sechs WooCommerce-Zahlungs-Plugins, ein und dieselbe Lücke
CCAvenue, Eurobank, Mintpay, iK Pay, OPay und ein schlicht Payment Gateway genanntes Plugin prüfen allesamt nicht, ob ein Callback zur Zahlungsbestätigung vom Anbieter stammt, in mehreren Fällen, weil das Verifizierungsgeheimnis bei einer Standardinstallation leer ist; so kann ein nicht authentifizierter Angreifer beliebige Bestellungen als bezahlt, fehlgeschlagen oder storniert markieren. Das Muster legt nahe, dass ein Forscher oder ein Werkzeug das Plugin-Ökosystem durchkämmt.
Konfidenz0.55Speculative
Wrong if
Die CVEs, die auf unabhängige Forscher zurückgehen, die unabhängig voneinander verschiedene Codepfade finden.
Watch
Weitere Gateway-Plugins, die in den nächsten zwei Wochen offengelegt werden, und etwaige Berichte über Ausnutzung.
Der Streit um den Geltungsbereich bei EDK II ist ungelöst
SecurityWeek beschreibt CVE-2026-97631 in TianoCore EDK II als Lücke, die Maschinen nur betrifft, während sie über das Netzwerk booten; der von Ars abgeleitete Beitrag beschreibt sie als Treffer für die meisten Server der Welt, ohne dass Secure Boot Schutz biete, mit Schweregrad 9.5. Der Mastodon-Thread lag etwa sieben Stunden vor dem Nachrichtentext. Bis der Text zur betroffenen Konfiguration im Advisory Klarheit schafft, gehen Sie davon aus, dass Ihre netzwerkbootende Flotte betroffen ist; der Rest ist unbestätigt.
Konfidenz0.55
Wrong if
Firmware-Advisories der Hersteller, die die betroffenen Konfigurationen ausdrücklich nennen.
Watch
Firmware-Bulletins von Server- und Cloud-Herstellern.
OTX führte CVE-2026-109619 etwa 7.6 Stunden vor der Aufnahme durch die CISA, während sich bei der Brotli-Lücke CVE-2026-111497 die Reihenfolge umkehrte und KEV OTX um etwa 46.4 Stunden voraus war. Keine Quelle ist verlässlich die erste; wer nur eine beobachtet, ist ungefähr in der Hälfte der Fälle zu spät.
Konfidenz0.65
Wrong if
Eine längere Stichprobe, die einen durchgängigen Vorsprung einer Quelle zeigt.
Watch
Vorsprung und Rückstand bei den nächsten beiden KEV-Aufnahmen.
Vier Quellen verstummten in derselben Minute, das ist eine Feed-Grenze, keine Waffenruhe
NVD, Safepay, Everest und Booba Team fallen allesamt nach 2026-10-27T15:56 aus dem Zeitfenster. Ein minutengenau gemeinsamer Stichtag bei einer Datenquelle und drei voneinander unabhängigen Akteuren ist ein Artefakt der Datenaufnahme, keine vier zusammenfallenden Pausen in der realen Welt. Ihre frühere Aktivität war stoßweise: Safepay 9, Everest 8 und Booba 8 Beiträge an einem Tag.
Konfidenz0.60Speculative
Wrong if
Neue Beiträge dieser Akteure oder der NVD mit Ereigniszeiten nach dem Stichtag im nächsten Zeitfenster.
Watch
Die Quellenzahlen von NVD und diesen drei Akteuren im nächsten Zeitfenster.
Nothing to seeEs traten keine zeitlichen Cluster zutage. Es gibt keinen Beleg für eine Verbindung zwischen Volt Typhoons Silent-Train-Framework und PHP2Shell, und nichts außer der gemeinsamen Geografie verbindet die Vorfälle bei GMO, JAL, Sony und CyberStrikeAI in Japan. Die Auffälligkeiten bei den CVE-Nummern sind schwach und lassen sich durch Batch-Reservierung erklären. Die Kanzlei-Behauptungen von leakeddata sind von geringer Qualität und unbestätigt.
