Ein täglicher Feldbericht über Dinge, die wahrscheinlich in Ordnung sind
No. 36·Montag 2 November 2026·Erscheint 06:00 UK·Fine-Anzeige 3/5: Nicht in Ordnung, aber überlebbar
Aufmacher · Schwachstellen
Die CISA nimmt zwei Ivanti-Lücken in den Katalog auf. Der Angriff braucht drei
Die CISA hat am Freitag zwei Schwachstellen in Ivanti Connect Secure nach aktiver Ausnutzung in den Katalog der Known Exploited Vulnerabilities aufgenommen. Dem gemeldeten Einbruch zufolge verketten Angreifer drei Lücken, um unauthentifiziert Root-Rechte zu erlangen.
Konfidenz0.92
Die Cybersecurity and Infrastructure Security Agency hat am Freitag zwei Schwachstellen in Ivanti Connect Secure in ihren KEV-Katalog aufgenommen, nachdem sie in freier Wildbahn ausgenutzt wurden. Eine davon ist CVE-2026-111357. Angreifer sollen drei Lücken des Produkts verketten, um unauthentifiziert Root-Zugriff auf jene Appliance zu erhalten, über die Ihre Remote-Belegschaft im architektonischen Sinne „drinnen" ist.
Zwei ist ein Katalogeintrag. Drei ist ein Ergebnis. In dieser Lücke zwischen den Zahlen lebt unsere ganze Branche: Die KEV-Liste verzeichnet beobachtete Fehler, nicht das, was mit ihnen getan wird, und eine Kette ist nicht die Summe ihrer Glieder, sondern der kürzeste Weg durch sie. Man kann zwei patchen und das warme Gefühl eines geschlossenen Tickets genießen, während der Pfad offen bleibt – die Art von Arithmetik, die ein Reifegradmodell eigens dafür gebaut ist, nicht zu bemerken.
Sie wurde an einem Freitag aufgenommen, denn es ist immer Freitag. Irgendwo liest ein Team, das ein ruhiges Wochenende geplant hatte, jetzt Release Notes für eine Appliance, die jede Sitzung im Haus terminiert, und die ehrliche Fassung seines Statusberichts lautet nicht „gepatcht", sondern „gepatcht und jetzt mit mulmigem Gefühl die Logs rückwärts lesend". Die richtige Frage heute Morgen lautet nicht, ob Sie das Update eingespielt haben. Sondern ob Root schon da war, als Sie es taten.
Warum es wichtig istWer Ivanti Connect Secure betreibt: Patchen ist das Minimum. Gehen Sie von Root vor dem Patch aus und suchen Sie in Authentifizierungs- und Sitzungsprotokollen, denn ein Gerät, das jede Remote-Sitzung terminiert, ist auch der beste Ort, sie zu beobachten.
Eine Schwachstellenkette besteht nicht aus drei Fehlern. Sie ist ein Fehler, der drei Release-Zyklen brauchte, um sich fertig zusammenzusetzen, und der Hersteller hat jedes Teil davon ausgeliefert.
— Sturgeon's Revelations · Probably Fine Daily No. 36
Jeden Morgen06:00 UK
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§2
Schlagzeilen
Der Rest der letzten 24 Stunden – mit Belegen.
Ransomware
Qilin meldete an einem Sonntag zehn Opfer und geriet nicht ins Schwitzen
Zwischen 00:39 und 17:33 Uhr am 1. November reklamierte Qilin zehn namentlich genannte Organisationen für sich: Dienstleistungs- und Handelsunternehmen in Deutschland, eine Beratung in Österreich, eine ungarische Reparaturwerkstatt für Schienenfahrzeuge (BKV Vasúti Járműjavító Kft), einen japanischen Hersteller (Shibata Co., Ltd.), zwei US-Dienstleistungsunternehmen, eine Holding für Fracht und Logistik sowie die fzmb GmbH, ein deutsches Forschungszentrum für Medizintechnik und Biotechnologie. Die Meldungen wurden binnen Stunden auf einem zweiten Tracker gespiegelt, und die Modellierungsebene stufte Qilin prompt als eskalierend in Fertigung, Transport, Dienstleistungen, Handel und Gesundheitswesen ein, mit einem leisen Abkühlungshinweis für Staat und Bildung bis Mitternacht. Unsere Tiefenauswertung zählt am 01.11. 45 Qilin-Einträge gegenüber einem Median von acht an anderen Tagen, wobei ein Teil dieses Volumens dasselbe Ereignis ist, das viermal über vier Quellen eintrifft.
