Ein täglicher Feldbericht über Dinge, die wahrscheinlich in Ordnung sind
No. 37·Dienstag 3 November 2026·Erscheint 06:00 UK·Fine-Anzeige 3/5: Nicht gerade in Ordnung
Aufmacher · Schwachstellen
Zwei weitere Zero-Days in Ivanti Connect Secure landen im KEV – rund einen Monat nachdem jemand anderes sie gefunden hat
Ivanti hat gestern CVE-2026-111357 und CVE-2026-118527 gepatcht; die Angriffskette läuft seit mindestens dem 1. Oktober. Die Offenlegungschronologie ist damit in Wahrheit die Quittung des Angreifers.
Konfidenz0.93
Ivanti hat Updates für zwei weitere Schwachstellen im Remote-Access-Gateway Connect Secure veröffentlicht, und die CISA hat CVE-2026-111357 und CVE-2026-118527 in den KEV-Katalog aufgenommen, nachdem beide seit mindestens dem 1. Oktober in Zero-Day-Angriffen verkettet wurden. Liest man diesen Satz in der Reihenfolge, die der Kalender vorgibt, sagt er etwas leicht anderes als die Pressemitteilung: Rund einen Monat lang war ein Perimetergerät, dessen einzige Aufgabe es ist, der Perimeter zu sein, ein Aufmarschgebiet – und die Einzigen mit einer vollständigen Liste der betroffenen Organisationen waren diejenigen, die es betrieben.
An dieser Stelle des Rituals fällt üblicherweise das Wort „hochentwickelt“. Es ist hier nicht hilfreich. Tatsächlich wurden in einem internetexponierten Gerät mit Weboberfläche zwei Fehler gefunden, die sich kombinieren lassen – und die Ersten, die sie fanden, waren weder der Hersteller noch wir. Der Patch beendet das Problem des Herstellers und beginnt das Ihre: Ein Gerät, das einen Monat lang angreifbar war, wird nicht gepatcht, sondern gilt als besucht – und das Gegenteil müssen Sie mit Logs belegen, die Sie hoffentlich aufbewahrt haben.
Die Chefin des NCSC wählte dieselbe Woche, um vor einem beispiellosen Anstieg von Angriffen in den kommenden Monaten zu warnen – mit dem Hinweis, dass allzu lange tolerierte Schwachstellen heute in einem Ausmaß entdeckt und ausgenutzt werden könnten, das einst unvorstellbar war. „Toleriert“ trägt in diesem Satz enorm viel Gewicht, und es ist das richtige Wort. Niemand hat dieses Risiko in einer Sitzung akzeptiert. Wir sind nur nie dazu gekommen – was dasselbe ist, nur mit besserem Papierkram.
Warum es wichtig istWer ICS-Gateways betreibt, hat mit dem Patchen heute die leichtere Hälfte vor sich; die Suche im Zeitfenster vom 1. Oktober bis 2. November ist die Hälfte, die klärt, ob Sie einen Vorfall haben.
Jeder Sicherheitshinweis enthält zwei Daten, und das, das der Angreifer genutzt hat, ist stets das ältere.
— Sturgeon's Revelations · Probably Fine Daily No. 37
Jeden Morgen06:00 UK
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§2
Schlagzeilen
Der Rest der letzten 24 Stunden – mit Belegen.
Schwachstellen
Tausend GitLab-Server sind weiterhin internetexponiert – für eine Schwachstelle höchster Schwere, die gerade ausgenutzt wird
Über 1.000 internetexponierte GitLab-Server sind weiterhin nicht gegen eine aktiv zur Remote-Code-Ausführung ausgenutzte Schwachstelle höchster Schwere gepatcht. Im selben Zeitraum forderte Synology NAS-Besitzer zum sofortigen Update auf, weil Angriffe mit der Ransomware C3RB3R auf ihre Geräte sprunghaft zunehmen. Nichts davon ist ein Rätsel, ein Nationalstaat oder eine neuartige Technik; beide Fälle sind ein Gerät, das jemand nützlicherweise ins Internet gestellt hat, mit einem Versionsstand aus der Zeit vor den schlechten Nachrichten.
Warum es wichtig istEine GitLab-Instanz enthält Ihren Quellcode, Ihre CI-Token und Ihre Deploy-Schlüssel – sie ist damit weniger ein Server als ein Generalschlüssel mit Weboberfläche.
