Ein täglicher Feldbericht über Dinge, die wahrscheinlich in Ordnung sind
No. 35·Sonntag 1 November 2026·Erscheint 06:00 UK·Fine-Anzeige 3/5: Drei: eine Kette, ein Katalogeintrag und ein Sonntag
Aufmacher · Schwachstellen
CISA listet zwei Schwachstellen in Ivanti Connect Secure. Die Angreifer nutzten drei
Zwei Schwachstellen in Ivanti Connect Secure wurden am Freitag nach Ausnutzung in freier Wildbahn in den Katalog der Known Exploited Vulnerabilities aufgenommen; die berichtete Angriffskette, die zu unauthentifiziertem Root-Zugriff führt, umfasst drei Schwachstellen.
Konfidenz0.88
Der Bericht ist eindeutig. CISA hat am Freitag nach aktiver Ausnutzung in freier Wildbahn zwei Schwachstellen in Ivanti Connect Secure in den KEV-Katalog aufgenommen, darunter CVE-2026-111357; der beschriebene Angriff verkettet drei Schwachstellen, um unauthentifizierten Root-Zugriff zu erlangen. Zwei ist die Zahl, die der Katalog führt. Drei ist die Zahl, auf die es ankommt.
Das ist die Lücke, für die niemand Budget einplant. Das Schwachstellenmanagement orientiert sich am einzelnen Fehler mit dem einzelnen Score, denn einen einzelnen Fehler kann eine Tabellenkalkulation fassen, eine Kette dagegen nicht. Ein Angreifer führt keine Tabellenkalkulation. Er hält drei Befunde in der Hand, die einzeln betrachtet jeweils verkraftbar wirkten – das sicherheitstechnische Äquivalent von drei Schlössern an einer Tür, die in Wahrheit ein Vorhang ist. Dass wir jedes Schloss einzeln bewertet haben, ist der Grund, warum der Vorhang im Review nie zur Sprache kam.
Die ehrliche Lesart des heutigen Tages lautet daher nicht, dass Ivanti Pech hatte. Sie lautet: Das System, das Ihren Fernzugriff abwickelt, ist dasselbe, das die Sitzungen aller beendet, das Zugangsdaten aller verwahrt und konstruktionsbedingt dem gesamten Internet zugewandt ist – und wir sind von dieser Konstellation immer wieder überrascht, als wäre sie Wetter und nicht eine Entscheidung. Patchen Sie, und lesen Sie dann nach, was das Gerät in der vergangenen Woche getan hat, denn „am Freitag in KEV aufgenommen“ bedeutet, dass die Ausnutzung vor dem Freitag stattfand.
Warum es wichtig istWer Ivanti Connect Secure betreibt, sollte dies als Frage der Incident Response behandeln und nicht als Frage des Patch-Zyklus: Die KEV-Aufnahme bestätigt eine Ausnutzung, die bereits stattgefunden hat, und die Kette endet bei unauthentifiziertem Root-Zugriff.
Drei mittelschwere Befunde, Ende an Ende verkettet, sind keine drei Befunde. Sie sind eine Root-Shell mit Projektplan, und sie wurde immer unter „anspruchsvoll“ abgelegt werden.
— Sturgeon's Revelations · Probably Fine Daily No. 35
Jeden Morgen06:00 UK
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§2
Schlagzeilen
Der Rest der letzten 24 Stunden – mit Belegen.
Ransomware
Ein eintägiger Anstieg auf Leak-Seiten, der größtenteils auf einen Akteur und einen Upload zurückgeht
Leak-Site-Tracker verzeichneten am 31. Oktober 171 der 335 Einträge des Erfassungszeitraums. Auf TheGentlemen entfielen 50 Einträge bei ransomware.live, ransomlook und atlas, gegenüber einem Median von null an anderen Tagen; es folgten SafePay mit 12, Qilin mit 11 sowie WhiteArmor und Emperador mit je 10. Der Tempo-Feed weist für die Woche 260 Meldungen von 41 der 269 beobachteten Gruppen aus, darunter Booba Project mit 17 Meldungen bei erwarteten 2,31 nach der eigenen Vorrate, rhysida mit 9 bei 1,38 und SilentRansomGroup mit 12. Der wichtige Vorbehalt ist arithmetischer Natur: Da drei Tracker dieselben Veröffentlichungen spiegeln, sind 50 Einträge nicht 50 Organisationen.
