Aufmacher · Die Lage des Tages

Ihr Vorfall ereignete sich bei einem Unternehmen, das Sie nie geprüft haben

Frankreichs Blutspendedienst, eine französische Bank, sechs Fluggesellschaften und ein Hosting-Anbieter hatten am Mittwoch einen schlechten Tag – und in jedem Fall lag der Einbruch woanders.

Konfidenz 0.88

Frankreichs nationaler Blutspendedienst bestätigte, dass ein Cyberangriff auf Coolworld, das Unternehmen, das seine Kühllagerung wartet, an drei Standorten die Temperatur- und Abtaueinstellungen erhöht und damit gelagerte Blutprodukte gefährdet hat; laut der Meldung von Hackmanac wurden die Gefrierschränke so umprogrammiert, dass sie 110 °C erreichten. Das ist kein Datenleck mit angehängtem Entschuldigungsschreiben. Hier greift Software über einen Wartungsvertrag hindurch in etwas Physisches ein, und es ist mit deutlichem Abstand der folgenreichste Vorgang der vergangenen vierundzwanzig Stunden.

Er stand nicht allein. Crédit Mutuel Arkéa bestätigte, dass Angreifer nach der Kompromittierung eines nicht genannten Zulieferers Überweisungen über das eigene Konto der Bank veranlasst haben; die gemeldeten Verluste belaufen sich auf 133 Millionen US-Dollar (118 Millionen Euro). Japan Airlines, Cathay Pacific, Korean Air, Asiana, Singapore Airlines und Malaysia Airlines haben in der vergangenen Woche allesamt Datenschutzverletzungen offengelegt, die auf Amadeus IT Group zurückgehen. Die Update-Server von OpsShield wurden mit kompromittierten Zugangsdaten angegriffen und mehrere cPGuard-Versionen vergiftet. Die Skripte des NIKKE-PC-Launchers wurden manipuliert, um Stealer für Zugangsdaten und Wallets auszuliefern. Bei DreamHost waren Angreifer zwei Monate lang in der File-Manager-Plattform aktiv und erbeuteten FTP-/SFTP-Benutzernamen und -Passwörter von Kunden.

Wir nennen das Drittparteienrisiko, was eine Kategorienverwechslung ist – und diese Verwechslung hat reale Folgen. Der Dritte ist nicht Nachbar Ihrer Umgebung. Er ist in Ihrer Umgebung, mit einem Dienstkonto, einem VPN, einem Update-Kanal und, in mindestens einem Fall diese Woche, mit Schreibzugriff auf einen Thermostat. Ihre Kontrollgrenze endet dort, wo Ihr Vertrag endet. Die des Angreifers tut das nicht – das ist das gesamte Geschäftsmodell der einen Seite und das meiste von dem der anderen.

Warum es wichtig istErstellen Sie die Liste der Zulieferer, die den Zustand Ihrer Umgebung verändern können – Updates, Fernwartung, Gebäudetechnik – und lösen Sie Alarm bei Konfigurationsänderungen durch deren Konten aus, nicht nur bei Anmeldungen.

Belege

Today’s revelation

Drittparteienrisikomanagement ist der Glaube, dass ein im April zurückgesandter Fragebogen im November eine Kältesteuerung regiert.

— Sturgeon's Revelations · Probably Fine Daily No. 39

§2

Schlagzeilen

Der Rest der letzten 24 Stunden – mit Belegen.

Schwachstellen

CISA: WordPress Core wird bei Upgrades ausgenutzt – und nimmt nebenbei eine zwei Jahre alte Apple-Lücke auf

CISA hat CVE-2026-119977 in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen, eine Time-of-check-time-of-use-Schwachstelle von hohem Schweregrad in WordPress Core mit CVSS 8.1, die bei Software-Upgrades in freier Wildbahn ausgenutzt wird. Im selben KEV-Zeitfenster kam CVE-2024-27834 hinzu, eine Schwachstelle durch fehlerhafte Authentifizierung in Apple iOS, iPadOS, macOS, Safari, tvOS und watchOS 10.5, die es einem Angreifer mit beliebigem Lese- und Schreibzugriff erlaubt, die Pointer Authentication zu umgehen; ihr EPSS-Wert liegt bei 0.00598. Unterdessen warb ein Telegram-Kanal den Abend über damit, dass „ein Tool, das drei aktuelle WordPress-Schwachstellen ausnutzt, in Kürze veröffentlicht wird“, und nannte CVE-2026-63030 und CVE-2026-60137 – daneben ein älteres Struts-Tool zu CVE-2017-5638 samt aktiver Ziel-URLs.

