Aufmacher · Sicherheitslücken

KEV bekam Lieferung vom Netzwerkrand: eine 10,0 in GitLab, eine Firewall, die auf Zuruf neu startet, und zwei Ivanti-Glieder in der Kette von irgendjemandem

Sechs verschiedene aktiv ausgenutzte Schwachstellen sind innerhalb von zwei Tagen aufgetaucht, und jede einzelne steckt in etwas, das man übers Wochenende nicht abschalten kann.

Konfidenz 0.90

Die CISA hat am Donnerstag zwei Schwachstellen in den Katalog der Known Exploited Vulnerabilities aufgenommen: CVE-2026-97229, die mit 10,0 bewertete Remote-Code-Execution-Lücke in GitLab, die ein Angreifer eine Woche nach Auslieferung des Patches gegen den GitLab-Server des Alpine-Linux-Projekts selbst versuchte, sowie CVE-2026-76418, mit 8,6 bewertet, eine Schwachstelle in Cisco Secure Firewall ASA und FTD, mit der ein nicht authentifizierter Angreifer das Gerät zum Neustart zwingen kann. Es ist der zweite Zero-Day in Cisco-VPN-Produkten seit August. Am selben Tag nahm KEV zwei Einträge zu Ivanti Connect Secure auf, CVE-2026-118527 und CVE-2026-111357; die erste lässt sich mit der zweiten und mit CVE-2026-104935 verketten – die höfliche Art der CISA, zu sagen, dass jemand die Kette bereits gebaut hat und einsetzt.

Hinzu kommen zwei Lücken, die ohne KEV-Etikett ausgenutzt werden. Drupal warnte Shopbetreiber, dass CVE-2026-118539, eine fehlende Autorisierungsprüfung in Commerce Core, betroffen sind die Versionen 0.0.0 bis 2.41 sowie 3.0.0 und höher, angegriffen werde und sie ihre Bestellungen prüfen sollten. Und eine Remote-Code-Execution-Lücke im WordPress-Core ganz ohne CVE-Kennung, betroffen sind die Versionen 4.7 bis 7.1.3, zog binnen vierundzwanzig Stunden knapp 63.000 Angriffsversuche auf sich. Eine Schwachstelle ohne Nummer ist ontologisch unbequem: Ihr Scanner findet sie nicht, Ihr Risikoregister kann sie nicht fassen, und wer Sie scannt, braucht keine Nummer.

Darunter entwickelt sich die PHP2Shell-Geschichte weiter. Die CISA wies Bundesbehörden an, die Rechteausweitungslücke Fragnesia im Linux-Kernel zu patchen, weil Angreifer sie in freier Wildbahn mit PHP2Shell verketten; ein Unternehmen zählte rund ein halbes Dutzend Ausnutzungen, ein weiteres stieß auf eine gezielte, mutmaßlich chinesische Kampagne gegen Server mit Bezug zur US-Regierung. Über 22,6 Millionen exponierte Instanzen sind potenziell betroffen, die Angriffe verschaffen sich Root-Rechte auf Firewalls von Palo Alto und scheitern an WordPress, und eine Woche Tests zeigte, dass Exploits auf den exakten PHP-Build des jeweiligen Ziels zugeschnitten werden müssen – außer bei Netzwerkgeräten, wo alle denselben Build betreiben und ein einziger angepasster Exploit sie alle erreicht. Einheitlichkeit ist eine Tugend der Beschaffung und ein Mengenrabatt für Angreifer.

Warum es wichtig istWer ASA oder FTD, Connect Secure, GitLab, Drupal Commerce oder WordPress betreibt, hat sein Wochenende bereits verplant; am Montag wird nach dem Patch-Stand gefragt, nicht nach der Patch-Richtlinie.

Belege

Today’s revelation

Ein Zero-Day in dem Gerät, das Ihr VPN terminiert, ist keine Schwachstelle. Es ist ein Eigentümerwechsel, veröffentlicht als Release Note.

— Sturgeon's Revelations · Probably Fine Daily No. 34

§2

Schlagzeilen

Der Rest der letzten 24 Stunden – mit Belegen.