Warum es wichtig istVerkehrstechnik, Medizintechnikforschung und mittelständische Dienstleister im DACH-Raum werden stapelweise abgearbeitet. Wer dazugehört, sollte nicht fragen, ob er groß genug ist, um interessant zu sein, sondern ob eine laterale Bewegung aus einem Backup- oder Verwaltungsnetz möglich ist.
Das FBI hat dem größten Krypto-Diebstahl aller Zeiten einen Namen gegeben, und der Name hat fünf weitere
Das FBI hat gemeinsam mit US-Partnern den Diebstahl von mehr als 6 Milliarden US-Dollar an virtuellen Vermögenswerten bei Binance formell TraderTraitor zugeschrieben, einer Nordkorea zugerechneten Gruppe, die auch als Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces und UNC4899 geführt wird. Ein Bericht beziffert die Summe auf 6,43 Milliarden Dollar, ein anderer auf 6,3 Milliarden; beide nennen es den größten Kryptodiebstahl aller Zeiten. Die Zuschreibung erschien zuerst in den Cyber-Nachrichten, erreichte rund 12,9 Stunden später die großen Security-Feeds und tauchte erst etwa 22 Stunden nach der Meldung als Bedrohungsakteur-Knoten in der Signalebene auf – ein Hinweis darauf, dass die Akteursdatenbank dem Journalismus nachgelagert ist und nicht neben ihm steht.
Warum es wichtig istZuschreibung ist keine Wiederherstellung und keine Kontrolle. Wer digitale Vermögenswerte hält oder vermittelt, sollte den operativ nützlichen Befund festhalten: Die Gruppe, die den Rekord aufgestellt hat, ist dieselbe, die Ihr Bedrohungsmodell bislang unter sechs verschiedenen Etiketten ablegt.
Die Maschinen sind jetzt der Einbruch und der Papierkram
Chainalysis hat einen Einbruch offengelegt, den das Unternehmen „offensiven agentischen Techniken" zuschreibt; offengelegt wurden Kundennamen, E-Mail-Adressen, Nutzerkennungen und Organisationsrollen. Das quelloffene KI-Hacking-Framework ARTEX hat sich auf eine weitere China-nahe Gruppe ausgebreitet und wird mit Spionage wie mit finanziell motivierten Kampagnen in Verbindung gebracht. Forscher von Parameter zeigten, dass ein präparierter ChatGPT-Freigabelink den Code eines Angreifers in der Sitzung jedes Öffnenden ausführen und dessen private Unterhaltungen auslesen konnte; gemeldet wurde dies über das Bug-Bounty-Programm von OpenAI. Auf der anderen Seite der Bilanz überfluten KI-generierte Schwachstellenberichte inzwischen manche Bug-Bounty-Programme und erschweren neuen Forschern den Einstieg, und Anthropic hat eine Notiz veröffentlicht, die drei Vorfälle in den eigenen Cybersicherheits-Evaluierungen untersucht.
Warum es wichtig istBehandeln Sie einen geteilten KI-Konversationslink als ausführbaren Inhalt und die API-Schlüssel eines KI-Anbieters als Produktionszugangsdaten, denn beide Annahmen tragen heute irgendwo in Ihrer IT-Landschaft Last.