Warum es wichtig istBehandeln Sie die Zahl als Veröffentlichungsvolumen, nicht als Opferzahl; bereinigen Sie um Duplikate nach Opfer, bevor Sie jemanden briefen, und beobachten Sie, ob die Rate von TheGentlemen anhält oder auf null zurückfällt.
Acht Byte Textnachricht, eine Ganzzahl in die falsche Richtung, kein Telefonat nötig
Ein Forscher hat Proof-of-Concept-Code für CVE-2026-58882 veröffentlicht, die Android-Schwachstelle, die als „SMS of Death“ bezeichnet wird: eine acht Byte lange WAP-Push-Nachricht an den Daten-SMS-Port 2948, deren Längenfeld als -2147483648 interpretiert wird und eine NegativeArraySizeException auslöst, die com.android.phone zum Absturz bringt. Der Angriff erfordert keinen Klick, unterbricht Anrufe einschließlich Notrufen, und rund zwanzig Nachrichten versetzen das Gerät in eine Neustartschleife. Die Korrektur wurde im Oktober 2026 für Android 14 bis 17 ausgeliefert, im Bulletin aber nicht aufgeführt; Android 12 und 13 gelten als betroffen.
Warum es wichtig istJede Flottenrichtlinie, die Geräte mit Android 12 oder 13 zurückstellt, hat nun einen Remote-Denial-of-Service mit öffentlich verfügbarem Exploit-Code am Hals – und der Patch, der ihn behebt, wurde nie angekündigt.
Chainalysis erklärt, mit „offensiven agentischen Techniken“ angegriffen worden zu sein
Das Blockchain-Analyseunternehmen gab bekannt, Angreifer hätten mit dem, was es als „offensive agentische Techniken“ beschreibt, Zugang zu internen Systemen und Werkzeugen erlangt und dabei Kundennamen, E-Mail-Adressen, Nutzerkennungen und organisatorische Rollen offengelegt. In seiner eigenen Bestätigung stuft das Unternehmen die abgerufenen Daten als nicht sensibel ein und erklärt, der Einbruch habe weder seine Ermittlungsinhalte noch seine Authentifizierungssysteme erreicht. Beide Lesarten finden sich in der heutigen Berichterstattung, und beide können zugleich zutreffen.
Warum es wichtig istWenn die Breach-Mitteilungen Ihrer Anbieter beginnen, die Werkzeuge des Angreifers statt Ihrer Daten zu beschreiben, fragen Sie nach, welche internen Werkzeuge erreichbar waren und wie die Anfragen des Agenten in den Logs aussahen.
Northflank-Einbruch endet damit, dass jemand anderes Ihr Modellbudget ausgibt
Die Cloud-Hosting-Plattform Northflank hat Kunden aufgefordert, sämtliche auf der Plattform gespeicherten Zugangsdaten und Secrets zu rotieren, nachdem ein Einbruch zur unbefugten Nutzung ihrer KI-API-Schlüssel geführt hatte. Das ist die ganze Konstellation: Ziel war der Secret Store, und der Gewinn war Inferenz, die jemand anderes bezahlt.
Warum es wichtig istRotieren Sie auf der Plattform gespeicherte Secrets jetzt, und richten Sie für Modell-API-Schlüssel Kostenalarme und Ratenbegrenzungen pro Schlüssel ein, denn ein gestohlener Modellschlüssel hinterlässt kein Anmeldeereignis, auf das ein Alarm reagieren könnte, sondern nur eine Rechnung.
