Ein täglicher Feldbericht über Dinge, die wahrscheinlich in Ordnung sind
No. 33·Freitag 30 Oktober 2026·Erscheint 06:00 UK·Fine-Anzeige 3/5: Nicht ganz in Ordnung
Aufmacher · Sicherheitslücken
CISA nimmt eine Cisco-Firewall-Zero-Day-Lücke auf, deren gesamte Nutzlast darin besteht, dass die Firewall umfällt
CVE-2026-76418 in Secure Firewall ASA und FTD steht im KEV-Katalog und wird aktiv ausgenutzt. Es ist die zweite Zero-Day-Lücke in Cisco-Firewall-VPNs seit August.
Konfidenz0.90
Wir reden uns ein, die Firewall sei der Perimeter. Das ist sie nicht. Sie ist ein mit dem Internet verbundenes Gerät, auf dem fremder C-Code läuft und das Remote-Access-SSL-VPN für Menschen terminiert, die gar nicht im Gebäude sind. Am Mittwoch hat die CISA CVE-2026-76418 in den Katalog der Known Exploited Vulnerabilities aufgenommen, weil ein nicht authentifizierter Angreifer sie erreichen und einen Neustart auslösen kann. Cisco hat einen Patch bereitgestellt. Die Angreifer waren zuerst da, und genau das bedeutet Zero-Day, wenn man das Marketing abzieht.
Die Zahlen sind zugleich der Witz und der Beleg. CVSS 8,6, in freier Wildbahn ausgenutzt, und ein EPSS von 0.00574 – ein Bewertungssystem, das weiter vor sich hin murmelt, eine Ausnutzung sei unwahrscheinlich, während die Ausnutzung bereits in der Schlagzeile steht. SecurityWeek zählt es als die zweite ausgenutzte Zero-Day-Lücke in Cisco-Firewall-VPNs seit August. Zwei Tage zuvor hatte die NVD CVE-2026-106174 veröffentlicht, eine Schwachstelle durch unsachgemäße Sperrung in FortiOS 8.0.0 und 7.6.4 bis 7.6.6, mit der ein nicht authentifizierter Angreifer die HTTPS-Verwaltungsoberfläche per präparierter Anfragen lahmlegen kann. Anderer Hersteller, gleiches Regalfach im selben Schrank.
Unangenehmer ist die Lesart, dass der Denial-of-Service kein geringeres Übel ist. Das Gerät, das ausfällt, ist dasjenige, das das VPN, die Logs, die Richtlinien und den Großteil Ihrer Erzählung von der Segmentierung getragen hat. Beim Neustart zeigt sich, wie viel Ihrer Architektur in Wahrheit ein einziges Gerät mit selbstbewusstem Logo war. Patchen Sie heute, denn es ist Freitag, und am Freitag kommt die Flut.
Warum es wichtig istWer ASA, FTD oder einen betroffenen FortiOS-Build betreibt: Die Lücken sind nicht authentifiziert, aus der Ferne erreichbar und werden bereits genutzt; die KEV-Fristen nehmen auf Ihren Change Freeze keine Rücksicht.
Eine Frist, die man nicht gesetzt hat, ist trotzdem eine Frist. Der Veröffentlichungskalender der Leak-Site ist der einzige Zeitplan in diesem Vorfall, der nie ins Rutschen geraten ist.
— Sturgeon's Revelations · Probably Fine Daily No. 33
Jeden Morgen06:00 UK
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§2
Schlagzeilen
Der Rest der letzten 24 Stunden – mit Belegen.