Akteure

Der größte Krypto-Diebstahl aller Zeiten lief über einen Laptop

Binance erklärt, ein Sicherheitsvorfall habe Vermögenswerte von rund 6,3 Milliarden US-Dollar betroffen, und bringt den Diebstahl mit dem kompromittierten Laptop eines DevOps-Ingenieurs in Verbindung; frühere Berichte nannten bis zu 5,8 Milliarden US-Dollar, Auszahlungen wurden ausgesetzt, und knapp 3 Milliarden US-Dollar sind bislang On-Chain eingefroren, unterstützt von Tether und Circle. Blockchain-Analysten sehen im Diebstahl die Handschrift von Nordkoreas TraderTraitor; das ist ein Rückschluss aus einer einzelnen Berichtskette und keine förmliche Zuschreibung. Versagt hat nicht Kryptografie, Konsens oder Cold Storage. Es war ein einzelner Endpunkt, der jemandem mit den Schlüsseln zur Pipeline gehörte.

Warum es wichtig istIhr wertvollster Schadensradius ist nicht der Produktivcluster, sondern die Handvoll Laptops, die ihn erreichen können; erfassen Sie diese Personen noch diese Woche namentlich.

Konfidenz 0.75

Belege

Schadsoftware & IOCs

KeyDrift bricht Ihr SD-WAN nicht, es kopiert die Schlüssel und wartet

Cisco Talos zufolge hat eine als UAT-11473 verfolgte Gruppe CVE-2026-20127 ausgenutzt, eine bereits im Februar gepatchte Authentifizierungsumgehung in Catalyst SD-WAN Controllern, um ein eigens entwickeltes Malware-Framework namens KeyDrift in den Systemen zu platzieren, die das SD-WAN einer Organisation steuern. KeyDrifts Aufgabe ist es, die Schlüssel zu kopieren, die den Verkehr zwischen Standorten verschlüsseln, und für später abzulegen. Talos verknüpfte die Infrastruktur mit Überschneidungen zu Volt Typhoons „Silent Train“-Netzwerk, wie von Lumen beschrieben – eine Überschneidung, kein Geständnis.

Warum es wichtig istEin im Februar eingespielter Patch rotiert keine im Januar gestohlenen Schlüssel; wer Catalyst-SD-WAN-Controller betreibt, sollte Schlüsselmaterial zwischen Standorten als kompromittiert betrachten und es rotieren.

Konfidenz 0.75

Belege

KI & Sicherheit

Elf Stunden als vertrauenswürdiger Herausgeber genügten

Eine manipulierte Version 2.1.313 der offiziellen Claude-Code-Erweiterung von Anthropic wurde am 29. Oktober rund elf Stunden lang über den Cursor Marketplace verbreitet; ein dem legitimen Code vorangestellter Loader aus 66 Zeilen installierte eine dauerhafte SSH-Hintertür und gefährdete bis zu 5.000 Entwickler; am selben Tag traten bei Cursor zwei schwerwiegende Probleme auf. In derselben Woche wurden 319 Chrome-Erweiterungen mit zusammen 13,4 Millionen Installationen dabei ertappt, Suchen über Tracking-Server für Werbeeinnahmen umzuleiten, ein Forscher fand in öffentlichen Gitee-Repositories 26.400 noch funktionierende Cloud- und KI-Zugangsdaten unter 7,25 Millionen Repos, und GitHub veröffentlichte in einer Vorschau eine npm-Firewall, die verdächtige Pakete bei der Installation blockiert. Entwicklervertrauen ist inzwischen ein Feld in einem Marktplatz, und Marktplätze sind eine Lieferkette, die niemand abgenommen hat.

Warum es wichtig istBehandeln Sie IDE- und Browser-Erweiterungen als installierte Software mit Änderungskontrolle, nicht als persönliche Vorlieben; und gehen Sie davon aus, dass ein Elf-Stunden-Fenster lang genug ist, um zu zählen.