Ein geteilter ChatGPT-Link, der den Raum liest, in dem er geöffnet wird
Forscher von Parameter zeigten, dass ein bösartiger ChatGPT-Freigabelink Code des Angreifers in der angemeldeten Sitzung dessen ausführen konnte, der ihn öffnete, sodass der Angreifer die privaten Unterhaltungen dieser Person lesen konnte. Die Schwachstelle wurde im Oktober über das Bug-Bounty-Programm von OpenAI gemeldet. Der Übertragungsweg ist ein Link, den jemand Ihnen schickt, weil er etwas Interessantes gefunden hat.
Warum es wichtig istAssistenten-Transkripte sind inzwischen Speicher für Zugangsdaten und vertrauliche Dokumente im Gewand einer Chat-Oberfläche; geteilte Links dorthin verdienen dasselbe Misstrauen wie jeder andere Link, der in Ihrer Sitzung ausgeführt wird.
Die Identitäts-Charge von Red Hat: Prüfungen, die vergessen, welches Konto sie prüfen
Eine Reihe von CVEs, die am 29. Oktober innerhalb von etwa einer Stunde veröffentlicht wurden, durchzieht den Java-Middleware- und Identity-Stack. CVE-2026-114488 ist die gravierendste: Der Wildfly-CSIv2-Interceptor akzeptiert ITTPrincipalName-Identitätsbehauptungen, ohne die Authentifizierung auf Transportebene zu prüfen, sodass ein Angreifer vor der Authentifizierung über Port 3528 jeden Principal auf jedem IIOP-exponierten @Remote-EJB imitieren kann; CVE-2026-15564 erlaubt Deserialisierung auf demselben Listener, bevor die Authentifizierung stattfindet. Hinzu kommen eine JBoss-EAP-Lücke, die RBAC bei einer read-resource-Operation auf platform-mbean übergeht (CVE-2026-19610), sowie vier Keycloak-Schwachstellen: übersprungenes Claim-Filtering im JWT-Grant-Flow, Vault-Referenzen, die Secrets offenlegen, Pushed Authorization Requests, die für mehrere Token wiederverwendbar sind, und eine HOTP-Validierung, die ihren Zähler ohne Sperre aktualisiert, sodass ein Einmalpasswort nicht verlässlich einmalig ist. Die WordPress-Charge desselben Tages enthält dieselbe Gattung: CVE-2026-111739 bindet das Konto, dessen Zwei-Faktor-Code geprüft wird, nicht an das Konto, das authentifiziert wird, und CVE-2026-113616 verschickt einen Code zum Zurücksetzen des Passworts an jede Adresse, die in der Anfrage angegeben wurde.
Warum es wichtig istKlären Sie, ob irgendetwas in Ihrer Umgebung IIOP auf Port 3528 gegenüber anderen als sich selbst exponiert, und verstehen Sie die Keycloak-Punkte als Anlass, PAR-Replay und das Zählerverhalten bei Einmalpasswörtern zu prüfen, nicht als bloße Versionserhöhung.
Ihr Build ist ein Interpreter, und er hat Dokumente von Fremden gelesen
Drei Advisories aus derselben Charge beschreiben dieselbe unangenehme Eigenschaft. In `open` 7.2.0 vor 11.0.0 wird eine URL mit einem $(...)-Teilausdruck unmaskiert an powershell -EncodedCommand unter Windows und WSL übergeben; als Beispiel genannt wird ein authorization_endpoint-Wert für OAuth, den ein bösartiger MCP-Server liefert (CVE-2026-119025). In oapi-codegen vor 2.8.1 kann ein vom Angreifer kontrolliertes OpenAPI-Dokument über einen servers[].x-go-name-Wert oder einen nicht literalen Enum-Eintrag Go-Code einschleusen, den const-Block schließen und eine func init() definieren, die ausgeführt wird, wenn das Opfer das generierte Paket baut und importiert (CVE-2026-119027, CVE-2026-119028). Node Version Manager 0.31.2 bis 0.40.5 vervollständigt die Reihe: nvm_ls bettet eine Versionszeichenfolge in eine sed-Adresse ein und maskiert den Punkt, nicht aber den Backslash (CVE-2026-118905).