Warum es wichtig istPatchen Sie WordPress Core jetzt und behandeln Sie den Upgrade-Pfad selbst als für Angreifer erreichbar; der Apple-Eintrag im KEV ist das Ende einer Kette, nicht ihr Anfang – suchen Sie daher nach dem vorgelagerten Lese-/Schreibprimitiv.

Konfidenz 0.92

Belege

Bedrohungsakteure

APT29 kaperte ein Analyse-Skript, den Rest erledigte das Telefon

Das TDR von Sekoia beschreibt eine großangelegte Watering-Hole-Kampagne, die APT29 zugeschrieben wird und drei Infektionswege nutzt: kompromittierte legitime Websites, Adversary-in-the-Middle-artige Imitation prominenter Domains sowie eine Lieferkettenkompromittierung des ukrainischen Webanalysedienstes Plerdy SEO Tracker. Das eingeschleuste Skript lieferte Besuchern n-Day-Exploits für iOS und Android ohne Nutzerinteraktion aus und installierte DarkSword und AndroSnitch, um Browser-Cookies, WLAN-Passwörter und Gerätedaten abzugreifen. Vier verschiedene Quellentypen berichteten darüber binnen fünf Stunden, was ausnahmsweise ein reales Ereignis widerspiegelt und kein Echo der Sammler.

Warum es wichtig istMobilgeräte gehören zum Geltungsbereich: Erzwingen Sie Patch-Stände des Betriebssystems auf allem, was dienstliche E-Mails liest, und prüfen Sie, ob Ihre eigenen Websites Drittanbieter-Analyse laden, die Sie nie inventarisiert haben.

Konfidenz 0.82

Belege

Schwachstellen

Tausend Zyxel-Switches, zwei SonicWall-Lücken, die niemand schließen wird, und eine sehr lange Patch-Warteschlange

Zyxel hat eine Zero-Day-Lücke in seinen Switches der Serie GS1900 geschlossen, mit der Angreifer weltweit knapp 1.000 Geräte kompromittierten und Konfigurationsdateien sowie Zugangsdaten stahlen. SonicWall bestätigte zwei Schwachstellen im abgekündigten Global Management System 9.5.2 und früher, die gar nicht mehr gepatcht werden: CVE-2026-109593, ein unauthentifiziertes Lesen von Dateien mit CVSS 9.1, und CVE-2026-109594, eine authentifizierte SQL-Injection; als Abhilfe wird die Migration zu NSM angeboten. Dahinter folgen: eine Barracuda-ESG-Authentifizierungsumgehung, die sich mit einer Command Injection über das Zeitzonenfeld zu Root verketten lässt; eine APT-Schwachstelle in Standardinstallationen von Debian 12+ und Ubuntu 22.04+ (CVE-2026-109518), mit der ein Man-in-the-Middle ein bereits verifiziertes Paket austauschen und Code als Root ausführen kann; eine kritische Dateischreib-Lücke in Rails über ImageMagick, behoben in 8.1.4.1 und 8.0.5.2; zwei Xen-Schwachstellen, mit denen ein Gast den Speicher eines anderen – einschließlich dom0 – lesen und beschreiben kann, ohne verfügbare Gegenmaßnahme; eine kritische Android-RCE ohne Nutzerinteraktion (CVE-2026-58868), behoben mit Patch-Level 2026-11-01; sowie Chrome 157 mit 213 Sicherheitskorrekturen, davon sieben kritisch.

Warum es wichtig istZuerst Edge-Appliances und Paketmanager: Der Diebstahl von Zugangsdaten von einem Switch und Root über ein apt-get sind beides Pfade zum Totalverlust, die kein EDR-Agent überwacht.