Sicherheitslücken
GitLab erreicht CVSS 10.0, und jemand hat es am eigenen Server von Alpine Linux versucht
Die CISA hat am 29. Oktober CVE-2026-97229 in den KEV-Katalog aufgenommen: einen Integer-Überlauf in GitLab Community und Enterprise Edition, über den ein nicht authentifizierter Nutzer mittels eines präparierten regulären Ausdrucks Code auf dem Server ausführen kann, bewertet mit 10.0. Alpine Linux teilte am 28. Oktober mit, ein Angreifer habe die Lücke eine Woche nach Veröffentlichung des Fixes durch GitLab gegen den GitLab-Server des Alpine-Projekts selbst versucht. Der EPSS liegt bei 0.18 – eine Erinnerung daran, dass EPSS eine Wettervorhersage ist und KEV jemand, der im Regen steht. Wer GitLab selbst betreibt, hat es mit dem System zu tun, das CI/CD, Runner und Deployment-Zugangsdaten bündelt.
Warum es wichtig istNicht authentifizierte Remote-Code-Ausführung auf einem Build-Server ist kein Problem der Codequalität, sondern ein Schlüssel zu allem, was dieser Server ausliefern darf.
KeyDrift stiehlt die Schlüssel, die Ihren Standortverkehr verschlüsseln, und niemand ist sich einig, wer dahintersteckt
Angreifer nutzten CVE-2026-20127, eine Authentifizierungsumgehung in Cisco Catalyst SD-WAN Controllern, um ein eigens entwickeltes Framework namens KeyDrift einzuschleusen, das die Schlüssel zur Verschlüsselung des Verkehrs zwischen Standorten kopiert und für später ablegt. BleepingComputer und The Record beschreiben UAT-11473 als neu identifizierte APT und weisen darauf hin, dass die Lücke im Februar behoben wurde; SecurityWeek berichtet, Talos ordne die Infrastruktur dem Netzwerk Silent Train zu, das Lumen mit Volt Typhoon in Verbindung gebracht hat. Das sind nicht dieselben Geschichten, und „für später“ ist der Teil, den man zweimal lesen sollte: Das ist Datensammlung mit Verfallsdatum, kein Überfall im Vorbeigehen.
Warum es wichtig istWer Catalyst-SD-WAN-Controller betreibt: Ein Patchstand vom Februar ist keine Beruhigung. Rotieren Sie das Schlüsselmaterial und suchen Sie aktiv, denn gestohlene Schlüssel lösen keinen Alarm aus.
Erpressung ist jetzt ein Veröffentlichungskalender, und der 29. Oktober war Redaktionsschluss
Die Tracker verzeichneten binnen sieben Tagen 179 Leak-Site-Meldungen von 36 der 267 beobachteten Gruppen, darunter Booba Project mit 17 Meldungen gegenüber 2,35 erwarteten nach der eigenen Vorrate sowie rhysida mit 6 gegenüber 1,38. Qilin sorgte am 29. Oktober über vier Spiegel hinweg für einen Tagesschub und listete City of Columbia SC, Proterial, W Interactive und Udima; Booba Project veröffentlichte Einträge aus Verwaltung, Bildung und Gesundheitswesen mit angegebenen Datenmengen von unter 1 GB bis 295 GB. Everstake setzte noch einen drauf und veröffentlichte einen Fahrplan: 417.94 Gb als Published markiert, dann 494 Gb für den 4. November, 370.73 Gb für den 6. November und 1.35 Tb für den 7. November. Das ist keine Hackerszene, sondern ein Veröffentlichungsrhythmus mit Redaktionsplan.
Warum es wichtig istZwei der datierten Everstake-Einträge fallen in die kommenden zwei Wochen – für jemanden läuft damit eine Meldefrist, ob er sie gestartet hat oder nicht.
PHP2Shell: Die Massenausnutzung blieb aus, und genau das ist der Befund
Die CISA wies US-Bundesbehörden an, eine schwerwiegende Rechteausweitungslücke im Linux-Kernel namens Fragnesia zu patchen, die Angreifer in freier Wildbahn mit den PHP2Shell-Schwachstellen verketten. Ein Unternehmen hat rund ein halbes Dutzend PHP2Shell-Ausnutzungen aufgelistet, ein weiteres eine gezielte, mutmaßlich chinesische Kampagne gegen Server mit Bezug zur US-Regierung ausgemacht – weit entfernt von der internetweiten Katastrophe, die die erste Woche versprochen hatte. Eine Forschungsnotiz erklärt den Grund: Funktionierende Exploits mussten auf den genauen PHP-Build des jeweiligen Ziels zugeschnitten werden, ausgenommen Systeme mit gemeinsamem Image wie Netzwerkgeräte, bei denen ein einmal angepasster Exploit jedes Gerät erreicht, das ihn ausführt.