Konfidenz 0.80

Belege

KI & Sicherheit

Das Modell schrieb den Exploit, und der Exploit funktioniert

Anthropic erklärte am 27. Oktober, sein Modell habe einen funktionierenden Exploit für CVE-2026-98432 geschrieben, eine TCP-Schwachstelle im Linux-Kernel, die das CVE-Team des Kernels selbst mit 9,8 bewertet und die Ubuntu, RHEL und andere betrifft; Forscher dort entwickelten eine Remote-Codeausführung als Root ohne Authentifizierung gegen Server mit MPTCP-Listenern; eine unveröffentlichte Claude-Version hat zudem Schwachstellen in Chrome, Safari, Android, Windows und Linux gefunden und verkettet. Google zufolge erreichte Gemini 4 Carbon 88,2 % auf SEC-bench Pro und wird zunächst über das Fairwind Program an geprüfte Verteidiger ausgerollt. Währenddessen berichtet CrowdStrike, dass staatlich unterstützte chinesische Akteure ein in Go geschriebenes, KI-gestütztes Penetrationstest-Framework namens ARTEX gleichzeitig gegen mehr als 200 Organisationen einsetzen. Die Asymmetrie besteht nicht darin, dass Angreifer KI haben. Sie besteht darin, dass die Exploit-Entwicklung nicht mehr der langsame Teil ist.

Warum es wichtig istPlanen Sie Patch-Fenster gegen Exploit-Entwicklung in Maschinengeschwindigkeit, nicht gegen die Woche, die jemand früher für das Schreiben brauchte.

Konfidenz 0.80

Belege

Ransomware

Qilin meldete an einem Tag sechzig Opfer, und alle Tracker sahen es doppelt

Unsere Tempo-Zählung ergibt 178 Leak-Site-Meldungen in sieben Tagen von 35 der 269 beobachteten Gruppen; Booba Project schnellte auf 17 hoch, erwartet waren nach der eigenen früheren Rate 2,33, rhysida kam auf 8 statt 1,38, SilentRansomGroup auf 8. Auf Qilin entfallen am 30. Oktober 60 Einträge gegenüber einem Median von fünf an anderen Tagen, mit Schwerpunkt Mexiko – Innoe Asesores, Grupo Ciosa, Farmacia I, Sistemas Visuales 360 – sowie Palletline im Vereinigten Königreich, Light Rail Manila und Honghwa International in Taiwan. Zu beachten: ransomlook hinkt ransomware.live bei denselben Opfern ein bis zwei Stunden hinterher, vier Quellen sind also oft eine Quelle in vier Mänteln. SilentRansomGroup nahm Susman Godfrey für sich in Anspruch, und leakeddata veröffentlichte ArentFox Schiff, mit geschwärzten Einträgen auf beiden Seiten, die dieselben Initialen tragen.

Warum es wichtig istEin Veröffentlichungsstapel ist keine Angriffswelle; zählen Sie Opfer, nicht Einträge, bevor Sie dem Vorstand sagen, die Branche stehe unter Belagerung.

Konfidenz 0.80

Belege

Akteure

Drei Wege, Krypto zu verlieren, die nichts mit Ihrer Wallet-Software zu tun haben

Polymarket setzte den Handel aus, nachdem Angreifer eine Drittanbieter-Integration zur Leistungsüberwachung kompromittiert und über eine DebugBear-CDN-URL Wallet-leerendes JavaScript ausgeliefert hatten; rund 2,5 Millionen US-Dollar wurden zu einer mutmaßlichen Angreifer-Wallet zurückverfolgt. Trezor liegen glaubwürdige Berichte vor, wonach ein beim Händler CryptoBilis in Südostasien gekaufter Safe 5 eine zusätzliche Platine enthält, die die Wiederherstellungsphrase über ein Mobilfunknetz überträgt; Trezor hat das Gerät noch nicht untersucht und warnt alle, die bei diesem Händler gekauft haben. Und eine gefälschte Trading-App namens Padre Terminal, zuvor im Apple App Store, wird mit rund 23.000 US-Dollar in Verbindung gebracht, die 27 Solana-Wallets entzogen wurden.

Warum es wichtig istIhre Skript-Tags von Drittanbietern, Ihre Händler und Ihre App-Stores sind allesamt Produktionsabhängigkeiten; inventarisieren Sie sie so, wie Sie Server inventarisieren.