Konfidenz 0.90

Belege

Ransomware

Vier Gruppen leerten am Dienstag ihren Entwurfsordner, und die Tracker nannten es eine Welle

Die Taktzählung von Ninja Signal weist 246 Leak-Site-Behauptungen in den vergangenen sieben Tagen von 42 der 272 beobachteten Gruppen aus; thegentlemen schnellte auf 50 Behauptungen gegenüber erwarteten 24.56 nach der eigenen früheren Rate, safepay auf 18 gegenüber 4.98 und genesis auf 9. Davon getrennt reklamierte eine Gruppe namens BYOD IHG Hotels & Resorts für sich, mit einem LDAP-Bind-Passwort „123“ und vollem CyberArk-Zugriff; Darkfeed wiederholte dies acht Stunden später als „BusinessServices“-Vorfall – nichts davon wird von jemandem bestätigt, der es wissen müsste.

Warum es wichtig istZählen Sie Opfer, nicht Postings: Ein von zwei Sammlern gespiegelter Stapel-Upload ist ein Ereignis, und Ihre Vorstandsvorlage sollte ihn nicht als sechsundzwanzig ausweisen.

Konfidenz 0.78

Belege

KI & Sicherheit

948 Linux-Root-Exploits in dreißig Stunden – und die Scanner fragen jetzt nach Ihren Modellschlüsseln

OpenAI beschrieb eine Pipeline mit einem kommenden, auf Cybersicherheit ausgerichteten Modell, die 2.308 mögliche Linux-Kernel-Befunde identifizierte und analysierte, 1.724 Schwachstellen reproduzierte, 291 Proof-of-Concepts für Informationslecks entwickelte und 948 lokale Rechteausweitungen validierte und patchte – bei gemeldeten API-Kosten von 1,2 Millionen US-Dollar. Eine auf Mastodon kursierende zitierte Passage beziffert die Kosten der Kampagne dagegen auf rund 32.936 US-Dollar bei einer hypothetischen Bounty-Bewertung von 18,9 bis 66,3 Mio. US-Dollar; lesen Sie also den Geltungsbereich, bevor Sie die Zahl lesen. Die defensive Seite derselben Bilanz ist düsterer und besser belegt: WorkOS, Northflank und Trigger.dev machten Hacks öffentlich, die mit abgegriffenen KI-Zugriffstokens zusammenhängen; eine bösartige, als Claude Code getarnte Erweiterung (Versionen 2.1.313 und 2.1.312) lieferte über den Cursor-Marktplatz eine SSH-Hintertür aus; Check Point fand „Prompt-Adware“ in einem Codex-Jailbreak-Paket, die die vertrauenswürdigen Anweisungen des Agenten umschreibt, um ein Drittanbieter-Gateway zu bewerben; und die Operation KeyHunter verband den Diebstahl von LLM-API-Zugangsdaten mit akademischem Betrug an 20 Universitäten. An unserem eigenen Edge fragte ein Scanner namentlich nach /.env.anthropic.

Warum es wichtig istModell-API-Schlüssel sind jetzt Zugangsdaten mit Kostenstelle und Schadensradius: Rotieren Sie sie, begrenzen Sie ihre Berechtigungen und nehmen Sie sie neben den Cloud-Schlüsseln in das Geheimnisinventar auf.

Konfidenz 0.72

Belege

Bedrohungsakteure

Binances erster Vorfallbericht: drei Ingenieure, eine präparierte Programmieraufgabe und monatelange Geduld

SecurityWeek berichtet, Binances erster Vorfallbericht führe den Rekorddiebstahl von rund 6 Milliarden US-Dollar auf eine monatelange Kampagne zurück, bei der die Rechner dreier Ingenieure kompromittiert wurden – beginnend mit einer präparierten Programmieraufgabe und einem missbrauchten KI-Werkzeug. Kanalgerede beziffert die Summe auf etwa 6,3 Milliarden US-Dollar am 29. Oktober und behauptet, der bisherige Rekord sei Bybit mit rund 1,5 Milliarden US-Dollar im Februar 2025 gewesen; für die Zuschreibung an Nordkorea wird ein Chainalysis-Bericht vom 1. Oktober angeführt – Daten und Summen, die nicht recht zusammenpassen, weshalb die genaue Zahl als die der Börse, der Rest als unbestätigt zu behandeln ist. Nordkorea hat unterdessen Raketen in Richtung Meer abgefeuert, während Pjöngjang gegen US-Behauptungen zum Binance-Hack protestiert.