Warum es wichtig istBehandeln Sie OpenAPI-Dokumente, MCP-Server-Metadaten und Versionszeichenfolgen als nicht vertrauenswürdige Eingaben für die Codegenerierung, und führen Sie Generatoren und Paketinstallationen dort aus, wo beliebige Codeausführung eingegrenzt ist – nicht auf dem Rechner, der Ihre Schlüssel hält.
Ein Trust Store, der einer Zertifizierungsstelle vertraut, deren private Schlüssel veröffentlicht sind
Checkmk vor 2.5.0p18, 2.4.0p39 und 2.3.0p52 sowie die abgekündigte Version 2.2.0 liefern CA-Bundles von certifi und webpki-roots aus, die ein Root-Zertifikat enthalten, das Zwischenzertifikaten von eMudhra (emSign) vertraut, deren private Schlüssel öffentlich sind (CVE-2026-117611). Am selben Tag eingereicht, melden zwei QNAP-Advisories fest codierte kryptografische Schlüssel in HBS 3 Hybrid Backup Sync, behoben in 26.4.0.521 und später (CVE-2025-62839, CVE-2025-62841). An anderer Stelle der Charge erwiesen sich die Trusted-CA-APIs von Qpid Proton als Ergänzung der System-Trust-Anchors statt als deren Ersatz; der dokumentierte Workaround besteht darin, SSL_CERT_FILE auf /dev/null zu setzen (CVE-2026-105031).
Warum es wichtig istPrüfen Sie, ob Ihre Monitoring- und Backup-Produkte einen eigenen Trust Store mitbringen, denn eine Zertifikatsprüfung gegen einen veröffentlichten privaten Schlüssel ist eine Prüfung, die immer besteht.
Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.
Der Großteil der gestrigen scheinbaren Bestätigung ist ein Tracker, der von zwei anderen kopiert wird, und der einzige echte technische Cluster ist die Advisory-Veröffentlichung eines einzelnen Herstellers.
Exception 01
Die 50 ist ein Veröffentlichungsartefakt, keine Opferzahl
TheGentlemen entfallen am 31. Oktober 50 Einträge gegenüber einem Median von null an anderen Tagen, verteilt auf atlas, ransomware.live und signal:atlas. Da die Signal-Einträge aus denselben Veröffentlichungen abgeleitet sind, liegt die Zahl unterschiedlicher Organisationen sehr wahrscheinlich weit unter 50, und die Stunde 11:00 UTC mit 54 Einträgen bei einem Mittel von 9,57 pro Stunde deutet auf eine Massenveröffentlichung oder Neuindizierung hin statt auf einen Tag voller Einbrüche.
Konfidenz0.55Speculative
Wrong if
Die Bereinigung nach Opfernamen lässt nur eine Handvoll eindeutiger Organisationen übrig, oder die Zeitstempel der Beiträge verteilen sich über frühere Tage.
Watch
Anzahl eindeutiger Opfer nach der Bereinigung und ob die Veröffentlichungen am 1. und 2. November anhalten oder auf null zurückfallen.
Ransomware.live liegt 1,4 bis 10,1 Stunden vor den anderen Trackern
Bei Emperador, SafePay, Qilin, WhiteArmor, SilentRansomGroup, genesis, n0n, Rhysida, Vexy und AuditTeam erscheint ransomware.live zuerst, und ransomlook oder signal:atlas folgen zwischen 1,4 und 10,1 Stunden später; nur NightSpire kehrt die Reihenfolge um, und zwar um 1,1 Stunden. Das ist Ingest-Latenz, eine Meldung, die in drei Trackern erscheint, ist also eine Quelle, nicht drei.
Konfidenz0.70
Wrong if
Eine größere Stichprobe zeigt, dass die Erstsichtungszeiten von ransomlook oder atlas für dasselbe Opfer tatsächlich vor denen von ransomware.live liegen.
Watch
Ob die Reihenfolge der Verzögerung über die nächsten Tage hält; den quellenübergreifenden Treffer in der Nutzlast als wahrscheinliche Namenskollision mit dem Wort im CVE-Text behandeln.