Vier Zehner vor dem Frühstück, und der Rat eines Herstellers lautet: „Kaufen Sie ein anderes Gerät"
Canonicals LXD und MicroCloud enthalten eine Lücke mit CVSS 10.0, die es einem Angreifer erlaubt, sich als vertrauenswürdiger Client zu authentifizieren, ohne dessen privaten Schlüssel zu besitzen; nötig sind nur Netzwerkzugang zur HTTPS-API und das öffentliche Zertifikat des vertrauenswürdigen Clients. Der WAVLINK WN536AX6-A hat CVE-2026-120279, eine Remote-OS-Command-Injection mit CVSS 10 über den Handler openvpn_cli, zu der ein öffentlicher Exploit existiert. Der Linksys E8450 hat soeben seine zweite CVSS-10.0-Lücke in derselben CGI-Datei im Abstand von sechzehn Monaten erhalten – CVE-2026-120283, ein unauthentifizierter strcpy-Überlauf in portal.cgi über hidden_timezone, ohne benannten Patch; als Abhilfe nennt VulDB, das Gerät zu ersetzen. Darunter hat ClickHouse Server eine unauthentifizierte Remote-Code-Execution-Lücke (CVE-2026-116366), Teltonika RUTOS und TSWOS erlauben unauthentifizierten Aufrufern, LUA-Funktionen direkt aufzurufen und OS-Befehle zu erreichen (CVE-2026-82104), und Dahuas Intelligent Connection Center hat eine unauthentifizierte RCE (CVE-2025-31704). Bislang bringt keine Meldung eine davon mit einem benannten Akteur in Verbindung.
Warum es wichtig istDas sind durchweg Pre-Authentication-Pfade in Systeme am Netzrand oder unterhalb der Orchestrierungsebene. Zuerst inventarisieren, denn die Antwort für den Linksys heißt Beschaffung, nicht Patchen.
KeyDrift sitzt auf dem Controller und liest die Schlüssel, bevor der Tunnel sie bekommt
KeyDrift ist eine Malware, die kompromittierte Cisco-SD-WAN-Controller über CVE-2026-20127 angreift, IPsec-Schlüssel abfängt und die Kontrolle über den Netzwerkverkehr übernimmt; die einzige Verbindung zu Volt Typhoon im heutigen Feed ist ein Hashtag am Beitrag, der sie trägt – das ist keine Zuschreibung. Gesondert beschrieb Kaspersky NetamLoader, eine .NET-AppDomainManager-Injection-Kette gegen einen eigens angepassten Windows-10-Build, der ausschließlich von Regierungsstellen in Asien genutzt wird; dabei wird neben legitimen Komponenten von Patch My PC in SoftwareDistribution\Download eine bösartige .config-Datei abgelegt, wahrscheinlich über eine Kompromittierung der Lieferkette, ohne Zuschreibung. Die Indikatorebene verzeichnete unterdessen 179 neue Mirai-Indikatoren, 158 für SalatStealer, 140 für Mozi, 21 für RustyStealer und 17 für SilentNet, ohne dass in diesem Fenster eine Basislinie vorläge, um zu beurteilen, ob davon etwas ungewöhnlich ist.
Warum es wichtig istWenn Ihre Tunnel auf einem SD-WAN-Controller enden, ist dieser Controller ein Schlüsselverwalter und sollte auch so überwacht werden; und ein Loader, der neben einem legitimen Patch-Agenten lebt, besteht jede Sichtprüfung, die Sie haben.
Fremdes JavaScript verkaufte die Position eines Händlers
Am 29. Oktober verkaufte bösartiger Code auf der Website des Prognosemarkts Polymarket die Positionen einiger angemeldeter Händler und leitete die Gelder an die Angreifer weiter; der Code hatte ein Seitengeschwindigkeits-Skript ersetzt, das die Seite von einem externen Unternehmen, DebugBear, lud. Polymarket erklärt, rund 2,7 Millionen Dollar zu erstatten. Im selben Zeitraum forderte die Cloud-Hosting-Plattform Northflank ihre Kunden auf, alle Zugangsdaten und Secrets zu rotieren, nachdem ein Einbruch zur unbefugten Nutzung ihrer KI-API-Schlüssel geführt hatte, und Alpine Linux baute seinen GitLab-Server neu auf und setzte alle Passwörter zurück, nachdem am 20. und 21. Oktober versucht worden war, eine kritische GitLab-Schwachstelle auszunutzen.