Warum es wichtig istDer Erstzugang war ein berufsförmiger Köder für Ingenieure mit Zugriff auf Produktivsysteme; Ihr Onboarding von Entwicklern und die Kultur der Take-Home-Aufgaben sind damit ein Angriffspfad.

Konfidenz 0.62

Belege

Politik

Mehrere Mitarbeiter des Weißen Hauses vermieten ihre Internetadressen, möglicherweise ohne es zu wissen

Brian Krebs berichtet, dass laut Sicherheitsexperten mehrere Mitarbeiter des Weißen Hauses Computer oder Mobilgeräte nutzen, auf denen Residential-Proxy-Dienste laufen, die ihre Internetadresse zur Vermietung an andere bereitstellen. Einer dieser Proxy-Dienste ist ein russisches Unternehmen, dessen Webhosting-Geschäft des Gründers nach Krebs’ Worten der Ausgangspunkt („ground zero“) für Cyberangriffe auf Wahlsysteme in Arizona war. Die Geschichte wurde am selben Morgen auf Telegram aufgegriffen und weiterverbreitet.

Warum es wichtig istResidential-Proxy-SDKs kommen über kostenlose VPNs, Spiele und Hilfsprogramme ins Haus; wenn Ihre Allow-List „Privatkunden-IP“ als harmlos behandelt, ist sie jetzt ein verwalteter Dienst für jemand anderen.

Konfidenz 0.78

Belege

Kuriositäten

Die Erpresserseite von BrainCipher entschuldigt sich nun dafür, nicht zu wissen, wen sie ausgeraubt hat

Mehrere BrainCipher-Einträge auf ransomware.live kommen mit KI-generierten Opferbeschreibungen, die sich weigern, das Opfer zu beschreiben: für megastarfinancial.com „Ich verfüge über keine verifizierten, verlässlichen Informationen zu einem Unternehmen, das unter megastarfinancial.com tätig ist“; für ciscocems.com der Hinweis, die Domain ähnele oberflächlich Cisco, eine Verbindung lasse sich aber nicht bestätigen. Die entsprechenden ransomlook-Einträge sind dagegen keineswegs vage und nennen bei einem Eintrag 32.000 Dokumente mit Kreditnehmerunterlagen, bei einem anderen 243.500 Dateien mit über 170 GB sowie eine Kontaktadresse bei cyberfear.com. Die Erpressungsökonomie ist an dem Punkt angelangt, an dem der Werbetext an ein Modell ausgelagert wird, das den Anstand besitzt, Unsicherheit zu äußern, der Angreifer aber nicht.

Warum es wichtig istDie Metadaten von Leak-Sites sind jetzt teils maschinengeschrieben; Branchen- und Länderangaben in Ihrer Tracking-Tabelle sind daher die Vermutung eines LLM und keine gesicherte Tatsache.

Konfidenz 0.80

Belege

§3

Verborgen

Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.

Unter den Feeds: eine echte Kampagne, mehrere Stapel-Uploads im Kostüm einer Verbrechenswelle und ein Marktplatz unverifizierbarer Behauptungen.