Deep read: 632 Artikel gelesen
§4
Prognose
Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.
Today’s calls
DueCallConfidence
DueThu 5 Nov7 days
Die CISA nimmt mindestens eine weitere Schwachstelle in den Known-Exploited-Vulnerabilities-Katalog auf.
Wrong ifIn diesen Feeds erscheinen zwischen dem 29. Oktober und dem 5. November keine neuen KEV-Einträge.
Ein öffentlicher Hersteller- oder CERT-Bericht nennt einen dritten eigenständigen Betreiber, der PHP2Shell einsetzt, neben dem mutmaßlich China-nahen Akteur und dem Staging-Server der japanischen Immobilienerpressung.
Wrong ifBis zum 9. November erscheint in diesen Feeds kein solcher Bericht.
Majinahanashi's pending Jons Civil Engineering Company Ltd. (JCEL) post moves from PENDING to published by the end of 29 October 2026, in line with its stated 28 October schedule.
Called Mon 26 Oct · due Thu 29 Oct
No JCEL listing status (published or still pending) visible in today's feed items; due date is today 29 October.
partly
Qilin will post at least ten further leak-site victim claims to ransomware.live between now and 2 November.
Called Tue 27 Oct · due Mon 2 Nov
Qilin posted at least 2 claims visible in today's feed (Hawaii Law Enforcement FCU, NuVista FCU) but tempo signal notes 39 Qilin claims in last 7 days, strongly suggesting ≥10 new claims since 27 Oct; due date 2 November not yet passed so cannot fully settle.
No named, non-honeypot organisation will be publicly reported in these feeds as successfully compromised via CVE-2026-109618 or CVE-2026-109619 by 4 November.
Called Wed 28 Oct · due Wed 4 Nov
China-linked actors exploited PHP2Shell (CVE-2026-109618/19) and rooted firewalls including breaching a US government-affiliated network, and CISA confirmed active exploitation, but no specific named non-honeypot victim organisation was publicly attributed by name in these feeds; due date 4 November not yet passed.
Booba Project will post at least five further leak-site claims across ransomware.live or ransomlook by 4 November.
Called Wed 28 Oct · due Wed 4 Nov
Booba Project posted at least 8 named victim claims on 27 October alone (Hudson River Museum, BASS Medical Group, Kerckstede vzw, RCOA, Charter Township of Commerce, KING FAMILY MEDICAL, City of Big Spring, Aesthetic Specialty Centre), exceeding the threshold of 5 by 28 October.
right
NVD items timestamped after 2026-10-27T01:31 will appear in our feed by 31 October, confirming the silence was an ingestion boundary rather than a halt at the source.
Called Wed 28 Oct · due Sat 31 Oct
NVD items with timestamps from 2026-10-25 and 2026-10-26 appear in today's feed, confirming the silence was an ingestion boundary, not a source halt.
Eine Schwachstelle, bei der nichts Schlimmes geschehen muss, damit Sie nicht beweisen können, dass nichts geschah. Nun auf der Bundesliste ausgenutzter Schwachstellen, womit die Abwesenheit von Beweisen eine Frist hat.
§5
Von unserem Rand
Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.
Unser eigener Rand hatte derweil einen völlig gewöhnlichen Tag, und genau das ist der Punkt. Der Sensor erfasste 65 feindliche Quellen aus 4,251 Adressen aus 109 Ländern, davon 1,412 heute neu, und diese 65 sandten zusammen 5,866 Anfragen; 32 gingen über die Aufklärung hinaus zu tatsächlichen Ausnutzungsversuchen, und 7 Gruppen teilten einen Verhaltensfingerabdruck. Die aktivste war ein Scanner unter 2a06:98c0:3600::103 mit Feindseligkeit 6.4, der 83 Anfragen an drei unserer Seiten schickte und höflich nach /wp-admin/install.php und /.git/config fragte. Siebzehn Adressen teilten einen einzigen Fingerabdruck, DNA 3076742860d3, also ein Werkzeug oder ein Betreiber, der IPs rotiert und das Vielfalt nennt. Ein Scanner feuerte in rund 1.4 Sekunden zwanzig Anfragen ab und suchte nach //xmlrpc.php und wlwmanifest.xml, drei Adressen probierten CVE-2015-2051 gegen /hnap1, als seien die Jahre dazwischen nicht vergangen, und der sicherste Treffer des Sensors war Mirai oder eine Variante mit 48 Prozent. Rohprotokolle verließen den Server nie. Nur die Ergebnisse.