Warum es wichtig istJedes Drittanbieter-Skript auf einer authentifizierten Seite läuft mit den Rechten Ihrer Nutzer. Inventarisieren Sie, was Ihre Seiten von wem laden, und machen Sie Schlüsselrotation zu etwas, das Sie geübt haben, statt zu etwas, über das Sie lesen werden.
Einundvierzig Gruppen, 240 Meldungen, und die Neulinge sind die, auf die man achten sollte
Das Ransomware-Tempo der vergangenen sieben Tage zeigt 240 Leak-Site-Meldungen von 41 der 269 beobachteten Gruppen, mit drei statistisch signifikanten Anstiegen: Booba Project mit 17 Meldungen gegenüber 2,29 erwarteten aus der eigenen früheren Rate, thegentlemen mit 50 gegenüber 24,97 und SilentRansomGroup mit 11 (jeweils p < 0,001). Whitearmor reklamierte unterdessen eine AmplifAI-Instanz von GoDaddy und veröffentlichte dazu die Okta-SSO-URL, die Okta-App-ID und die Office-365-Föderationsdetails; rund 9,9 Stunden später wurde die Gruppe als eskalierend in Technologie und den USA markiert. Anderswo auf den Leak-Seiten behauptete byod, vollständige personenbezogene Daten von 1,03 Millionen aktuellen und ehemaligen Studierenden der Michigan State University zu besitzen, und Xyrsober eine Kopie des peruanischen Identitätsregisters RENIEC von 2026 mit rund 31 Millionen Datensätzen; beides sind zum jetzigen Zeitpunkt unbestätigte Behauptungen.
Warum es wichtig istSechzehn Prozent der beobachteten Gruppen erledigten die gesamte Veröffentlichungsarbeit dieser Woche, weshalb eine kurze Beobachtungsliste besser ist als eine lange – und wenn eine Einbruchsbehauptung die App-IDs Ihres Identitätsanbieters mitbringt, beginnen Sie bei der Föderation, nicht am Endpunkt.
Die Ladestation, deren Passwort auf der Ladestation steht
Delta-UFC500-Ladestationen leiten das Standardpasswort des Service-Kontos aus Zeichenpositionen der Seriennummer des Geräts ab, sodass ein unauthentifizierter Angreifer mit Zugang zum angrenzenden Netzwerk es rekonstruieren oder den Schlüsselraum schlicht erschöpfend durchprobieren kann (CVE-2026-22105). Die ausgelieferte WebUI-Template-Datenbank enthält zudem die Werkseinstellungen aller fünf Kontotypen im Klartext, auf allen Geräten identisch und am getesteten Gerät unverändert (CVE-2026-22109); der Webserver prüft bei POST oder PUT keinerlei Authentifizierung, was einen unauthentifizierten Neustart und – durch Brute-Force der configid – das Setzen des Service-Passworts und anschließend jeder anderen Einstellung erlaubt (CVE-2026-22110); und die HTTP-Basic-Authentifizierung erzwingt weder eine Versuchsgrenze noch eine Verzögerung, wodurch der Schlüsselraum laut Advisory erschöpfbar wird (CVE-2026-22114). Gesondert, und wir erwähnen es nur, weil der Feed es tat: Ein Mastodon-Nutzer verkündete, er habe eine Rust-Implementierung von sshd per Vibe-Coding geschrieben, und fragte, ob er sie heute in Produktion bringen solle.
Warum es wichtig istBehandeln Sie die Ladeinfrastruktur für Elektroautos als unauthentifiziertes Verwaltungsnetz mit angeschlossenem Auto und halten Sie sie von allem fern, was wichtig ist.
Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.
Unter den Feeds ist der Großteil des heutigen Volumens Veröffentlichungszeitpunkt und Modellausgabe im Kostüm von Angreiferaktivität.