Exception 01
Die „Welle“ vom Dienstag bei Ransomware ist größtenteils zweifach gespiegelte Stapelveröffentlichung
Safepay (26 Beiträge), Soul (25, jeder einzelne mit der einen Domain codice-ledger.io verknüpft), BrainCipher (19) und N0n (12) erreichen allesamt am 4. November ihren Höhepunkt, gegenüber einem Median von 0–1 an anderen Tagen, und ransomware.live liegt bei denselben Opferdomains typischerweise etwa eine Stunde vor ransomlook. Das sind Veröffentlichungsvolumina, keine unabhängigen Vorfälle.
Konfidenz 0.70
Wrong if
Die Soul-Einträge lösen sich in verschiedene Opfer mit unterschiedlichen Domains und Branchen auf, oder Opfer bestätigen die Einbrüche einzeln.
Watch
Ob ein Soul- oder Safepay-Opfer in den nächsten 3–7 Tagen einen Einbruch bestätigt oder durch Nachrichten bestätigt wird.
Belege
Exception 02
Die mobile APT29-Kampagne und der neue Apple-KEV-Eintrag sind durch keine Quelle verbunden
APT29 taucht binnen fünf Stunden in RSS, Cyber-News, OTX und Telegram auf, und CISA nahm im selben Zeitfenster Apple CVE-2024-27834 auf. Die Versuchung, beides zu verknüpfen, ist groß und unbelegt: Kein Beitrag verbindet den KEV-Eintrag mit dem Exploit-Set von Sekoia.
Konfidenz 0.60Speculative
Wrong if
Der Indikator- oder Exploit-Liste von Sekoia enthält CVE-2024-27834, oder CISA nennt diese Kampagne.
Watch
Folgemeldungen von Sekoia und weitere KEV-Ergänzungen für iOS oder Android in der kommenden Woche.
Belege
Exception 03
Die Kostenangaben zur KI-gestützten Exploit-Erzeugung passen nicht zusammen
Dieselbe Pipeline wird mit API-Kosten von 1,2 Millionen US-Dollar gemeldet und in einer zitierten Passage mit rund 32.936 US-Dollar für die Kampagne bei einer hypothetischen Bounty-Bewertung von 18,9 bis 66,3 Mio. US-Dollar. Die Geltungsbereiche unterscheiden sich vermutlich; keine Quelle sagt das. Der Strang „KI als Ziel“ – gestohlene Modell-Tokens, vergiftete Erweiterungen, Prompt-Adware – ist weit besser belegt als die Rechnung zu „KI als Waffe“.
Konfidenz 0.50Speculative
Wrong if
Eine Primärquelle stellt klar, dass die beiden Zahlen unterschiedliche Geltungsbereiche abdecken und beide Bestand haben.
Watch
Der ursprüngliche Forscherbericht und jede Reaktion der Kernel-Maintainer.
Belege
Exception 04
Ein Telegram-Verkäufer borgt sich das Namensschema von Mandiant
Ein Kanal, der einen ukrainischen Datensatz von 2,285 PB, einen recycelten Facebook-Satz mit 800 Millionen Datensätzen und Slack/Jira-Pivots in Google und Motorola anbietet, handelt unter „UNC6783“, einer Bezeichnung, die einem professionellen Tracking-Cluster nachempfunden ist. Markenanleihen sind billiger als Kompromittierung.
Konfidenz 0.55Speculative
Wrong if
Genannte Opfer bestätigen die Daten, oder ein Anbieter verwendet UNC6783 öffentlich für diese Aktivität.
Watch
Stellungnahmen der Opfer und unabhängige Verifizierung der Beispieldaten.
Belege

Nothing to seeKein Hinweis auf eine koordinierte Kampagne der Ransomware-Gruppen; die quellenübergreifende Überschneidung sind dieselben, doppelt gespiegelten Postings. Das 04:00-Cluster am 5. November ist eine gewöhnliche Morgenwelle an Postings. Die „letztes Kapitel“-Nachrichten von BreachForums, die Hacktivisten-Behauptungen zu den UN und zur indischen Politik, das seismische Signal aus Vanuatu und der Shodan-Hinweis zu AS35805 sind Einzelquellen-Rauschen, und nichts wurde darauf aufgebaut. Das Schweigen der NVD nach 00:31 am 4. November ist mit an Sicherheit grenzender Wahrscheinlichkeit Stapelverarbeitung und kein Ausfall.

Deep read: 572 Artikel gelesen

§4

Prognose

Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.