Eine einzige Herstellerveröffentlichung erklärt den gesamten Java- und Identity-Cluster
Zwei Wildfly-IIOP-Schwachstellen vor der Authentifizierung auf demselben Listener, ein JBoss-EAP-RBAC-Bypass, vier Keycloak-Probleme innerhalb von etwa einer Stunde und eine NULL-Dereferenzierung in 389-ds-base teilen Wortlaut und Zeitpunkt, was auf eine einzelne Advisory-Veröffentlichung statt auf unabhängige Entdeckung hindeutet. Die Quelle ist allein NVD, der Ausnutzungsstatus ist daher unbekannt.
Konfidenz0.60
Wrong if
Die Veröffentlichungszeitstempel verteilen sich über mehrere Tage, oder die Einträge stammen von unterschiedlichen CNAs.
Watch
Patch-Verfügbarkeit sowie jegliche Berichte über Proof-of-Concept oder Ausnutzung für das Wildfly-IIOP-Paar in dieser Woche.
Dass der NVD-Feed stoppt, liegt wahrscheinlich an unserer Infrastruktur, nicht an der Welt
Alle 100 NVD-Einträge im Zeitraum fallen auf den 29. Oktober, und der Feed wird nach 00:43 Uhr am 31. Oktober still. Eine Batch-Ingest-Grenze erklärt das besser als ein plötzlicher Stopp bei der CVE-Veröffentlichung, und wer die Lücke als Ruhe liest, liest seinen eigenen Collector.
Konfidenz0.50Speculative
Wrong if
Ein erneutes Abfragen liefert NVD-Einträge mit Datum 31. Oktober und 1. November.
Nothing to seeKeine koordinierte Kampagne über unabhängige Feeds hinweg, abgesehen vom Aggregator-Echo. Nichts in den heutigen Einträgen verbindet die Ausnutzung von Ivanti mit irgendeiner Leak-Site-Aktivität, und die KEV-mal-Ransomware-Fusionswerte in den atlas-Signalen sind Modellausgabe und kein Beleg für ein benanntes ausgenutztes CVE bei einem dieser Einbrüche. Mehrere quellenübergreifende Treffer, darunter holcim, chainalysis und northflank, sind dieselbe Geschichte, die von zwei Feeds getragen wird. Details auf Opferseite, Verweildauern und anfängliche Zugangsvektoren waren im gesamten Zeitraum nirgends sichtbar.
Deep read: 336 Artikel gelesen
§4
Prognose
Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.
Today’s calls
DueCallConfidence
DueSun 8 Nov7d
CISA nimmt bis zum 8. November 2026 ein drittes Ivanti-Connect-Secure-CVE aus der berichteten Kette in den KEV-Katalog auf.
Wrong ifBis Ende des 8. November 2026 erscheint kein weiterer Eintrag zu Ivanti Connect Secure in KEV.
CVE-2026-58882, die Android-„SMS of Death“, erscheint trotz öffentlichem Proof-of-Concept-Code bis zum 11. November 2026 nicht im KEV-Katalog der CISA.
Wrong ifCVE-2026-58882 wird am oder vor dem 11. November 2026 in KEV gelistet.
TheGentlemen veröffentlicht zwischen dem 2. und 8. November 2026 weniger als zehn neue Leak-Site-Meldungen auf ransomware.live, was die Zahl vom 31. Oktober als einmaligen Ausschlag und nicht als neue Betriebsrate bestätigt.
Wrong ifIn diesem Zeitraum erscheinen zehn oder mehr neue TheGentlemen-Meldungen auf ransomware.live.
At least three of N0n's five placeholder listings (Company #99 to #103) are replaced by named victims on ransomware.live or ransomlook.
Called Thu 22 Oct · due Sun 1 Nov
Only one named N0n victim appears (Digital Triumph, 31 Oct), and nothing ties it to the Company #99-#103 placeholders. The due date is today and three named victims are not shown.