Rund hundert CVEs trafen an einem Vormittag ein, fast alle WordPress – dann wurde es still um die NVD
Der Feed nahm am 31. Oktober etwa hundert NVD-Einträge auf, überwiegend Fehler in WordPress-Plugins in zwei, drei immer gleichen Ausprägungen: nicht authentifiziertes gespeichertes Cross-Site-Scripting über Kommentarfelder und fehlende Autorisierung an Endpunkten, die bereitwillig alles annehmen. Zwischen dem Plugin-Rauschen steckt CVE-2026-119977, Remote-Code-Ausführung in WordPress Core der Versionen 4.7 bis 7.1.3, verursacht durch vorhersagbare, webzugängliche Staging-Pfade bei vollständigen Core-Upgrades und durch nicht authentifizierte Angreifer im Upgrade-Fenster ausnutzbar. Dann stoppte die NVD: Nach 21:05 Uhr am 1. November kam nichts mehr – entweder eine Veröffentlichungspause oder eine Lücke bei der Datenübernahme, und beide Lesarten sind wenig beruhigend.
Warum es wichtig istDer verwundbare Moment bei CVE-2026-119977 ist das Upgrade selbst; die eine Wartungsaufgabe, für die man Sie lobte, ist also zugleich das Einfallstor.
The Gentlemen veröffentlichten an einem Vormittag etwa zwei Dutzend Opfer, und N0n nummeriert sie wie Rechnungen
The Gentlemen stellten am 2. November 24 Einträge auf ihre Leak-Seite, bei einem Median von null an anderen Tagen; die Bandbreite reicht von einer schottischen Kanzlei für Immobilienrecht und einer französischen Logistikholding bis zu einer brasilianischen Landesgesundheitsbehörde und Mitsubishi Motors Ukraine. Unsere Tempo-Auswertung sieht die Gruppe bei 50 Meldungen in sieben Tagen gegenüber 24,97 erwarteten nach ihrer eigenen früheren Rate, p unter 0,001, in einer Woche mit 217 Meldungen von 39 der 269 beobachteten Gruppen. N0n wiederum veröffentlicht anonymisierte, nummerierte Einträge – Company #113 bis #122, als PENDING EXPOSURE markiert und nur nach Branche beschrieben, von der Zahnversicherung bis zum Einzelhandelskonglomerat in den VAE –, also Erpressung als Release-Pipeline, bei der die zurückgehaltenen Namen das Druckmittel sind. Everstake geht weiter und setzt Countdowns: 582,69 Gb für den 10. November, 473,05 Gb für den 12. November, die Opfer weiterhin geschwärzt. Daneben meldete Interlock zwei US-Schulbezirke, Redact beanspruchte 29,7 GB und 11.156 Dateien der Kanzlei Holland & Knight, und SilentRansomGroup legt mit 11 Meldungen gegenüber 2,55 erwarteten kräftig zu.
Warum es wichtig istEin Massen-Dump verzerrt Ihre Trendlinien: Dies ist ein Veröffentlichungsereignis, keine vierundzwanzig Einbrüche vom Montag, und Ihre Vorstandsfolie wird den Unterschied nicht kennen, wenn Sie es ihr nicht sagen.
Konfidenz0.85
Bedrohungsakteure
Sie riefen als IT-Support über Teams an, erhielten Fernzugriff und baten Active Directory um ein Zertifikat
In zwei menschengesteuerten Einbrüchen gaben sich Angreifer über Microsoft-Teams-Nachrichten und -Anrufe als IT-Helpdesk aus, überredeten Mitarbeitende, per Quick Assist Fernzugriff zu gewähren, und missbrauchten dann unsichere Konfigurationen der Active Directory Certificate Services entlang der Pfade ESC1 und ESC8, um Anmeldezertifikate für privilegierte Konten auszustellen, darunter eines für einen Domänencontroller. Kein Exploit, am Einstiegspunkt keine nennenswerte Malware, nur ein überzeugender Kollege und eine Zertifizierungsstelle, die tut, was man ihr sagt. Das Zertifikat ist der springende Punkt: Es ist langlebig, legitim und übersteht das Passwort-Zurücksetzen, das Sie mit dem Gefühl von Produktivität durchführen werden.