Warum es wichtig istIhre individuell gewachsene PHP-Landschaft ist zufällig schwer im großen Stil auszunutzen; Ihre identische Geräteflotte ist zufällig leicht auszunutzen. Das ist die Inventarfrage, die heute zu beantworten ist.
Das Modell schrieb den Exploit, und der Benchmark hat einen Prozentwert mit zwei Nachkommastellen
Anthropic erklärte am 27. Oktober, sein Modell habe einen Exploit für CVE-2026-98432 geschrieben, eine TCP-Schwachstelle im Linux-Kernel, vom CVE-Team des Kernels mit 9,8 bewertet und mit Auswirkungen auf Ubuntu, RHEL und weitere Distributionen. Zudem habe eine unveröffentlichte Version mehrere Schwachstellen in Chrome, Safari, Android, Windows und Linux gefunden und verkettet. Google brachte in derselben Woche Gemini 4 Carbon auf den Markt, beansprucht 88,2 % bei SEC-bench Pro und führt es zunächst für geprüfte Cyberverteidiger über sein Fairwind Programme ein. Das sind Herstellerangaben der Anbieter der Modelle und sollten als solche gelesen werden. Es ist zugleich dieselbe Behauptung, die Verteidiger seit zwei Jahren nervös aufstellen – nun auf der Verpackung gedruckt.
Warum es wichtig istDas Zeitfenster zwischen einer öffentlichen CVE und einem funktionierenden Exploit ist die einzige wirklich knappe Ressource im Patch-Management, und beide Anbieter werben damit, es verkürzen zu können.
Jemand installierte echtes Claude Code und echtes Codex auf Unternehmensrechnern und schaltete die Sandbox ab
Ein nicht autorisierter Relay-Dienst installiert echte Kommandozeilenwerkzeuge von OpenAI Codex und Anthropic Claude Code auf Unternehmenssystemen und konfiguriert sie so um, dass jede Anfrage über das Relay läuft, mit auf vollen Zugriff gestellter Sandbox; Dark Reading berichtet, derselbe Dienst versorge Regionen, in denen diese Produkte offiziell nicht verkauft werden. Drumherum: ein gefälschtes Solana-Starter-Kit auf GitHub, das KI-Coding-Agenten zur Installation eines NetSupport-RAT verleiten soll, eine wiederkehrende Krypto-Mining-Kampagne auf Hugging Face mit einem über 28.000 Mal heruntergeladenen Modell, Aurora-Ransomware, die Cursor Agent missbraucht, gefälschte ChatGPT- und Claude-Desktop-Apps, die unter dem Namen Yoba Miner verteilen, sowie 26.400 Cloud- und KI-Zugangsdaten, die in 7,25 Millionen öffentlichen Gitee-Repositories noch gültig sind. Auch die Abwehr meldete sich: Cisco stellt Project Quarry als Open Source für Agentenangriffe bereit, die erst über Folgen harmloser Einzelschritte entstehen, und GitHub zeigt in der Vorschau eine Firewall für die npm-Installationszeit.
Warum es wichtig istEin Coding-Agent ohne Leitplanken ist ein Entwicklerarbeitsplatz mit einem zusätzlichen Paar Hände und ohne Einarbeitung; erfassen Sie, wo Agenten laufen und worauf sie zugreifen dürfen.