Today’s calls

DueSat 14 Nov9 days
Mindestens eine weitere Fluggesellschaft, ein Reise- oder Gastgewerbeunternehmen legt öffentlich eine Datenschutzverletzung offen, die auf Amadeus IT Group zurückgeht.
Wrong ifBis zum 14. November erscheint in diesen Feeds keine neue Offenlegung mit Amadeus-Bezug.
Belege
1. 1Security newsMore Asian airlines announce data breaches after at…
f-2026-11-05-1
Confidence0.60
DueThu 12 Nov7 days
Kein belegtes, öffentlich verfügbares Exploit-Tool für die drei von @Ransomwareg angeteaserten WordPress-CVEs (darunter CVE-2026-63030 und CVE-2026-60137) wird von einer seriösen Quelle bestätigt.
Wrong ifEin namentlich genannter Anbieter oder Forscher bestätigt vor dem 12. November ein funktionierendes öffentliches Tool für diese CVEs.
Belege
f-2026-11-05-2
Confidence0.50
DueThu 12 Nov7 days
IHG Hotels & Resorts bestätigt die Behauptung des BYOD-Einbruchs nicht öffentlich.
Wrong ifIHG veröffentlicht bis zum 12. November eine Stellungnahme oder Behördenmeldung, die den Vorfall einräumt.
Belege
1. 1Telegram🚨 Major breach in UK BusinessServices sector A lead…
f-2026-11-05-3
Confidence0.65

Scorecard

1 right

right
CISA adds at least one further vulnerability to the KEV catalogue by 11 November 2026.
Called Wed 4 Nov · due Wed 11 Nov
CISA KEV added CVE-2024-27834 (Apple Multiple Products) on 2026-11-04, and CVE-2026-119977 (WordPress Core) was also confirmed added on 2026-11-04.
Belege
1. 1CISA KEVCVE-2024-27834 Apple Multiple Products: Apple Multi…
2. 2Security newsCISA Confirms Hackers Exploiting WordPress Core Fla…

Glossar der Begriffe, bei denen man nicken soll

Abgekündigt (End-of-Life) (n.): das Datum, an dem ein Hersteller aufhört, Patches für ein Gerät zu schreiben, das dennoch noch mehrere Jahre in Ihrem Rack bleiben wird – tragend, unerwähnt und aus dem Internet erreichbar.

§5

Von unserem Rand

Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.

Unser eigener Edge hatte derweil einen gewöhnlichen Tag, und das ist das Beängstigende. Der Adversary-DNA-Sensor erfasste 95 feindliche Quellen – 49 Scanner, 36 Bot-Crawler, 6 gezielt vorgehende Akteure, 2 Brute-Forcer –, die zusammen 7.645 Anfragen schickten; 41 davon gingen über die Aufklärung hinaus in tatsächliche Exploit-Versuche, verteilt auf 12 Adressgruppen mit gemeinsamem Verhaltensfingerabdruck. Insgesamt sahen wir 5.182 Adressen aus 93 Ländern, 1.536 davon zum ersten Mal, höchste Feindseligkeit 8,5 von 10. Sechs Adressen schickten 34 Anfragen in der Form von CVE-2017-9841 an unsere PHPUnit-Pfade – ein benannter Exploit, der weiter ins Internet gesprüht wird, was auch immer die Patch-Hinweise über das Jahr sagen. Ein Scanner unter 34.62.82.207 feuerte in etwa einer halben Sekunde 123 Anfragen auf der Suche nach .env-Dateien ab. Ein anderer, 207.175.165.55, schickte 121 Anfragen, arbeitete sich durch /.aws/credentials und fragte dann gezielt nach /.env.anthropic – die Einkaufsliste wurde aktualisiert, und Modellschlüssel stehen nun neben den Cloud-Schlüsseln darauf. Rohprotokolle haben den Server nie verlassen; nur diese Erkenntnisse.