Warum es wichtig istPrüfen Sie Ihre AD-CS-Vorlagen auf vom Antragsteller angegebene Subject Names und auf Web-Enrollment über HTTP, und behandeln Sie externe Teams-Kontakte und Quick-Assist-Sitzungen als Authentifizierungsereignis – denn so hat der Angreifer sie behandelt.
Die Modelle stehen jetzt auf beiden Seiten der Rechnung: ARTEX traf 200 Organisationen, und die KI-Werkzeuge selbst wurden gehackt
Chinesische Akteure setzten ARTEX, ein quelloffenes Multi-Agenten-KI-Framework für Penetrationstests, bei Angriffen auf mehr als 200 Organisationen in 14 Ländern ein; die Kampagne VAPOR PANDA soll ab dem 17. Oktober parallele Einbrüche mit DeepSeek und kommerziellen Modellen durchgeführt haben; ein weiteres Open-Source-Framework, CyberStrikeAI, wurde gegen Bildungseinrichtungen in Afrika und Lateinamerika eingesetzt; und der Infostealer VOLTA fragt Claude, Gemini und Kimi an, um gestohlene Daten danach zu ordnen, wie viel das Opfer wert ist. In die Gegenrichtung: Der Erweiterungs-Marktplatz von Cursor lieferte am 29. Oktober schädliche Claude-Code-Erweiterungen aus, die Versionen 2.1.312 und 2.1.313, die Host-Aufklärung betrieben und versuchten, SSH-Hintertüren auf Entwicklerrechnern zu platzieren; Chainalysis machte einen Einbruch öffentlich, bei dem Angreifer offensive agentische Techniken gegen seine Systeme und internen Werkzeuge einsetzten; und mindestens neun KI-Entwicklerplattformen wurden im Oktober kompromittiert, mit Diebstahl von Zugangsdaten und Missbrauch des Modellzugangs. Unit 42 meldete zudem SysGoRAT gegen Linux-Infrastruktur von Behörden mit mutmaßlich KI-generierten Skripten. Der gemeinsame Nenner ist nicht Intelligenz, sondern Durchsatz.
Warum es wichtig istIhre Entwicklerrechner haben nun einen Erweiterungs-Marktplatz mit dem Schadensradius eines Paketmanagers, und niemand ist dafür zuständig.
Google zerschlug ein Botnetz mit 1,3 Millionen Geräten und sagt, der Hersteller habe die Hintertür absichtlich eingebaut
Google und Branchenpartner haben das Botnetz XCPE abgeschaltet, mehr als 1,3 Millionen Android-Geräte, überwiegend TV-Set-Top-Boxen, die die Internetanschlüsse ihrer Besitzer an Fremde vermieteten und Werbebetrug betrieben. Google erklärt, mit hoher Sicherheit davon auszugehen, dass der Gerätehersteller Videostrong die Hintertür absichtlich in die Boxen eingebaut und den Zugang an Kriminelle verkauft hat, und hat den Hersteller gesperrt. Das ist die bemerkenswerte Verschiebung: keine von außen kompromittierte Lieferkette, sondern eine Lieferkette, die genau so funktioniert, wie ihr Eigentümer es wollte – mit dem Kunden als ausgeliefertem Produkt.
Warum es wichtig istBillige Verbraucherboxen in den Heimnetzen der Belegschaft sind inzwischen ein Problem des Herstellervertrauens und nicht des Patchens – und ein Geschäftsmodell lässt sich nicht patchen.
Das FBI ordnet den Diebstahl von 6,43 Milliarden Dollar bei Binance TraderTraitor zu, während drei weitere Krypto-Vorfälle parallel laufen
Das FBI hat den Diebstahl von mehr als 6 Milliarden Dollar an virtuellen Vermögenswerten bei Binance TraderTraitor zugeschrieben, der nordkoreanisch ausgerichteten Gruppe, die auch als Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces und UNC4899 verfolgt wird, und hat über 600 Adressen markiert, während die Erlöse gewaschen werden. Im Feed desselben Tages, ohne Hinweis auf einen Zusammenhang: Brasiliens größte Börse, Mercado Bitcoin, bestätigte einen Cyberangriff, bei dem mehr als 46 Millionen Dollar die Plattform verließen; BTCPay Server warnte, dass Hot Wallets veralteter Instanzen geleert werden; und Polymarket erstattet Händlern 3,9 Millionen Dollar zurück, nachdem die DNS-Einträge von DebugBear über dessen Domain-Registrar kompromittiert wurden. Die Berichterstattung zur Binance-Nachbetrachtung benennt den unbequemen Punkt unverblümt: ein kompromittierter Laptop, schwache Systemtrennung, systemischer Verlust.