Binance untersucht bis zu 5,8 Milliarden Dollar, und die kleinen Fälle sind weiterhin die lehrreichen
Binance untersucht einen möglichen Einbruch mit bis zu 5,8 Milliarden Dollar an digitalen Vermögenswerten, der – sollte er sich bestätigen – der größte Kryptowährungs-Hack aller Zeiten wäre. Polymarket setzte den Handel aus, nachdem ein Drittanbieterdienst kompromittiert worden war, um wallet-leerendes JavaScript auszuliefern; rund 2,5 Millionen Dollar wurden zu einer mutmaßlichen Angreifer-Wallet zurückverfolgt. Eine gefälschte Trading-App namens Padre Terminal, die im Apple App Store zu finden war, wird mit rund 23.000 Dollar in Verbindung gebracht, die aus 27 Solana-Wallets entwendet wurden. Forscher verfolgten zudem russischsprachige Traffer-Teams, die seit dem Frühjahr 2026 ihre Affiliate-Betrugsmodelle auf Prognosemärkte verlagern – das Ökosystem folgt dem Geld mit weniger Reibung, als wir je einem Change Request folgen.
Warum es wichtig istZwei der drei Fälle betrafen Lieferkette von Drittanbietern und App-Store-Vertrauen, nicht die Kryptografie der Börse; die Kontrolle, die versagte, lautete: „Wer sonst darf vor Ihren Nutzern Code ausführen?“
Eine E-Mail-Adresse, eine Ransomware-Gruppe namens Booba Project und ein Anruf, den man nicht annehmen sollte
Forscher fanden eine Schwachstelle in der Code-Forge von GNU, über die Angreifer Bash mit einer Hintertür hätten versehen können, erreichbar über eine präparierte E-Mail-Adresse – ein Satz, den man langsam und zweimal lesen sollte. Eine Schwachstelle in Telegram für Android ließ sich mit zwei weiteren Fehlern verketten, um die volle Kontrolle über ein Telefon zu übernehmen, sobald das Opfer einen Sprachanruf annahm, und zwar allein mit einem gewöhnlichen Telegram-Konto; sie ist in Version 12.10.4 behoben. Und auf Mastodon entdeckte jemand, dass es nun eine Ransomware-Crew namens Booba Project gibt, die diese Woche Einträge aus Verwaltung und Bildung veröffentlicht, während der Rest von uns die Fiktion pflegt, über hochentwickelte Gegner zu berichten.
Warum es wichtig istAktualisieren Sie Telegram auf Android, und finden Sie sich damit ab, dass das nie validierte Kennungsfeld der Ausführungspfad von jemand anderem ist.
Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.
Unter den Feeds: ein enormer Donnerstag, vier Spiegel, die einander bestätigen, und eine NVD, die aufgehört hat zu reden
Exception 01
Der Qilin-Ausschlag ist womöglich ein Batch und keine fünfzig Vorfälle
Qilin erscheint in 50 Einträgen mit Datum 29. Oktober über atlas, ransomlook, ransomware.live und signal:atlas, bei einem Median von 0 an den übrigen Tagen des Fensters. Ein Teil davon ist sehr wahrscheinlich ein Sammelpost oder ein Scraper-Backfill statt 50 einzelner Opfer, und diese Daten lassen keinen Schluss darauf zu, was zutrifft.
Konfidenz0.60Speculative
Wrong if
Die Qilin-Einträge lösen sich in verschiedene Opfernamen mit über die Vortage verteilten Anspruchsdaten auf, oder dieselben Opfer tauchen früher in anderen Trackern auf.
Watch
Ob die Qilin-Zahlen am 30. und 31. Oktober auf das Normalniveau zurückfallen und ob die Opferliste über die Spiegel hinweg eindeutig ist.
Ihre Leak-Site-„Bestätigung“ besteht aus vier Spiegeln einer Quelle
Ransomlook lag bei Everstake, Shiba und Emperador etwa 1 bis 5 Stunden vor ransomware.live; ransomware.live lag bei WhiteArmor und Booba Project 1 bis 2 Stunden vor ransomlook; signal:atlas hinkt ransomware.live um 3 bis 8 Stunden hinterher. Kein Aggregator ist bei allem zuerst, und Übereinstimmung unter ihnen ist Spiegelung, keine unabhängige Bestätigung.