Exception 01
Qilins Schub ist real, aber durch Spiegelung aufgebläht
Die Qilin-Einträge springen am 1. November auf 45, gegenüber einem Median von acht an anderen Tagen, und es ist die einzige Entität, die in vier getrennten Quellen auftaucht. Zehn unterscheidbare Opfermeldungen in DE, AT, HU, JP und US wurden binnen etwa siebzehn Stunden veröffentlicht und rund 11,8 Stunden hinter dem ersten auf einem zweiten Tracker gespiegelt, darüber geschichtet modellierte Eskalationsgeschichten. Das operative Tempo ist hoch; die Zahl der Einträge übertreibt es.
Konfidenz0.70
Wrong if
Der Schub erweist sich überwiegend als modellierte Signaleinträge mit wenigen unterscheidbaren Leak-Site-Veröffentlichungen am 01.11.
Watch
Qilin-Opferveröffentlichungen in den nächsten 48 bis 72 Stunden, insbesondere Gesundheitswesen, Transport und Deutschland.
Die Akteursdatenbank ist der Nachrichtenlage nachgelagert
TraderTraitor erschien zuerst in den Cyber-Nachrichten, 12,9 Stunden später in den breiteren Feeds und 22 Stunden danach als Bedrohungsakteur-Knoten. Der Knoten der Syrian Electronic Army hinkte seiner Nachrichtenmeldung um 42 Stunden hinterher, und FrostyNeighbor traf im selben Schwung ein. Diese Knoten wirken wie Extraktion aus Berichterstattung, nicht wie unabhängige Bestätigung, und sollten nicht als zweite Quelle gezählt werden.
Konfidenz0.65
Wrong if
Die Quellenlage zeigt, dass die Akteursknoten vor den Nachrichteneinträgen und unabhängig von ihnen angelegt wurden.
Watch
Ob On-Chain- oder Herstelleranalysen die Summe und den Geldwäscheweg bestätigen oder revidieren.
Unvollständige Korrekturen sind das verlässlichste Muster des Tages
Mehrere der heutigen CVEs sind Regressionen oder Teilkorrekturen: Gravity Forms übergibt Werte an das uneingeschränkte maybe_unserialize() von WordPress statt an die eigene gehärtete Version, Enable Media Replace führt Objekt-Injection erneut ein, CakePHPs Entfernen von CRLF wird als unvollständige Korrektur für CVE-2026-77634 beschrieben, und ein unvollständiger Backport der Korrektur für CVE-2026-46099 hinterlässt in RHEL-9-Kernen ein local_bh-Ungleichgewicht. Die Suche nach Umgehungen aktueller Patches ist die billigste offensive Forschung, die es gibt.
Konfidenz0.55
Wrong if
Die Fälle erweisen sich als zufällig, oder frühere Zeitfenster zeigen, dass dieselben Hersteller mit derselben Rate Regressionen produzieren.
Watch
Folge-CVEs gegen dieselben vier Produkte in den nächsten zwei Wochen.
Den Ausnutzungen bei Ivanti und Cisco ist noch kein Akteur zugeordnet
Die KEV-Aufnahmen, die Pre-Auth-RCEs bei Teltonika, ClickHouse und Dahua und die modellierten Fusionsgeschichten aus KEV und Ransomware fallen zeitlich zusammen, doch kein Eintrag verknüpft die Ivanti-Ausnutzung mit einer benannten Gruppe, und die Verbindung des Cisco-SD-WAN zu Volt Typhoon beruht auf einem einzigen Hashtag. Wer heute dem Vorstand das „Wer" erläutert, füllt eine Leerstelle.
Konfidenz0.40Speculative
Wrong if
Ein Hersteller- oder CISA-Advisory bringt die Ausnutzung von Ivanti oder Cisco SD-WAN mit einem benannten Akteur oder einem Ransomware-Affiliate in Verbindung.
Watch
Hersteller- und CISA-Advisories, die einen Akteur für eine der beiden Ketten benennen.