Konfidenz 0.80

Belege

Politik

GCHQ kann den Verbleib Tausender Datenspeichergeräte nicht klären, und die Aufsicht ist enttäuscht

Das Investigatory Powers Commissioner's Office erklärte in seinem am Donnerstag veröffentlichten Jahresbericht für 2025, es sei „sehr besorgt“ und „enttäuscht über die Zeit, die GCHQ für die Untersuchung der Angelegenheit gebraucht hat“; die Behörde habe „noch kein ausreichend klares Verständnis von Umfang, Verbleib und Wiederauffindbarkeit“ der Geräte gewonnen, die Verluste würden auf „Tausende“ geschätzt, und die zugrunde liegenden Probleme seien vor mehreren Jahren angesprochen worden. Aus der Strafverfolgung: Das FBI beschlagnahmte die Domain des Bulletproof-Hosters Virtualine, der Hacker-Dienste zur Miete beherbergte und Ransomware- und Infostealer-Betreiber unterstützte, und ein als Th3Pr0 bekannter Hacker der Syrian Electronic Army wurde zu 42 Monaten verurteilt, wegen einer Verschwörung, deren gefälschter Tweet einen Börsenverlust von 136 Milliarden US-Dollar auslöste.

Warum es wichtig istDas Asset-Inventar ist die Kontrolle, die alle als ausgereift abhaken und die niemand belegen kann; wenn die Fernmeldeaufklärung das nicht schafft, ist auch Ihre Tabelle die Momentaufnahme einer Flut.

Konfidenz 0.85

Belege

Kurioses

Die am schnellsten wachsende Ransomware-Marke dieser Woche heißt Booba Project

Unsere eigene Tempo-Analyse nennt Booba Project als größten Ausreißer der Woche: 17 Leak-Site-Meldungen in sieben Tagen gegenüber 2,33 erwarteten nach der eigenen früheren Rate, p unter 0,001; der einzige Kommentar, den wir dazu gefunden haben, ist ein Mastodon-Beitrag, der sinngemäß fragt, ob das wirklich der Name sei. Er ist es. Irgendwo entscheidet ein Threat-Intelligence-Team, ob dieses Wort auf eine Vorstandsfolie kommt, und anderswo liest es ein Versicherer in einem Schadenformular.

Warum es wichtig istGruppennamen sind Marketing, keine Taxonomie; verfolgen Sie Vorgehensweise und Infrastruktur, denn die Marke wird umbenannt, bevor Ihre Erkennungsregeln ausgeliefert sind.

Konfidenz 0.85

Belege

§3

Verborgen

Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.

Unter den Feeds: ein Qilin-Veröffentlichungsstapel mit vier Quellenabzeichen, eine Atlas-„Fusion“-Schicht, die keine CVE nennt, und ein NVD-Feed, der am 29. Oktober abrupt endet.