Warum es wichtig istDie Kompromittierung von Registraren und Drittanbieter-Skripten liegt außerhalb der meisten Asset-Inventare und mitten in der Browsersitzung jedes Kunden.
Jemand hat die Temperatureinstellungen von Supermarkt-Tiefkühltruhen aus der Ferne verändert, in mehreren Ländern
Ein Cyberangriff auf Kühlsysteme störte Filialen mehrerer Supermarktketten in mehreren europäischen Ländern, nachdem Angreifer die Temperatureinstellungen von Tiefkühltruhen und Kühlanlagen aus der Ferne geändert hatten. In der Meldung kommt keine CVE vor, keine Lösegeldforderung wird erwähnt, und nichts daran ist raffiniert: ein Steuerungssystem, das einen Sollwert von jedem annahm, der danach fragte. Anderswo in der Rubrik des Seltsamen: Die russische Statistikbehörde Rosstat bestätigte einen Cyberangriff, zu dem sich ein Bündnis belarussischer und proukrainischer Hacker bekannte.
Warum es wichtig istWenn sich ein Sollwert ohne starke Authentifizierung aus der Ferne schreiben lässt, ist Ihre Gebäudeleittechnik ein Aktor mit Anmeldeseite und gehört in dasselbe Asset-Register wie der Domänencontroller.
Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.
Unter den Feeds: zwei Tracker, die voneinander abschreiben, ein Schub, der für eine Verbrechenswelle gehalten wird, und eine Indikatorenzahl, die Leitungen misst statt Infektionen.
Exception 01
Mehrere Quellen bedeuten nicht Bestätigung
ransomware.live liegt bei Meldungen zu N0n, Everstake und safepay durchgängig etwa ein bis anderthalb Stunden vor ransomlook, und viereinhalb Stunden im einen orova-Fall, in dem ransomlook zuerst war. Die Opferzahlen aus mehreren Quellen bei Qilin, Akira und N0n spiegeln weitgehend das gemeinsame Auslesen derselben Leak-Seiten wider, nicht unabhängige Bestätigung.
Konfidenz0.70
Wrong if
Belege dafür, dass die Tracker unabhängig voneinander auslesen, etwa abweichende Opfermengen oder eine je nach Gruppe wechselnde Reihenfolge des Vorsprungs.
Watch
Ob der Vorsprung von etwa einer Stunde bestehen bleibt und ob die angekündigten Enthüllungstermine von Everstake am 10. und 12. November tatsächlich eintreffen.
Der Tag von The Gentlemen ist eine Veröffentlichung, keine Einbruchsrate
24 Einträge in etwa dreieinhalb Stunden am 2. November bei einem Median von null an anderen Tagen, quer durch Gesundheitswesen, Recht, Fertigung, Bildung und Automobilbranche in Europa, Amerika, Afrika und Ozeanien, deuten auf die Sammelveröffentlichung eines Rückstands oder eine Affiliate-Kampagne hin. Daraus abgeleitete Opferzahlen werden die tatsächliche Kompromittierung in Echtzeit überzeichnen.
Konfidenz0.70
Wrong if
Offenlegungen von Opfern, die die Einbrüche auf dieselben Tage datieren, oder die Gruppe hält dieselbe Rate eine Woche lang durch.
Watch
Die Taktung in den nächsten drei bis sieben Tagen sowie jede Bestätigung durch die genannten Organisationen.
Exception 03
Die 2.221 Indikatoren von SalatStealer sind ein Feed-Artefakt, bis das Gegenteil bewiesen ist
SalatStealer erzeugte in etwa 23 Stunden 2.221 Indikatoren, gegenüber 5 bis 52 bei jeder anderen Familie im Zeitfenster, während Mirai und Mozi in derselben Minute beginnen und SilverFox und ValleyRAT in Anzahl und Zeitpunkt identisch sind. Dieses Muster spricht für Batch-Import und Aliasing statt für eine Infektionswelle.