Konfidenz0.55
Wrong if
Die Verzögerungen folgen Abfrageintervallen oder Unterschieden in den Zeitstempelfeldern, nicht der Reihenfolge der Entdeckung.
Watch
Ob sich dieselbe Reihenfolge bei neu beobachteten Gruppen in den nächsten Tagen wiederholt.
Die NVD verstummte nach dem 28. Oktober, und niemand bemerkte es
Die NVD lieferte 100 Einträge, alle früh im Fenster, nichts nach 2026-10-28T19:32. Am wahrscheinlichsten liegt eine Aufnahmegrenze oder eine Abfragelücke vor und keine Veröffentlichungspause, doch alles, was seither veröffentlicht wurde, fehlt in dieser Auswertung, darunter Details zu den neuen KEV-Einträgen.
Konfidenz0.50Speculative
Wrong if
Spätere NVD-Einträge existieren im Datenspeicher und wurden durch das Fenster oder die Grenze von 100 Einträgen ausgeschlossen.
Watch
Ob die NVD-Erfassung im nächsten Erhebungslauf wieder aufgenommen wird.
Nothing to seeÜberhaupt keine zeitlichen Cluster, also kein statistisches Anzeichen koordinierter Veröffentlichung. Entitätstreffer zu „payload“, „s.com“ und „g.com“ sind Extraktionsartefakte und bedeuten nichts. Das Fenster ist einseitig, mit 216 von 381 Einträgen am 29. Oktober; jeden Trend hier sollte man deshalb als einen einzelnen Tag im Trendmantel behandeln.
Deep read: 382 Artikel gelesen
§4
Prognose
Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.
Today’s calls
DueCallConfidence
DueSat 7 Nov8 days
Mindestens eine der geplanten Veröffentlichungen von Everstake (der Eintrag mit 494 Gb vom 4. November oder der mit 370.73 Gb vom 6. November) erscheint bei ransomlook oder ransomware.live als veröffentlicht.
Wrong ifBeide Einträge überschreiten ihre genannten Termine ohne Status „veröffentlicht“, oder die Einträge verschwinden von der Leak-Site.
Die Qilin-Leak-Site-Einträge fallen bei den Trackern wieder unter zehn pro Tag, was bestätigt, dass der Wert vom 29. Oktober ein Batch und kein anhaltender operativer Anstieg war.
Wrong ifQilin veröffentlicht bis zum 2. November an irgendeinem Tag zehn oder mehr verschiedene Opfereinträge.
Öffentliche Ausnutzungsdetails oder ein funktionierender Proof of Concept für GitLab CVE-2026-97229 werden in diesen Feeds gemeldet, über den Versuch bei Alpine Linux hinaus.
Wrong ifBis zum Stichtag erscheinen in den Nachrichten-, KEV- oder OTX-Feeds keine weiteren Berichte über Ausnutzung oder PoC zu CVE-2026-97229.
A ransomware or extortion group will claim Ahold Delhaize on a leak site tracked by ransomware.live or ransomlook by 30 October 2026.
Called Tue 20 Oct · due Fri 30 Oct
The call is due today, and no ransomware.live or ransomlook item names Ahold Delhaize or one of its brands.
wrong
Majinahanashi's pending Jons Civil Engineering Company Ltd. (JCEL) post moves from PENDING to published by the end of 29 October 2026, in line with its stated 28 October schedule.
Called Mon 26 Oct · due Thu 29 Oct
The call is past its 29 Oct due date, and no item shows a Majinahanashi JCEL post. The only Majinahanashi item is an Atlas Manufacturing story.
right
CISA adds at least one further vulnerability to the Known Exploited Vulnerabilities catalog.
Called Thu 29 Oct · due Thu 5 Nov
CISA KEV added CVE-2026-97229 (GitLab) and CVE-2026-76418 (Cisco ASA/FTD) on 29 Oct.