95feindliche Quellen erfasst

7.645Anfragen von ihnen

41erreichten Exploitation

12Cluster mit gemeinsamer DNA

8,5/10höchste Feindseligkeit

5.182Adressen an unserem Edge

1.536heute erstmals gesehen

93Länder

Die WTF-Liste

WTF #1
Auf der Suche nach Ihren KI-Schlüsseln
207.175.165.55, ein Scanner (Feindseligkeit 5,4/10), schickte 121 Anfragen an eine unserer Websites und suchte nach /.aws/credentials, /.aws/credentials.bak, /.env-example, /.env.
Warum es seltsam istGriff direkt nach KI-Zugangsdaten: /.env.anthropic. Modell-API-Schlüssel stehen nun neben den Cloud-Schlüsseln auf der Einkaufsliste der Scanner.
attribution: unbekanntWed 4 Nov, 21:00 UTC
Detail
```
Kill Chain: Aufklärung → Weaponization · DNA 18e39c4b41fb
```
WTF #2
Der hartnäckigste Besucher
103.47.145.23, ein Scanner (Feindseligkeit 7,4/10), schickte 22 Anfragen an eine unserer Websites und suchte nach /wordpress/wp-login.php, /site/wp-login.php, /admin/wp-login.php, /web/wp-login.php.
Warum es seltsam istHöchste Feindseligkeit auf der Tafel; seine Kill Chain erreichte den Zugriff auf Zugangsdaten.
attribution: unbekanntWed 4 Nov, 21:00 UTC
Detail
```
Kill Chain: Aufklärung → Weaponization → Zugriff auf Zugangsdaten · DNA e91dc116af74
```
WTF #3
CVE-2017-9841 gegen uns
6 Adressen schickten 34 Anfragen in der Form einer Ausnutzung von CVE-2017-9841 (/vendor/phpunit/phpunit/…), darunter 185.177.72.23, 185.177.72.70, 185.177.72.100.
Warum es seltsam istEin bekannter, benannter Exploit, der weiter ins Internet gesprüht wird; unser Edge sah ihn heute, was auch immer die Patch-Hinweise über das Jahr sagen.
attribution: unbekannt
Detail
```
Sondenfamilie: phpunit-rce
```
WTF #4
Gleiche DNA, andere Adressen
114.119.154.203, ein Bot-Crawler (Feindseligkeit 0,2/10), schickte 66 Anfragen an eine unserer Websites und suchte nach /threat-check/Adobe%20Reader%20and%20Acrobat%20Arbitrary%20Code%20Exec.
Warum es seltsam ist11 IPs teilen einen Verhaltensfingerabdruck (DNA 672df8667b3d): ein Werkzeug oder ein Betreiber, der Adressen rotiert: 213.32.68.80, 85.208.96.194, 180.92.135.45, 57.129.81.224, 152.39.230.157 und weitere.
attribution: unbekanntWed 4 Nov, 21:00 UTC
Detail
```
Kill Chain: Aufklärung → Exploitation · DNA 672df8667b3d
```
WTF #5
Die seltsamste Einkaufsliste
213.202.253.4, ein Scanner (Feindseligkeit 6,8/10), schickte 29 Anfragen an eine unserer Websites und suchte nach /wp-content/txets.php, /filefuns.php, /wp-content/postnews.php, /postnews.php.
Warum es seltsam istFragte nach Dateien, nach denen fast niemand sonst fragt: /wp-content/txets.php, /filefuns.php, /wp-content/postnews.php, /postnews.php, /userfuns.php.
attribution: unbekanntWed 4 Nov, 21:00 UTC
Detail
```
Kill Chain: Aufklärung → Weaponization · DNA 6f8669ba7e26
```
WTF #6
In Eile
34.62.82.207, ein Scanner (Feindseligkeit 5,4/10), schickte 123 Anfragen an eine unserer Websites und suchte nach /.env, /.env-example, /.docker/laravel/app/.env, /.aws/.env.
Warum es seltsam istFeuerte 123 Anfragen in etwa 0,5 Sekunden ab.
attribution: unbekanntWed 4 Nov, 22:00 UTC
Detail
```
Kill Chain: Aufklärung → Weaponization · DNA 18e39c4b41fb
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

246claims, 7 days

42of 272 groups active

thegentlemen50 this week · surging

qilin25 this week

N0n22 this week

Surgingthegentlemen — 50 claims in 7 days against 24.6 expected from its own prior rate (p < 0.001)
Surgingsafepay — 18 claims in 7 days against 5.0 expected from its own prior rate (p < 0.001)
Surginggenesis — 9 claims in 7 days against 2.1 expected from its own prior rate (p < 0.001)
SurgingBrainCipher — 8 claims in 7 days against 1.8 expected from its own prior rate (p < 0.001)
Surgingrhysida — 6 claims in 7 days against 1.6 expected from its own prior rate (p = 0.006)
SurgingSilentRansomGroup — 8 claims in 7 days against 2.8 expected from its own prior rate (p = 0.007)

Gone quiet: DYSPHOR1A (60 days), gunra (62 days), lynx (68 days), AiLock (71 days).

Sector pressure, 30 days