Konfidenz0.50Speculative
Wrong if
Unabhängige Telemetrie, die einen tatsächlichen Anstieg einer SalatStealer-Kampagne zeigt.
Watch
Ob die Indikatorrate hoch bleibt, sobald der Batch abgearbeitet ist.
Exception 04
Bildung ist der Sektor der Woche – durch Anhäufung, nicht durch eine Kampagne
Die unbestätigte Behauptung von BYOD gegen die Michigan State University, die 1,03 Millionen aktuelle und frühere Studierende und Beschäftigte betrifft, erschien auf ransomware.live und erreichte die Nachrichtenberichterstattung etwa 16 Stunden später; sie steht neben dem Einbruch bei Floridas Studienförderungs-Website, der 4,9 Millionen Menschen gefährdet, und den Leaks von Interlock bei zwei Schulbezirken. Es handelt sich um getrennte Akteure ohne Hinweis auf Koordination.
Konfidenz0.50
Wrong if
Die MSU dementiert einen Einbruch, oder die behauptete Opferzahl erweist sich als widersprüchlich.
Watch
Eine Stellungnahme der MSU und ob BYOD Daten veröffentlicht.
Nothing to seeZwischen den Ransomware-Opfern des Tages und den Edge-CVEs wurde keine Verbindung gefunden. Sageworks und Akira, Polymarket und die Cursor-Erweiterung sowie der Vorfall bei der Supermarktkühlung sind reine Gleichzeitigkeit, ohne gemeinsame Entität und ohne Beleg für Kausalität. Der Mastodon-Cluster mit 41 Beiträgen um 04:00 Uhr sind Leute, die aufwachen, kein Signal. Die Behauptung zum WARP-PANDA-ESXi-Zero-Day stammt aus nur einer Quelle und ist unbestätigt, und ein einzelner Tag ist keine Grundlage für irgendeinen Trend, den Sie gerade auf eine Folie setzen wollen.
Deep read: 343 Artikel gelesen
§4
Prognose
Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.
Today’s calls
DueCallConfidence
DueFri 6 Nov72h
Die NVD-Veröffentlichung setzt in diesen Feeds wieder ein, mit mindestens 20 neu übernommenen CVE-Einträgen, bis zum 6. November 2026.
Wrong ifBis Ende des 6. November keine neuen NVD-Einträge im Feed nach dem 1. November, 21:05 Uhr.
The Gentlemen veröffentlichen bis zum 10. November 2026 keinen weiteren Tag mit 20 oder mehr Leak-Seiten-Einträgen; der Schub vom 2. November war eine Sammelveröffentlichung, keine neue Rate.
Wrong ifJeder einzelne Tag bis zum 10. November mit 20 oder mehr Einträgen von The Gentlemen bei ransomware.live oder ransomlook.
Mindestens eine der beiden angekündigten Veröffentlichungen von Everstake (582,69 Gb am 10. November fällig, 473,05 Gb am 12. November fällig) erscheint bis zum 13. November 2026 mit benanntem Opfer auf den Leak-Seiten.
Wrong ifBeide Einträge bleiben geschwärzt, oder der Termin verstreicht bis zum 13. November stillschweigend ohne Veröffentlichung.
At least one of N0n's anonymised 'Company #104' to '#109' entries is replaced by a named victim on ransomware.live or ransomlook.
Called Fri 23 Oct · due Mon 2 Nov
The due date has passed. The only N0n items are new anonymised entries (#113-#117 and #118-#122, all with placeholder names), and none shows #104-#109 being named.
right
CISA adds a third Ivanti Connect Secure CVE from the reported chain to the KEV catalogue by 8 November 2026.
Called Sun 1 Nov · due Sun 8 Nov
SecurityWeek reports CISA added two more Ivanti Connect Secure chain CVEs, CVE-2026-111357 and CVE-2026-118527, to KEV. This assumes the call's earlier two chain CVEs were already listed, so these are the third and fourth.
TheGentlemen posts fewer than ten new leak-site claims on ransomware.live between 2 and 8 November 2026, confirming the 31 October figure as a single burst rather than a new operating rate.
Called Sun 1 Nov · due Sun 8 Nov
On 2 November alone ransomlook shows about 24 new the gentlemen leaks, and the tempo report shows 50 claims in 7 days. That is already well over ten.