Nothing to seeKeinerlei Zeitcluster. Der NVD-Feed lieferte 100 Einträge und verstummte dann nach 11-01 00:18 Uhr, und die täglichen Häufungen um Gravity Forms, ProFTPD, Elixir und Dell OpenManage sind Stapelveröffentlichungen um 06:16 und 12:16 Uhr statt irgendeiner Koordination. Der große Eskalationsschub bei thegentlemen wurde in einem einzigen Lauf um 11:50 Uhr am 10-31 erzeugt, ohne dass in diesem Fenster Opfermeldungen dahinterstünden; das ist Modellausgabe, keine Aktivität im Feld. Die Indikatorzahlen haben hier keine Basislinie, 179 Mirai-Indikatoren sind also eine Zahl, keine Anomalie. Und der Mastodon-Beitrag, der fragt „what if rogue ai stole 6 billion dollar", ist mit ziemlicher Sicherheit ein Mensch, der um vier Uhr morgens die Binance-Schlagzeile las.
Deep read: 284 Artikel gelesen
§4
Prognose
Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.
Today’s calls
DueCallConfidence
DueMon 9 Nov7d
Qilin veröffentlicht bis zum 2026-11-09 mindestens fünf weitere namentlich genannte Opfer auf seiner Leak-Site, gespiegelt auf mindestens einem Tracker.
Wrong ifZwischen dem 2026-11-02 und dem 2026-11-09 erscheinen auf ransomware.live und ransomlook weniger als fünf neue, unterscheidbare Qilin-Opfermeldungen.
Die fortlaufende Siebentage-Zahl der Leak-Site-Meldungen von Booba Project fällt im Tempo-Bericht vom 2026-11-09 unter 17, nachdem sie bereits als in allen Sektoren abkühlend bewertet wurde.
Wrong ifDer Tempo-Bericht vom 2026-11-09 weist für Booba Project 17 oder mehr Meldungen in den vorangegangenen sieben Tagen aus.
Bis zum 2026-11-12 bringt weder ein öffentliches Hersteller- noch ein CISA-Advisory die Ausnutzungskette von Ivanti Connect Secure mit einem bestimmten benannten Bedrohungsakteur oder einer Ransomware-Gruppe in Verbindung.
Wrong ifDie CISA, Ivanti oder ein großer Hersteller benennt spätestens am 2026-11-12 einen Akteur hinter der Kette um CVE-2026-111357.
At least three of N0n's five placeholder listings (Company #99 to #103) are replaced by named victims on ransomware.live or ransomlook.
Called Thu 22 Oct · due Sun 1 Nov
The 1 November due date has passed. No item shows N0n placeholders (Company #99 to #103) replaced by named victims.
open
At least one of N0n's anonymised 'Company #104' to '#109' entries is replaced by a named victim on ransomware.live or ransomlook.
Called Fri 23 Oct · due Mon 2 Nov
2 November is the due date and has not ended. No item mentions N0n or Company #104 to #109.
partly
Qilin leak-site postings fall back to fewer than 15 claims on any single day across ransomware.live and ransomlook between 1 and 4 November, confirming the 60-item day was a batch rather than a campaign.
Called Sat 31 Oct · due Wed 4 Nov
Roughly 10 Qilin claims were posted on ransomware.live on 1 November, below 15. The window runs to 4 November, so a later day could still reach 15 or more.
No government body or law enforcement agency formally attributes the Binance theft to North Korea in these feeds by 14 November; the TraderTraitor link stays an analyst inference.
Called Sat 31 Oct · due Sat 14 Nov
On 1 November the FBI officially attributed the Binance theft to North Korea's TraderTraitor, before the 14 November deadline.
derselbe Einbruch wie im Vorjahr, durchgeführt von etwas, das nicht müde wird, sich nicht langweilt und keinen Tagessatz braucht; früher bekannt als Skript, bevor das Skript Eigeninitiative und eine Offenlegungserklärung erwarb.
§5
Von unserem Rand
Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.