UpTransportation — 1.9× its own prior share (68 claims, 35 expected)
UpEducation — 1.9× its own prior share (53 claims, 28 expected)
UpEnergy & Utilities — 1.4× its own prior share (37 claims, 27 expected)
UpHealthcare — 1.2× its own prior share (107 claims, 89 expected)
DownAgriculture and Food Production — 0.6× its own prior share (20 claims, 35 expected)

25% of claims carry no sector label.

Brand churn

Of the 234 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 38% made at least half their claims in their first week. New brands this month: 3 — newest: Aoqin (2026-11-04, 4 claims), OBSOFT (2026-11-03, 6 claims), PixelLeaks (2026-11-03, 1 claim).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.4× every other brand's share); N0n put 33% of its claims on Transportation (7.4× every other brand's share); genesis put 95% of its claims on the United States (2.6× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 60% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 1 of 195 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 33% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Mitfahrten

Kostenlose Live-Tools. Keine Anmeldung, kein Verkaufsgespräch.

§8

Kolophon

Wie diese Ausgabe entstanden ist – unverblümt.

Ausgabe 39 wurde maschinell erstellt und per Code geprüft. Jeder Beitrag, den 15 öffentliche Bedrohungs-Feeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlichten (572 Beiträge), wurde vollständig gelesen: Statistiken wurden im Code berechnet, jeder Ausschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus synthetisiert. Anschließend hat Claude Opus die Zeitung redigiert. Jede Geschichte nennt die Beiträge, auf denen sie beruht; Geschichten, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung verworfen (heute 0). Prognosen werden in späteren Ausgaben öffentlich bewertet. „Von unserem Edge“ sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: 1,09 $. Sie wird maschinell im Stil von ScottG geschrieben, Autor von Everything Is Probably Fine, und niemand hat sie von Hand redigiert, was entweder der Sinn der Sache oder das Problem ist.

572items read

24hour window

$1.09cost of this edition

05:05 UTCgenerated

Quellen von heute Morgen

NVD100ok
ThreatFox100ok
RansomLook73ok
Signal Atlas60ok
Telegram57ok
Security news52ok
ransomware.live47ok
infosec.exchange40ok
RSS11ok
atlas10ok
AlienVault OTX10ok
signal:ioc-family9ok
signal:kev1ok
CISA KEV1ok
Ransomware tempo · Ninja Signal graph1ok

Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.

CISA: WordPress Core wird bei Upgrades ausgenutzt – und nimmt nebenbei eine zwei Jahre alte Apple-Lücke auf

APT29 kaperte ein Analyse-Skript, den Rest erledigte das Telefon

Tausend Zyxel-Switches, zwei SonicWall-Lücken, die niemand schließen wird, und eine sehr lange Patch-Warteschlange

Vier Gruppen leerten am Dienstag ihren Entwurfsordner, und die Tracker nannten es eine Welle

948 Linux-Root-Exploits in dreißig Stunden – und die Scanner fragen jetzt nach Ihren Modellschlüsseln

Binances erster Vorfallbericht: drei Ingenieure, eine präparierte Programmieraufgabe und monatelange Geduld

Mehrere Mitarbeiter des Weißen Hauses vermieten ihre Internetadressen, möglicherweise ohne es zu wissen

Die Erpresserseite von BrainCipher entschuldigt sich nun dafür, nicht zu wissen, wen sie ausgeraubt hat

Die „Welle“ vom Dienstag bei Ransomware ist größtenteils zweifach gespiegelte Stapelveröffentlichung

Die mobile APT29-Kampagne und der neue Apple-KEV-Eintrag sind durch keine Quelle verbunden

Die Kostenangaben zur KI-gestützten Exploit-Erzeugung passen nicht zusammen

Ein Telegram-Verkäufer borgt sich das Namensschema von Mandiant

Today’s calls

Scorecard

Glossar der Begriffe, bei denen man nicken soll

Die WTF-Liste

Auf der Suche nach Ihren KI-Schlüsseln

Der hartnäckigste Besucher

CVE-2017-9841 gegen uns

Gleiche DNA, andere Adressen

Die seltsamste Einkaufsliste

In Eile

Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.

Quellen von heute Morgen