Fähig, den langweiligen Mittelteil eines Einbruchs um drei Uhr morgens zu erledigen, ohne Tagessatz, Kick-off-Termin oder Leistungsbeschreibung zu verlangen. Früher: ein Junior. Siehe auch: Chainalysis, wo einer zu Besuch war.
§5
Von unserem Rand
Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.
Unser eigener Edge-Sensor hat in den letzten 24 Stunden 22 feindliche Quellen profiliert – 15 Scanner, 4 Bot-Crawler, 2 Brute-Forcer und 1 gezielten Akteur –, die zusammen 1.741 Anfragen sendeten, von denen 4 über die Aufklärung hinaus zu Exploit-Versuchen wurden; insgesamt sahen wir 5.262 Adressen aus 95 Ländern, 1.564 davon zum ersten Mal. Der hartnäckigste Besucher des Tages, 84.17.60.236 mit einer Feindseligkeit von 7,7 von 10, sendete 20 Anfragen auf der Suche nach /login/wp-includes/wlwmanifest.xml und /login/xmlrpc.php und erreichte in seiner Kill Chain die Phase Credential Access; fünf Adressen teilten einen einzigen Verhaltensfingerabdruck, während sie /.git/config, /.env und /.env.production abfragten, was einem Akteur mit Rotationsbudget entspricht; 34.156.56.208 feuerte in etwa einer halben Sekunde 123 Anfragen auf AWS- und Docker-Zugangsdatendateien ab; und zwei Adressen sprühten /hnap1 in der Form von CVE-2015-2051 auf uns, einen benannten Exploit aus dem Jahr 2015, weil das Internet nie etwas wegwirft. Die sicherste Kampagnenzuordnung des Tages, mit 45 Prozent, war ein Schwachstellenscanner für WordPress-Plugins – genau das Publikum, für das die hundert WordPress-Plugin-CVEs von gestern geschrieben wurden. Rohprotokolle haben den Server nie verlassen; nur diese Erkenntnisse.
22profilierte feindliche Quellen
1.741Anfragen von ihnen
4erreichten Exploitation
3Cluster mit gemeinsamer DNA
8,2/10höchste Feindseligkeit
5.262Adressen an unserem Edge
1.564heute erstmals gesehen
95Länder
Die WTF-Liste
WTF #1
Der hartnäckigste Besucher
84.17.60.236, ein gezielter Akteur (Feindseligkeit 7,7/10), sendete 20 Anfragen an eine unserer Seiten und suchte nach /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Warum es seltsam istHöchste Feindseligkeit auf der Liste; seine Kill Chain erreichte Credential Access.
35.200.118.164, ein Scanner (Feindseligkeit 6,5/10), sendete 170 Anfragen an eine unserer Seiten und suchte nach /.git/config, /.env, /.env.local, /.env.production.
Warum es seltsam ist5 IPs teilen einen Verhaltensfingerabdruck (DNA dfef4501b216): ein Werkzeug oder ein Akteur, der Adressen rotiert: 158.23.85.214, 172.182.199.29, 20.194.27.148, 35.200.118.164, 143.244.57.84.
attribution: unbekanntTue 3 Nov, 01:00 UTC
Detail
Kill Chain: reconnaissance → weaponization · DNA dfef4501b216
WTF #3
CVE-2015-2051 gegen uns versucht
2 Adressen sendeten 2 Anfragen in der Form einer Ausnutzung von CVE-2015-2051 (/hnap1), darunter 157.230.23.187, 165.227.172.91.
Warum es seltsam istEin bekannter, benannter Exploit, der noch immer ins Internet gesprüht wird; unser Edge sah ihn heute, was auch immer die Patch-Hinweise über das Jahr sagen.
attribution: unbekannt
Detail
Probe-Familie: dlink-hnap
WTF #4
Die seltsamste Einkaufsliste
20.218.73.251, ein Scanner (Feindseligkeit 6,1/10), sendete 68 Anfragen an eine unserer Seiten und suchte nach /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /gtc.php, /simple.php.
Warum es seltsam istFragte nach Dateien, nach denen fast niemand sonst fragt: /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /gtc.php, /simple.php, /dairg.php.
attribution: Automatisierter Schwachstellenscanner oder Aufklärungswerkzeug (beste Zuordnung des Sensors, 50 %)Tue 3 Nov, 01:00 UTC
Detail
Kill Chain: reconnaissance → weaponization · DNA c67915f564de
WTF #5
In Eile
34.156.56.208, ein Scanner (Feindseligkeit 5,4/10), sendete 123 Anfragen an eine unserer Seiten und suchte nach /.aws/credentials.bak, /.docker/.env, /.aws/config, /.aws/.env.