Glossar der Begriffe, bei denen man nicken soll
Offensive agentische Techniken(n.)
derselbe Einbruch wie im vergangenen Jahr, nur dass der Teil, der früher um zwei Uhr nachts die Lust verlor, es jetzt nicht mehr tut. Taucht in Breach-Mitteilungen auf, weil es wie Wetter klingt und nicht wie eine Entscheidung, die jemand über das Logging getroffen hat.
§5
Von unserem Rand
Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.
Unser eigener Edge, zur Kalibrierung statt zur Dramatik: In den vergangenen 24 Stunden profilierte der Adversary-DNA-Sensor 49 feindliche Quellen unter 4.889 Adressen aus 86 Ländern, 1.499 davon heute erstmals gesehen, und diese 49 sandten zusammen 4.074 Anfragen. Sechzehn gingen über die Aufklärung hinaus und unternahmen Ausnutzungsversuche, und sieben Adressgruppen teilten einen Verhaltensfingerabdruck, darunter neun IPs, die denselben Fingerabdruck über /.git/config, /.env, /.env.local und /.env.production liefen. Der höchste Feindseligkeitswert, 7,7 von 10, gehört einem Paar von Operatoren, die sich durch /login/xmlrpc.php und vier Varianten von wlwmanifest.xml arbeiten – ein Angriff von 2015, vorgetragen mit echter Überzeugung. Ein Scanner fragte nach /.aws/config, /.env-sample und dann /.env.anthropic, was die Northflank-Geschichte in Listenform an unserer Tür ist; ein anderer feuerte 123 Anfragen in etwa 1,3 Sekunden ab; und eine Adresse versuchte CVE-2018-10561 gegen /gponform/diag_form, weil irgendwo noch ein acht Jahre alter Router antwortet. Rohprotokolle haben den Server nie verlassen. Nur die Erkenntnisse.
49feindliche Quellen profiliert
4.074Anfragen von ihnen
16bis zur Ausnutzung gelangt
7Cluster mit gleicher DNA
7,7/10höchste Feindseligkeit
4.889Adressen an unserem Edge
1.499heute erstmals gesehen
86Länder
Die WTF-Liste
WTF #1
Auf der Suche nach Ihren KI-Schlüsseln
45.148.10.21, ein Scanner (Feindseligkeit 4,3/10), sandte 243 Anfragen mit einer pro Minute an 2 unserer Websites und suchte nach /.aws/config, /.aws/.env, /.env-sample, /.docker/laravel/app/.env.
Warum es seltsam istGing direkt auf KI-Zugangsdaten los: /.env.anthropic. Modell-API-Schlüssel stehen nun neben Cloud-Schlüsseln auf der Einkaufsliste der Scanner.
attribution: unbekanntSat 31 Oct, 14:00 UTC
Detail
Kill Chain: Reconnaissance → Weaponization · DNA 6df93820bbb8
WTF #2
Der hartnäckigste Besucher
85.204.70.90, ein gezielt agierender Operator (Feindseligkeit 7,7/10), sandte 20 Anfragen an eine unserer Websites und suchte nach /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Warum es seltsam istHöchste Feindseligkeit auf der Liste; seine Kill Chain erreichte Credential Access.
1 Adresse sandte 1 Anfrage in der Form einer Ausnutzung von CVE-2018-10561 (/gponform/diag_form), darunter 103.194.93.124.
Warum es seltsam istEin bekannter, benannter Exploit, der noch immer ins Internet gesprüht wird; unser Edge sah ihn heute, was auch immer die Patch-Hinweise über das Jahr sagen.
attribution: unbekannt
Detail
Probe-Familie: gpon-router
WTF #4
Gleiche DNA, andere Adressen
34.6.113.19, ein Scanner (Feindseligkeit 6,4/10), sandte 274 Anfragen an eine unserer Websites und suchte nach /.git/config, /.env, /.env.local, /.env.production.