Unser eigener Netzrand hatte eine gewöhnliche Nacht, und das ist das Beunruhigende daran. Binnen 24 Stunden erfasste der lokale Sensor 62 feindliche Quellen – 42 Scanner, 13 Bot-Crawler, vier gezielt vorgehende Akteure, zwei Brute-Forcer –, die zusammen 10.371 Anfragen sendeten; 13 davon gingen über die Aufklärung hinaus in tatsächliche Ausnutzungsversuche über, und fünf Adressgruppen teilten einen Verhaltensfingerabdruck, darunter ein Werkzeug oder Akteur, der unter der DNA dfef4501b216 über 13 IPs rotierte. Von 5.712 am Netzrand gesehenen Adressen aus 110 Ländern waren 2.566 heute neu. Der geschäftigste Besucher, 44.249.143.106, sandte 334 Anfragen mit 52 pro Minute an zwei unserer Seiten und fragte nach /.git/config und vier Spielarten von .env; der Sensor ordnete ihn mit 62 % als sein sichersten Kampagnentreffer des Tages einem Scanner zur Enumeration von Secrets zu. Ein anderer feuerte in etwa 1,2 Sekunden 122 Anfragen ab, allesamt nach AWS- und Docker-Credential-Dateien, was kein Mensch ist und nie einer war. Eine Adresse sandte sechs Anfragen in der Form von CVE-2024-4577 an eine /index.php, die nicht existiert, weil der Exploit immer noch billiger zu versprühen als auszumustern ist. Rohprotokolle haben den Server nie verlassen; nur diese Befunde. Nichts davon zielte auf uns, und alles davon hätte bei irgendwem funktioniert.
62profilierte feindliche Quellen
10.371Anfragen von ihnen
13erreichten Ausnutzung
5Cluster mit gemeinsamer DNA
8,3/10höchste Feindseligkeit
5.712Adressen an unserem Netzrand
2.566heute erstmals gesehen
110Länder
Die WTF-Liste
WTF #1
Der hartnäckigste Besucher
132.196.59.85, ein Scanner (Feindseligkeit 6,7/10), sandte 130 Anfragen an eine unserer Seiten und suchte nach /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /3PJcpMFsD8B_261013034223.php, /pw.php.
Warum es seltsam istHöchste Feindseligkeit auf der Liste; seine Kill Chain erreichte die Waffenbarmachung.
attribution: unbekanntMon 2 Nov, 02:00 UTC
Detail
Kill Chain: Aufklärung → Waffenbarmachung · DNA dfef4501b216
WTF #2
Gleiche DNA, andere Adressen
34.176.200.106, ein Scanner (Feindseligkeit 6,3/10), sandte 277 Anfragen mit 271 pro Minute an eine unserer Seiten und suchte nach /.git/config, /.env, /.env.local, /.env.production.
Warum es seltsam ist13 IPs teilen einen Verhaltensfingerabdruck (DNA dfef4501b216): ein Werkzeug oder ein Akteur, der Adressen rotiert: 216.73.161.156, 2001:41d0:601:2000::166e, 34.6.113.19, 92.222.24.199, 45.92.229.15 und weitere.
attribution: unbekanntMon 2 Nov, 02:00 UTC
Detail
Kill Chain: Aufklärung → Waffenbarmachung · DNA dfef4501b216
WTF #3
CVE-2024-4577 an uns versucht
1 Adresse sandte 6 Anfragen in der Form einer Ausnutzung von CVE-2024-4577 (/index.php), darunter 109.238.86.65.
Warum es seltsam istEin bekannter, benannter Exploit wird immer noch ins Internet gesprüht; unser Netzrand sah ihn heute, was auch immer die Patch-Notizen über das Jahr sagen.
attribution: unbekannt
Detail
Sondierungsfamilie: Webshell
WTF #4
Die seltsamste Einkaufsliste
20.211.122.120, ein Scanner (Feindseligkeit 6,4/10), sandte 46 Anfragen an eine unserer Seiten und suchte nach /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php.
Warum es seltsam istFragte nach Dateien, nach denen fast sonst niemand fragt: /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php, /rip.php.
attribution: unbekanntMon 2 Nov, 02:00 UTC
Detail
Kill Chain: Aufklärung → Waffenbarmachung · DNA 83562bd8e880
WTF #5
In Eile
34.77.241.117, ein Scanner (Feindseligkeit 5,4/10), sandte 122 Anfragen an eine unserer Seiten und suchte nach /.aws/.env, /.aws/credentials.bak, /.docker/config.json, /.docker/laravel/app/.env.