65erfasste feindliche Quellen
5,866Anfragen von ihnen
32bis zur Ausnutzung gelangt
7Cluster mit gemeinsamer DNA
7.7/10höchste Feindseligkeit
4,251Adressen an unserem Rand
1,412heute erstmals gesehen
109Länder
Die WTF-Liste
WTF #1
Der hartnäckigste Besucher
2a06:98c0:3600::103, ein Scanner (Feindseligkeit 6.4/10), sandte 83 Anfragen an 3 unserer Seiten und suchte nach /wp-admin/install.php, /.git/config.
Warum es seltsam istHöchste Feindseligkeit auf der Liste; seine Kill Chain erreichte die Weaponization.
attribution: unbekanntThu 29 Oct, 03:00 UTC
Detail
Kill Chain: Reconnaissance → Weaponization · DNA c0f8c6b5a5ea
WTF #2
Gleiche DNA, andere Adressen
185.191.171.15, ein Bot-Crawler (Feindseligkeit 0.4/10), sandte 96 Anfragen an 2 unserer Seiten und suchte nach /threat-check/PsExec.
Warum es seltsam ist17 IPs teilen einen Verhaltensfingerabdruck (DNA 3076742860d3): ein Werkzeug oder ein Betreiber, der Adressen rotiert: 85.208.96.202, 185.191.171.5, 185.191.171.2, 85.208.96.196, 85.208.96.210 und weitere.
attribution: unbekanntThu 29 Oct, 03:00 UTC
Detail
Kill Chain: Reconnaissance → Exploitation · DNA 3076742860d3
WTF #3
CVE-2015-2051 gegen uns
3 Adressen sandten 4 Anfragen in der Form einer Ausnutzung von CVE-2015-2051 (/hnap1), darunter 218.13.149.41, 157.230.24.130, 172.234.162.56.
Warum es seltsam istEin bekannter, benannter Exploit wird weiter ins Internet gesprüht; unser Rand sah ihn heute, was auch immer die Patch-Notizen über das Jahr sagen.
attribution: unbekannt
Detail
Probe-Familie: dlink-hnap
WTF #4
Die seltsamste Einkaufsliste
85.204.70.116, ein Scanner (Feindseligkeit 6.3/10), sandte 20 Anfragen an eine unserer Seiten und suchte nach //wp-includes/wlwmanifest.xml, //xmlrpc.php, //blog/wp-includes/wlwmanifest.xml, //web/wp-includes/wlwmanifest.xml.
Warum es seltsam istFragte nach Dateien, nach denen fast niemand sonst fragt: //wp-includes/wlwmanifest.xml, //xmlrpc.php, //blog/wp-includes/wlwmanifest.xml, //web/wp-includes/wlwmanifest.xml, //wordpress/wp-includes/wlwmanifest.xml.
attribution: unbekanntThu 29 Oct, 03:00 UTC
Detail
Kill Chain: Reconnaissance → Weaponization · DNA dfef4501b216
WTF #5
In Eile
82.102.18.126, ein Scanner (Feindseligkeit 6.3/10), sandte 20 Anfragen an eine unserer Seiten und suchte nach //wp-includes/wlwmanifest.xml, //xmlrpc.php, //blog/wp-includes/wlwmanifest.xml, //web/wp-includes/wlwmanifest.xml.