Warum es seltsam istFeuerte 123 Anfragen in etwa 0,5 Sekunden ab.
attribution: unbekanntTue 3 Nov, 01:00 UTC
Detail
Kill Chain: reconnaissance → weaponization · DNA 18e39c4b41fb
WTF #6
Jemand, den wir vielleicht kennen
74.162.157.79, ein Scanner (Feindseligkeit 5,8/10), sendete 162 Anfragen mit 2 pro Minute an 2 unserer Seiten und suchte nach /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /1index.php, /wp-content/plugins/index.php.
Warum es seltsam istDie sicherste Kampagnenzuordnung des Sensors am heutigen Tag: Schwachstellenscanner für WordPress-Plugins / Nuclei / WPScan mit 45 %.
attribution: Schwachstellenscanner für WordPress-Plugins / Nuclei / WPScan (beste Zuordnung des Sensors, 45 %)Tue 3 Nov, 01:00 UTC
Detail
Kill Chain: reconnaissance → weaponization · DNA bccc30d19899
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
217claims, 7 days
39of 269 groups active
thegentlemen50 this week · surging
qilin27 this week
SilentRansomGroup11 this week · surging
Surgingthegentlemen — 50 claims in 7 days against 25.0 expected from its own prior rate (p < 0.001)
SurgingSilentRansomGroup — 11 claims in 7 days against 2.5 expected from its own prior rate (p < 0.001)
Surginggenesis — 10 claims in 7 days against 2.3 expected from its own prior rate (p < 0.001)
Surgingrhysida — 7 claims in 7 days against 1.5 expected from its own prior rate (p < 0.001)
SurgingBooba Project — 7 claims in 7 days against 2.9 expected from its own prior rate (p = 0.028)
Surgingpayload — 5 claims in 7 days against 1.7 expected from its own prior rate (p = 0.030)
UpTransportation — 2.1× its own prior share (72 claims, 34 expected)
UpEducation — 2.1× its own prior share (56 claims, 27 expected)
DownAgriculture and Food Production — 0.7× its own prior share (22 claims, 34 expected)
23% of claims carry no sector label.
Brand churn
Of the 231 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 62% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 213 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 11 — newest: everstake (2026-10-29, 7 claims), Shiba (2026-10-29, 5 claims), Whitearmor (2026-10-23, 19 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 32% of its claims on Germany (6.2× every other brand's share); N0n put 33% of its claims on Transportation (7.3× every other brand's share); genesis put 95% of its claims on the United States (2.6× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 63% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 1 of 195 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 32% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§8
Kolophon
Wie diese Ausgabe entstanden ist – unverblümt.
Ausgabe 37 wurde von Maschinen erstellt und von Code geprüft. Jeder Beitrag, den 11 öffentliche Bedrohungs-Feeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlicht haben (343 Beiträge), wurde vollständig gelesen: Statistiken per Code berechnet, jeder Ausschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus zusammengeführt. Anschließend hat Claude Opus die Zeitung redigiert. Jede Geschichte nennt die Beiträge, auf denen sie beruht; Geschichten, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung verworfen (heute 0). Prognosen werden in späteren Ausgaben öffentlich bewertet. „From our edge“ sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: 0,73 $. Sie wird maschinell in der Stimme von ScottG verfasst, dem Autor von Everything Is Probably Fine, und niemand hat sie von Hand redigiert, was entweder der Sinn der Sache ist oder das Problem.
343items read
24hour window
$0.73cost of this edition
05:05 UTCgenerated
Quellen von heute Morgen
NVD100ok
RansomLook56ok
Signal Atlas44ok
Security news43ok
infosec.exchange38ok
ransomware.live19ok
AlienVault OTX13ok
RSS10ok
signal:ioc-family10ok
atlas9ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 343|SOURCES: 11|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.73|STATUS: NICHT GERADE IN ORDNUNG
OWNER: die Maschine|EDITOR: die Regeln|CALLS OPEN: 3|NEXT REVIEW: morgen 06:00 UK