Warum es seltsam istFeuerte 122 Anfragen in etwa 1,2 Sekunden ab.
attribution: unbekanntMon 2 Nov, 02:00 UTC
Detail
Kill Chain: Aufklärung → Waffenbarmachung · DNA 18e39c4b41fb
WTF #6
Jemand, den wir vielleicht kennen
44.249.143.106, ein Scanner (Feindseligkeit 6,6/10), sandte 334 Anfragen mit 52 pro Minute an 2 unserer Seiten und suchte nach /.git/config, /.env, /.env.local, /.env.production.
Warum es seltsam istDer sicherste Kampagnentreffer des Sensors am heutigen Tag: Scanner zur Enumeration von Secrets (Nuclei-kompatibel oder eigene Werkzeuge) mit 62 %.
attribution: Scanner zur Enumeration von Secrets (Nuclei-kompatibel oder eigene Werkzeuge) (bester Treffer des Sensors, 62 %)Mon 2 Nov, 02:00 UTC
Detail
Kill Chain: Aufklärung → Waffenbarmachung · DNA 5941231fc8fa
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
240claims, 7 days
41of 269 groups active
thegentlemen50 this week · surging
qilin28 this week
Booba Project17 this week · surging
SurgingBooba Project — 17 claims in 7 days against 2.3 expected from its own prior rate (p < 0.001)
Surgingthegentlemen — 50 claims in 7 days against 25.0 expected from its own prior rate (p < 0.001)
SurgingSilentRansomGroup — 11 claims in 7 days against 2.5 expected from its own prior rate (p < 0.001)
Surgingrhysida — 8 claims in 7 days against 1.4 expected from its own prior rate (p < 0.001)
Surginggenesis — 10 claims in 7 days against 2.3 expected from its own prior rate (p < 0.001)
Surgingeverest — 8 claims in 7 days against 2.7 expected from its own prior rate (p = 0.006)
UpTransportation — 2.1× its own prior share (71 claims, 34 expected)
UpEducation — 2.0× its own prior share (55 claims, 27 expected)
UpHealthcare — 1.2× its own prior share (107 claims, 88 expected)
DownAgriculture and Food Production — 0.7× its own prior share (23 claims, 34 expected)
23% of claims carry no sector label.
Brand churn
Of the 231 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 62% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 213 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 11 — newest: Shiba (2026-10-29, 5 claims), everstake (2026-10-29, 5 claims), Whitearmor (2026-10-23, 19 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.2× every other brand's share); N0n put 33% of its claims on Transportation (7.4× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.0× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 196 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 33% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§8
Kolophon
Wie diese Ausgabe entstanden ist – unverblümt.
Ausgabe 36 wurde von Maschinen erstellt und von Code geprüft. Jeder Eintrag, den 11 öffentliche Bedrohungs-Feeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlichten (284 Einträge), wurde vollständig gelesen: Statistiken im Code berechnet, jeder Ausschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus synthetisiert. Anschließend redigierte Claude Opus die Zeitung. Jede Geschichte nennt die Einträge, auf denen sie beruht; Geschichten, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung verworfen (heute 0). Prognosen werden in späteren Ausgaben öffentlich bewertet. „From our edge" sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: 0,00 $. Sie wird maschinell geschrieben, in der Stimme von ScottG, Autor von Everything Is Probably Fine, und niemand hat sie von Hand redigiert, was entweder der Sinn oder das Problem ist.
284items read
24hour window
$0.00cost of this edition
05:05 UTCgenerated
Quellen von heute Morgen
NVD100ok
Signal Atlas48ok
infosec.exchange37ok
atlas27ok
Security news22ok
ransomware.live17ok
RansomLook17ok
signal:ioc-family9ok
RSS3ok
signal:actor3ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 284|SOURCES: 11|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.00|STATUS: NICHT IN ORDNUNG, ABER ÜBERLEBBAR
OWNER: die Maschine|EDITOR: die Regeln|CALLS OPEN: 3|NEXT REVIEW: morgen 06:00 UK