Exception 01
Der Qilin-Ausschlag ist real, aber es ist ein einziger Feed, gespiegelt
Qilin zeigt am 30. Oktober 60 Einträge gegenüber einem Median von 5 an anderen Tagen über vier Quellen, doch ransomlook hinkt ransomware.live bei denselben Opfern um etwa ein bis zwei Stunden hinterher (akira 1,3 h, pear 1,3 h, dragonforce 1,8 h, rhysida 2,1 h), und die Atlas-Meldung geht dem ransomware.live-Eintrag um 19,3 Stunden voraus. Das ist eine zugrunde liegende Beobachtung plus Ableitungen, höchstwahrscheinlich ein Veröffentlichungsstapel oder ein Scrape-Nachholen, mit mexikanischem Schwerpunkt. Die beiden Tracker widersprechen sich zudem bei den Branchenzuordnungen derselben Opfer.
Konfidenz 0.70
Wrong if
Die Zeitstempel auf Qilins eigener Leak-Site zeigen, dass sich die Meldungen gleichmäßig auf frühere Tage verteilen, oder die mexikanischen Opfer erweisen sich als Teil einer bekannten früheren Kampagne.
Watch
Ob das Qilin-Volumen am 31. Oktober und 1. November erhöht bleibt oder auf etwa fünf pro Tag zurückfällt.
Belege
Exception 02
„KEV × Ransomware“-Fusion-Tags werden durch keinen Eintrag gestützt
Everest kommt am 30. Oktober auf 12 bis 13 Einträge, überwiegend aus der Signalschicht, die Atlas um 72,5 Stunden hinterherhinkt, und die nahezu identischen Geschichtensätze über vier Branchen wirken wie ein Methodenartefakt. Kein Eintrag im Zeitraum verknüpft eine bestimmte KEV-CVE mit einer benannten Ransomware-Gruppe, und die Branchenzuordnungen passen nicht zusammen, etwa wurde das Werftopfer von whitearmor unter Einzelhandel abgelegt. Behandeln Sie das Fusion-Ergebnis als Heuristik, nicht als Befund.
Konfidenz 0.65
Wrong if
Eine Opfererklärung oder ein Vorfallbericht nennt eine bestimmte KEV-CVE, die everest, qilin oder eine andere mit Fusion-Tag versehene Gruppe genutzt hat.
Watch
Jede benannte CVE, die in einem Leak-Site-Beitrag oder einer Warnung auftaucht; behandeln Sie die Konfidenzwerte dieser Tags als nicht validiert.
Belege
1. 1RansomLookwhitearmor leaked KTU Shipyard — Company: PT Karya…
Exception 03
NVD verstummt nach einem WordPress-Plugin-Massenstapel
Alle 100 NVD-Einträge im Zeitraum liegen vor 2026-10-29T17:21, wobei rund 75 WordPress-Plugin-CVEs am 28. Oktober um 06:16 und 07:16 gebündelt gestempelt wurden. Das Schweigen ist eher ein Ingest-Abbruch oder eine Obergrenze des Feeds von 100 Einträgen als eine Veröffentlichungspause, doch der Stapel begräbt tatsächlich Einträge mit hoher Wirkung, darunter die Fälschung von Zahlungsbenachrichtigungen in WooCommerce ohne Authentifizierung und Datei-Upload-Pfade zur Codeausführung.
Konfidenz 0.50Speculative
Wrong if
NVD-Einträge vom 30. bis 31. Oktober existieren im Roh-Feed und wurden vom Collector schlicht übersehen.
Watch
Ob NVD-Einträge im nächsten Durchlauf wieder erscheinen; falls ja, lag der Abbruch bei uns, nicht bei ihnen.
Belege
Exception 04
SilentRansomGroup und leakeddata teilen Zeitpunkt und Initialen
SilentRansomGroup (8 Einträge) und leakeddata (4 Einträge) schnellten am 30. Oktober beide hoch, mit geschwärzten Einträgen, die dieselben Initialen tragen, beide betreffen Anwaltskanzleien, wobei ransomware.live der Signalschicht um 5,8 Stunden vorausgeht. Das ist vereinbar mit gemeinsamer Infrastruktur, Überschneidung von Affiliates oder damit, dass eine Seite die andere spiegelt, und ebenso mit Zufall. Die Opfer sind nicht benannt, und die Beweislage ist dünn.
Konfidenz 0.40Speculative
Wrong if
Die geschwärzten Einträge lösen sich zu unterschiedlichen, unverbundenen Opfern auf, oder leakeddata erweist sich als Aggregator, der die andere Seite abgreift.
Watch
Ob die Namen entschwärzt werden und ob nächste Woche weitere Anwaltskanzleien als Opfer auftauchen.

Nothing to seeEs gibt keinen Beleg für eine Verbindung zwischen Binance und Polymarket, und nichts im Zeitraum verknüpft eine KEV-CVE mit einer benannten Ransomware-Gruppe. Die in dieser Woche gemeldeten japanischen Expositionen zeigen keinen Hinweis auf einen Zusammenhang. Quellenübergreifende Zählungen sind durchgehend aufgebläht, weil rss und cyber-news identische Texte führen und ransomlook ransomware.live spiegelt.

Deep read: 490 Artikel gelesen

§4

Prognose

Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.

Today’s calls

DueWed 4 Nov4 days
Die Leak-Site-Meldungen von Qilin fallen zwischen dem 1. und 4. November bei ransomware.live und ransomlook auf unter 15 Meldungen an jedem einzelnen Tag zurück, was bestätigt, dass der Tag mit 60 Einträgen ein Stapel und keine Kampagne war.
Wrong ifAn irgendeinem einzelnen Tag in diesem Zeitraum zeigen sich 15 oder mehr unterschiedliche Qilin-Opfermeldungen.
Belege
f-2026-10-31-1
Confidence0.70
DueSat 7 Nov7 days
CVE-2026-118539, die Autorisierungsumgehung in Drupal Commerce Core, die bereits als ausgenutzt gemeldet ist, wird bis zum 7. November in den CISA-KEV-Katalog aufgenommen.
Wrong ifDie CVE fehlt am 7. November in KEV.
Belege
f-2026-10-31-2
Confidence0.50
DueSat 14 Nov14 days
Bis zum 14. November schreibt keine Regierungsstelle und keine Strafverfolgungsbehörde in diesen Feeds den Binance-Diebstahl förmlich Nordkorea zu; die TraderTraitor-Verbindung bleibt ein Rückschluss von Analysten.
Wrong ifEine benannte Regierungsbehörde schreibt den Diebstahl vor diesem Datum öffentlich DPRK-Akteuren zu.
Belege
f-2026-10-31-3
Confidence0.65