Ein Status auf einer Leak-Site, etwa „494 Gb, Status: Scheduled, 4. November“. Er bedeutet, dass die Daten nun einen Besitzer, eine Größe, eine Kategorie und ein Veröffentlichungsdatum haben – drei Projektmanagement-Artefakte mehr, als Ihr Incident-Response-Plan derzeit vorweist.
§5
Von unserem Rand
Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.
Unser eigener Edge profilierte in 24 Stunden 97 feindliche Quellen: 55 Bot-Crawler, 34 Scanner, fünf gezielt vorgehende Akteure und drei Brute-Forcer, die zusammen 9,724 Anfragen sendeten, von denen 56 über die Aufklärung hinaus in tatsächliche Ausnutzungsversuche übergingen. Neun Adressgruppen teilten einen Verhaltensfingerabdruck, darunter ein Cluster aus 30 IPs, die sich wie ein einziges Werkzeug oder ein einziger Betreiber mit wechselnden Adressen verhielten. Den Preis für Feindseligkeit gewann 143.244.57.121 mit 7,7 von 10: Die Adresse stellte 20 Anfragen nach wlwmanifest.xml und xmlrpc.php unter einem /login-Pfad und erreichte dabei den Zugriff auf Zugangsdaten. Anderswo feuerte 93.123.109.165 in rund 12,5 Sekunden 353 Anfragen auf unsere Admin-Pfade ab, 20.211.122.120 ging nach /aa.php und /wp-act.php einkaufen, und zwei Adressen versprühten noch immer CVE-2017-9841 gegen uns, einen benannten Exploit von 2017, weil das Internet keine Patch-Hinweise liest. Insgesamt sahen wir 12,534 Adressen aus 125 Ländern, 8,636 davon heute zum ersten Mal. Rohprotokolle haben den Server nie verlassen.
97feindliche Quellen profiliert
9,724Anfragen von ihnen
56bis zur Ausnutzung gelangt
9Cluster mit gemeinsamer DNA
8.5/10höchste Feindseligkeit
12,534Adressen an unserem Edge
8,636heute erstmals gesehen
125Länder
Die WTF-Liste
WTF #1
Der hartnäckigste Besucher
143.244.57.121, ein gezielt vorgehender Akteur (Feindseligkeit 7.7/10), sandte 20 Anfragen an eine unserer Websites und sondierte /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Warum es seltsam istHöchste Feindseligkeit im Feld; seine Kill Chain erreichte credential-access.
185.191.171.15, ein Bot-Crawler (Feindseligkeit 0.6/10), sandte 170 Anfragen an 3 unserer Websites und sondierte /threat-check/HP%20Multiple%20Products%20Remote%20Code%20Execution%20V, /threat-check/Multiple%20SugarCRM%20Products%20Remote%20Code%20Executi, /threat-check/Microsoft%20Windows%20Runtime%20Remote%20Code%20Executio, /threat-check/D-Link%20Multiple%20Routers%20Remote%20Code%20Execution%.
Warum es seltsam ist30 IPs teilen einen Verhaltensfingerabdruck (DNA 2581d8d3e47e): ein Werkzeug oder ein Betreiber mit wechselnden Adressen: 85.208.96.202, 185.191.171.18, 85.208.96.212, 185.191.171.10, 85.208.96.197 und weitere.
attribution: unbekanntThu 29 Oct, 22:00 UTC
Detail
Kill Chain: reconnaissance → exploitation · DNA 2581d8d3e47e
WTF #3
CVE-2017-9841 wird an uns erprobt
2 Adressen sandten 8 Anfragen nach dem Muster einer Ausnutzung von CVE-2017-9841 (/vendor/phpunit/phpunit/…), darunter 185.177.72.13, 161.248.179.19.
Warum es seltsam istEin bekannter, benannter Exploit wird noch immer ins Internet gesprüht; unser Edge sah ihn heute, was auch immer die Patch-Hinweise über das Jahr sagen.
attribution: unbekannt
Detail
Sondierungsfamilie: phpunit-rce
WTF #4
Die seltsamste Einkaufsliste
20.211.122.120, ein Scanner (Feindseligkeit 6.4/10), sandte 47 Anfragen an eine unserer Websites und sondierte /aa.php, /upload.php, /wp-act.php, /wp-content/index.php.