Warum es seltsam ist9 IPs teilen einen Verhaltensfingerabdruck (DNA dfef4501b216): ein Werkzeug oder ein Operator mit wechselnden Adressen: 104.234.53.150, 173.239.213.15, 45.92.229.33, 2001:41d0:304:300::3f2a, 185.194.178.16 und weitere.
attribution: unbekanntSun 1 Nov, 05:00 UTC
Detail
Kill Chain: Reconnaissance → Weaponization · DNA dfef4501b216
WTF #5
Die seltsamste Einkaufsliste
85.204.70.94, ein gezielt agierender Operator (Feindseligkeit 7,7/10), sandte 20 Anfragen an eine unserer Websites und suchte nach /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Warum es seltsam istFragte nach Dateien, die fast sonst niemand anfordert: /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml, /login/wordpress/wp-incl.
195.178.110.242, ein Scanner (Feindseligkeit 5,4/10), sandte 123 Anfragen an eine unserer Websites und suchte nach /.env, /.docker/.env, /.env-sample, /.docker/config.json.
Warum es seltsam istFeuerte 123 Anfragen in etwa 1,3 Sekunden ab.
attribution: unbekanntSat 31 Oct, 14:00 UTC
Detail
Kill Chain: Reconnaissance → Weaponization · DNA 18e39c4b41fb
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
260claims, 7 days
41of 269 groups active
thegentlemen50 this week · surging
qilin35 this week · surging
Booba Project17 this week · surging
SurgingBooba Project — 17 claims in 7 days against 2.3 expected from its own prior rate (p < 0.001)
Surgingrhysida — 9 claims in 7 days against 1.4 expected from its own prior rate (p < 0.001)
SurgingSilentRansomGroup — 12 claims in 7 days against 2.6 expected from its own prior rate (p < 0.001)
Surgingthegentlemen — 50 claims in 7 days against 26.6 expected from its own prior rate (p < 0.001)
Surginggenesis — 10 claims in 7 days against 2.3 expected from its own prior rate (p < 0.001)
Surgingpayload — 8 claims in 7 days against 1.6 expected from its own prior rate (p < 0.001)
UpTransportation — 2.1× its own prior share (72 claims, 34 expected)
UpEducation — 2.1× its own prior share (57 claims, 27 expected)
UpHealthcare — 1.2× its own prior share (109 claims, 87 expected)
DownAgriculture and Food Production — 0.7× its own prior share (23 claims, 34 expected)
23% of claims carry no sector label.
Brand churn
Of the 231 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 62% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 212 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 11 — newest: everstake (2026-10-29, 5 claims), Shiba (2026-10-29, 4 claims), Whitearmor (2026-10-23, 18 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.3× every other brand's share); N0n put 33% of its claims on Transportation (7.4× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.0× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 199 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 34% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§8
Kolophon
Wie diese Ausgabe entstanden ist – unverblümt.
Ausgabe 35 wurde maschinell erstellt und per Code geprüft. Jeder Beitrag, den 10 öffentliche Bedrohungs-Feeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlichten (336 Einträge), wurde vollständig gelesen: Statistiken im Code berechnet, jeder Ausschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus synthetisiert. Anschließend redigierte Claude Opus die Zeitung. Jede Geschichte nennt die Einträge, auf denen sie beruht; Geschichten, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung verworfen (heute 0). Prognosen werden in späteren Ausgaben öffentlich bewertet. „Von unserem Edge“ sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: 0,00 $. Sie wird maschinell in der Stimme von ScottG geschrieben, dem Autor von Everything Is Probably Fine, und niemand hat sie von Hand redigiert, was entweder der Sinn der Sache oder das Problem ist.
336items read
24hour window
$0.00cost of this edition
05:05 UTCgenerated
Quellen von heute Morgen
NVD100ok
Signal Atlas87ok
ransomware.live47ok
infosec.exchange36ok
atlas23ok
RansomLook20ok
Security news13ok
RSS5ok
signal:ioc-family4ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 336|SOURCES: 10|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.00|STATUS: DREI: EINE KETTE, EIN KATALOGEINTRAG UND EIN SONNTAG
OWNER: die Maschine|EDITOR: die Regeln|CALLS OPEN: 3|NEXT REVIEW: morgen 06:00 UK