Scorecard

4 right · 1 partly

right
Public reporting of in-the-wild exploitation or a public proof of concept for the two Drupal critical RCEs appears by 1 November.
Called Mon 19 Oct · due Sun 1 Nov
Drupal Commerce Core flaw (CVE-2026-118539) confirmed exploited in the wild by Drupal and SecurityWeek; VulDB also flagged elevated Drupal targeting activity.
Belege
right
The Gentlemen post at least five new named victims to their leak site in a single day.
Called Thu 29 Oct · due Sun 8 Nov
On 30 October, The Gentlemen posted at least three named victims visible in ransomlook (Ined, CommTank, NOVADATA) — total visible on that day from ransomlook entries is at least 3, but checking all entries: Ined, CommTank, NOVADATA = 3, which is fewer than 5. However the due date is 8 November and the call remains open for future days.
partly
A public vendor or CERT report names a third distinct operator using PHP2Shell, beyond the suspected China-nexus actor and the Japanese real-estate extortion staging server.
Called Thu 29 Oct · due Mon 9 Nov
CISA warned of the Fragnesia Linux flaw being chained with PHP2Shell attacks, and one report named Palo Alto firewalls as a PHP2Shell target — these are additional operator/target contexts beyond the two originally known, but no vendor/CERT report explicitly names a third distinct PHP2Shell operator group; due date is 9 November.
Belege
right
Qilin leak-site items fall back below ten per day across the trackers, confirming the 29 October figure was a batch rather than a sustained operational surge.
Called Fri 30 Oct · due Mon 2 Nov
On 30 October Qilin posted at least 9 named victims (Innoe Asesores, iFink, Grupo Ciosa, Farmacia I, Light Rail Manila, Palletline, Societe Ivoirienne, Sistemas Visuales 360, Richland Resources, Honghwa International — 10 total), exceeding ten on a single day, falsifying the call.
Belege
right
Public exploitation detail or a working proof of concept for GitLab CVE-2026-97229 is reported in these feeds, beyond the Alpine Linux attempt.
Called Fri 30 Oct · due Mon 9 Nov
CISA added CVE-2026-97229 to KEV citing active exploitation, and SecurityWeek confirmed exploitation beyond just the Alpine Linux attempt.
Belege

Glossar der Begriffe, bei denen man nicken soll

Vertrauenswürdiger Herausgeber (n.): Ein Feld in einem Marktplatz, das festhält, dass jemand einmal nachgewiesen hat, wer er ist – vor diesem Build, in einem Prozess, den seither kein Mensch mehr angesehen hat und der etwa elf Stunden lang hielt.

§5

Von unserem Rand

Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.

Unser eigener Netzwerkrand hat in den letzten 24 Stunden 46 feindliche Quellen profiliert – 27 Bot-Crawler, 18 Scanner und einen gezielt vorgehenden Operator –, die zusammen 4.567 Anfragen sendeten, von denen 24 über die Aufklärung hinaus in Ausnutzungsversuche übergingen; sieben Adressgruppen teilten einen Verhaltensfingerabdruck. Die Einkaufsliste wurde der Zeit angepasst: 35.241.202.92 arbeitete /.aws/credentials und /.docker/laravel/app/.env ab und fragte dann gezielt nach /.env.anthropic, also API-Schlüssel für Modelle, abgelegt neben Cloud-Schlüsseln in derselben Liste. Am geschäftigsten war 34.50.111.14 mit 274 Anfragen und anhaltend 156 pro Minute, auf der Suche nach /.git/config und .env-Dateien; am feindseligsten mit 7,7 von 10 war 82.102.18.222, zwanzig geduldige Anfragen, die den Credential-Access erreichten; acht Adressen teilten die DNA dfef4501b216, also ein Werkzeug oder ein Operator mit wechselnden IPs. Zwei Adressen versuchten CVE-2017-9841 bei uns, einen benannten Exploit aus einem Jahr, das inzwischen alt genug ist, um Meinungen zu haben. Über den gesamten Netzwerkrand hinweg: 9.931 Adressen aus 125 Ländern, 6.620 davon heute erstmals gesehen. Rohprotokolle haben den Server nie verlassen.