Warum es seltsam istFeuerte 20 Anfragen in etwa 1.4 Sekunden ab.
attribution: unbekanntThu 29 Oct, 03:00 UTC
Detail
Kill Chain: Reconnaissance → Weaponization · DNA dfef4501b216
WTF #6
Jemand, den wir vielleicht kennen
139.59.240.56, ein Scanner (Feindseligkeit 5.8/10), sandte 24 Anfragen an 2 unserer Seiten und suchte nach //images/images/cache.php, //cgi-bin/cgi-bin/cgi-bin/cgi-bin/cache.php, //images/images/images/images/images/images/images/images/cache.php, //images/images/images/images/images/images/images/cache.php.
Warum es seltsam istDer sicherste Kampagnentreffer des Sensors am heutigen Tag: Mirai oder Variante (Omni/Gafgyt-Linie) mit 48%.
attribution: Mirai oder Variante (Omni/Gafgyt-Linie) (bester Treffer des Sensors, 48%)Thu 29 Oct, 03:00 UTC
Detail
Kill Chain: Reconnaissance → Weaponization · DNA bccc30d19899
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
192claims, 7 days
38of 267 groups active
qilin39 this week · surging
N0n18 this week
Whitearmor15 this week · new
SurgingBooba Project — 10 claims in 7 days against 2.4 expected from its own prior rate (p < 0.001)
Surgingrhysida — 6 claims in 7 days against 1.3 expected from its own prior rate (p = 0.002)
Surgingqilin — 39 claims in 7 days against 25.4 expected from its own prior rate (p = 0.007)
Surgingeverest — 8 claims in 7 days against 2.8 expected from its own prior rate (p = 0.007)
SurgingFalcon — 3 claims in 7 days against 0.4 expected from its own prior rate (p = 0.007)
Surgingemperador — 10 claims in 7 days against 4.5 expected from its own prior rate (p = 0.017)
UpTransportation — 2.2× its own prior share (71 claims, 33 expected)
UpEducation — 1.9× its own prior share (51 claims, 26 expected)
UpEnergy & Utilities — 1.6× its own prior share (38 claims, 25 expected)
UpHealthcare — 1.4× its own prior share (114 claims, 81 expected)
22% of claims carry no sector label.
Brand churn
Of the 229 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 212 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 9 — newest: Whitearmor (2026-10-23, 15 claims), Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 34% of its claims on Germany (6.6× every other brand's share); N0n put 34% of its claims on Transportation (7.5× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: nightspire across 10.4 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 64% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 196 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 36% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§8
Kolophon
Wie diese Ausgabe entstanden ist – unverblümt.
Ausgabe 32 wurde von einer Maschine erstellt und von Code geprüft. Jeder Beitrag, den 13 öffentliche Bedrohungs-Feeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlichten (632 Beiträge), wurde vollständig gelesen: Statistiken im Code berechnet, jeder Ausschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus synthetisiert. Anschließend redigierte Claude Opus die Zeitung. Jede Geschichte nennt die Beiträge, auf denen sie beruht; Geschichten, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung verworfen (heute 0). Prognosen werden in späteren Ausgaben öffentlich bewertet. „Von unserem Rand“ sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: $1.26. Sie wird maschinell in der Stimme von ScottG verfasst, dem Autor von Everything Is Probably Fine, und niemand hat sie von Hand redigiert, was entweder der Sinn der Sache oder das Problem ist.
632items read
24hour window
$1.26cost of this edition
05:05 UTCgenerated
Quellen von heute Morgen
NVD191ok
RansomLook107ok
Security news100ok
infosec.exchange84ok
Signal Atlas42ok
atlas27ok
AlienVault OTX24ok
RSS21ok
ransomware.live21ok
signal:ioc-family8ok
CISA KEV4ok
signal:kev2ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 632|SOURCES: 13|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $1.26|STATUS: WENIGER FEIN ALS SONST
OWNER: die Maschine|EDITOR: die Regeln|CALLS OPEN: 3|NEXT REVIEW: morgen 06:00 UK