Warum es seltsam istFragte nach Dateien, nach denen kaum jemand sonst fragt: /aa.php, /upload.php, /wp-act.php, /wp-content/index.php, /wp-content/uploads/wpr-addons/forms/b1ack.php.
attribution: unbekanntThu 29 Oct, 22:00 UTC
Detail
Kill Chain: reconnaissance → weaponization · DNA dfef4501b216
WTF #5
In Eile
93.123.109.165, ein Brute-Forcer (Feindseligkeit 4.5/10), sandte 353 Anfragen an 3 unserer Websites und sondierte /admin/login, /admin/login/livewire/update, /admin, /admin/dashboard.
Warum es seltsam istFeuerte 353 Anfragen in rund 12,5 Sekunden ab.
attribution: unbekanntThu 29 Oct, 22:00 UTC
Detail
Kill Chain: reconnaissance → credential-access · DNA a8561adb3b5b
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
179claims, 7 days
36of 267 groups active
qilin32 this week
Booba Project17 this week · surging
N0n14 this week
SurgingBooba Project — 17 claims in 7 days against 2.4 expected from its own prior rate (p < 0.001)
Surgingrhysida — 6 claims in 7 days against 1.4 expected from its own prior rate (p = 0.003)
Surgingeverest — 8 claims in 7 days against 2.7 expected from its own prior rate (p = 0.007)
SurgingFalcon — 3 claims in 7 days against 0.4 expected from its own prior rate (p = 0.007)
Surgingemperador — 10 claims in 7 days against 4.6 expected from its own prior rate (p = 0.020)
Surgingpayload — 5 claims in 7 days against 1.6 expected from its own prior rate (p = 0.022)
UpTransportation — 2.3× its own prior share (71 claims, 31 expected)
UpEducation — 2.1× its own prior share (54 claims, 25 expected)
UpEnergy & Utilities — 1.4× its own prior share (34 claims, 24 expected)
UpHealthcare — 1.4× its own prior share (108 claims, 79 expected)
22% of claims carry no sector label.
Brand churn
Of the 229 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 212 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 9 — newest: Whitearmor (2026-10-23, 16 claims), Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 34% of its claims on Germany (6.7× every other brand's share); N0n put 34% of its claims on Transportation (7.5× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 64% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 196 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 38% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§8
Kolophon
Wie diese Ausgabe entstanden ist – unverblümt.
Ausgabe 33 wurde von Maschinen erstellt und per Code geprüft. Jeder Beitrag, den 13 öffentliche Threat-Feeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlichten (382 Beiträge), wurde vollständig gelesen: Die Statistiken wurden im Code berechnet, jeder Ausschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus synthetisiert. Anschließend redigierte Claude Opus die Zeitung. Jede Geschichte nennt die Beiträge, auf denen sie beruht; Geschichten, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung verworfen (heute 0). Prognosen werden in späteren Ausgaben öffentlich bewertet. „From our edge“ sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: $0.75. Sie wird maschinell in der Stimme von ScottG geschrieben, dem Autor von Everything Is Probably Fine, und niemand hat von Hand redigiert – was entweder der Sinn der Sache oder das Problem ist.
382items read
24hour window
$0.75cost of this edition
05:05 UTCgenerated
Quellen von heute Morgen
NVD100ok
Signal Atlas74ok
Security news60ok
ransomware.live37ok
infosec.exchange37ok
RansomLook28ok
RSS13ok
AlienVault OTX13ok
atlas8ok
signal:ioc-family7ok
signal:kev2ok
CISA KEV2ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 382|SOURCES: 13|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.75|STATUS: NICHT GANZ IN ORDNUNG
OWNER: die Maschine|EDITOR: die Regeln|CALLS OPEN: 3|NEXT REVIEW: morgen 06:00 UK