46profilierte feindliche Quellen

4.567Anfragen von ihnen

24erreichten Ausnutzung

7Cluster mit gemeinsamer DNA

7,7/10höchste Feindseligkeit

9.931Adressen an unserem Netzwerkrand

6.620heute erstmals gesehen

125Länder

Die WTF-Liste

WTF #1
Auf der Suche nach Ihren KI-Schlüsseln
35.241.202.92, ein Scanner (Feindseligkeit 5,4/10), sendete 122 Anfragen an eine unserer Websites und suchte nach /.aws/.env, /.aws/credentials.bak, /.docker/laravel/app/.env, /.aws/credentials.
Warum es seltsam istGing direkt auf KI-Zugangsdaten los: /.env.anthropic. API-Schlüssel für Modelle stehen nun neben Cloud-Schlüsseln auf der Einkaufsliste der Scanner.
attribution: unbekanntFri 30 Oct, 20:00 UTC
Detail
```
Kill Chain: Aufklärung → Waffenentwicklung · DNA 18e39c4b41fb
```
WTF #2
Der entschlossenste Besucher
82.102.18.222, ein gezielt vorgehender Operator (Feindseligkeit 7,7/10), sendete 20 Anfragen an eine unserer Websites und suchte nach /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Warum es seltsam istHöchste Feindseligkeit auf der Liste; seine Kill Chain erreichte den Credential-Access.
attribution: unbekanntFri 30 Oct, 20:00 UTC
Detail
```
Kill Chain: Aufklärung → Waffenentwicklung → Ausnutzung → Credential-Access · DNA 82a939927b85
```
WTF #3
CVE-2017-9841 wird bei uns versucht
2 Adressen sendeten 6 Anfragen in der Form einer Ausnutzung von CVE-2017-9841 (/vendor/phpunit/phpunit/…), darunter 45.148.10.64, 193.47.62.168.
Warum es seltsam istEin bekannter, benannter Exploit, der noch immer ins Internet gesprüht wird; unser Netzwerkrand sah ihn heute, was auch immer die Patch-Hinweise über das Jahr sagen.
attribution: unbekannt
Detail
```
Probe-Familie: phpunit-rce
```
WTF #4
Gleiche DNA, andere Adressen
20.217.186.29, ein Scanner (Feindseligkeit 6,7/10), sendete 143 Anfragen an eine unserer Websites und suchte nach /wp-file.php, /222.php, /wp-admin/css/colors/modern/, /wp-admin/css/admin.php.
Warum es seltsam ist8 IPs teilen einen Verhaltensfingerabdruck (DNA dfef4501b216): ein Werkzeug oder ein Operator mit wechselnden Adressen: 20.217.186.29, 104.234.53.174, 104.234.53.151, 35.238.129.244, 20.53.249.197 und weitere.
attribution: unbekanntFri 30 Oct, 20:00 UTC
Detail
```
Kill Chain: Aufklärung → Waffenentwicklung → Ausnutzung · DNA dfef4501b216
```
WTF #5
Die seltsamste Einkaufsliste
20.194.27.148, ein Scanner (Feindseligkeit 6,4/10), sendete 46 Anfragen an eine unserer Websites und suchte nach /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php.
Warum es seltsam istFragte nach Dateien, nach denen fast niemand sonst fragt: /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php, /rip.php.
attribution: unbekanntFri 30 Oct, 20:00 UTC
Detail
```
Kill Chain: Aufklärung → Waffenentwicklung · DNA 83562bd8e880
```
WTF #6
In Eile
34.50.111.14, ein Scanner (Feindseligkeit 6,2/10), sendete 274 Anfragen mit 156 pro Minute an eine unserer Websites und suchte nach /.git/config, /.env, /.env.local, /.env.production.
Warum es seltsam istDie schnellste anhaltende Quelle des Tages mit 156 Anfragen pro Minute.
attribution: unbekanntFri 30 Oct, 20:00 UTC
Detail
```
Kill Chain: Aufklärung → Waffenentwicklung · DNA 83562bd8e880
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

178claims, 7 days

35of 269 groups active

qilin37 this week · surging

Booba Project17 this week · surging

Whitearmor13 this week · new

SurgingBooba Project — 17 claims in 7 days against 2.3 expected from its own prior rate (p < 0.001)
Surgingrhysida — 8 claims in 7 days against 1.4 expected from its own prior rate (p < 0.001)
SurgingSilentRansomGroup — 8 claims in 7 days against 2.6 expected from its own prior rate (p = 0.006)
SurgingFalcon — 3 claims in 7 days against 0.4 expected from its own prior rate (p = 0.007)
Surgingeverest — 8 claims in 7 days against 2.7 expected from its own prior rate (p = 0.007)
Surgingaurora — 6 claims in 7 days against 1.8 expected from its own prior rate (p = 0.010)

Gone quiet: lynx (63 days), AiLock (66 days), abyss (66 days), blackwater (68 days).

Sector pressure, 30 days

UpTransportation — 2.4× its own prior share (74 claims, 31 expected)
UpEducation — 2.1× its own prior share (54 claims, 26 expected)
UpEnergy & Utilities — 1.5× its own prior share (37 claims, 24 expected)
UpHealthcare — 1.3× its own prior share (103 claims, 81 expected)

22% of claims carry no sector label.

Brand churn

Of the 231 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 62% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 212 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 11 — newest: Shiba (2026-10-29, 4 claims), everstake (2026-10-29, 4 claims), Whitearmor (2026-10-23, 16 claims).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 34% of its claims on Germany (6.7× every other brand's share); N0n put 34% of its claims on Transportation (7.4× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 64% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 199 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 39% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Mitfahrten

Kostenlose Live-Tools. Keine Anmeldung, kein Verkaufsgespräch.

§8

Kolophon

Wie diese Ausgabe entstanden ist – unverblümt.

Ausgabe 34 wurde maschinell erstellt und per Code geprüft. Jeder Beitrag, den 13 öffentliche Threat-Feeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlicht haben (490 Beiträge), wurde vollständig gelesen: Statistiken berechnet im Code, jeder Ausschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus synthetisiert. Anschließend redigierte Claude Opus die Zeitung. Jede Geschichte nennt die Beiträge, auf denen sie beruht; Geschichten, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung gestrichen (heute 0). Prognosen werden in späteren Ausgaben öffentlich bewertet. „From our edge“ sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: 1,07 US-Dollar. Sie wird maschinell geschrieben, in der Stimme von ScottG, Autor von Everything Is Probably Fine, und niemand hat von Hand redigiert, was entweder der Sinn der Sache oder das Problem ist.

490items read

24hour window

$1.07cost of this edition

05:05 UTCgenerated

Quellen von heute Morgen

NVD100ok
Security news99ok
Signal Atlas86ok
infosec.exchange68ok
RansomLook44ok
ransomware.live26ok
atlas24ok
RSS21ok
signal:ioc-family12ok
AlienVault OTX5ok
signal:kev2ok
CISA KEV2ok
Ransomware tempo · Ninja Signal graph1ok

Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.

Der größte Krypto-Diebstahl aller Zeiten lief über einen Laptop

KeyDrift bricht Ihr SD-WAN nicht, es kopiert die Schlüssel und wartet

Elf Stunden als vertrauenswürdiger Herausgeber genügten

Das Modell schrieb den Exploit, und der Exploit funktioniert

Qilin meldete an einem Tag sechzig Opfer, und alle Tracker sahen es doppelt

Drei Wege, Krypto zu verlieren, die nichts mit Ihrer Wallet-Software zu tun haben

GCHQ kann den Verbleib Tausender Datenspeichergeräte nicht klären, und die Aufsicht ist enttäuscht

Die am schnellsten wachsende Ransomware-Marke dieser Woche heißt Booba Project

Der Qilin-Ausschlag ist real, aber es ist ein einziger Feed, gespiegelt

„KEV × Ransomware“-Fusion-Tags werden durch keinen Eintrag gestützt

NVD verstummt nach einem WordPress-Plugin-Massenstapel

SilentRansomGroup und leakeddata teilen Zeitpunkt und Initialen

Today’s calls

Scorecard

Glossar der Begriffe, bei denen man nicken soll

Die WTF-Liste

Auf der Suche nach Ihren KI-Schlüsseln

Der entschlossenste Besucher

CVE-2017-9841 wird bei uns versucht

Gleiche DNA, andere Adressen

Die seltsamste Einkaufsliste

In Eile

Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.

Quellen von heute Morgen