Ein täglicher Feldbericht über Dinge, die wahrscheinlich in Ordnung sind
No. 43·Montag 9 November 2026·Erscheint 06:00 UK·Fine-Anzeige 3/5: Nicht großartig, aber noch keine Krise
Aufmacher · Schwachstellen
Fünf Remote-Lücken in einem Router, den niemand mehr repariert
Fünf CVEs zum D-Link DIR-878 sind gemeinsam mit öffentlichem Exploit-Code und ohne Patch erschienen, weil das Produkt aus dem Support gefallen ist – und die Commodity-Botnetze haben eine arbeitsreiche Woche.
Konfidenz0.90
Es handelt sich um CVE-2026-124560 bis CVE-2026-124564, alle gegen den D-Link DIR-878 1.20B05, alle im HNAP-Handler, alle aus der Ferne ausnutzbar. Ein Heap-basierter Pufferüberlauf in GetCAPTCHAsetting, als kritisch eingestuft, mit dem Risiko der Remote-Codeausführung. Ein Stack-basierter Überlauf in SetVLANSettings in prog.cgi über das Argument VID. Zwei weitere Überläufe in SetWanSettings, einer über Primary/Secondary und einer über ConfigDNS/Primary/ConfigDNS/Secondary. Und eine Path Traversal in GetListDirectory über ListDirectoryPath. Die Hinweise vermerken, dass die Exploits öffentlich bekannt sind und eingesetzt werden können und dass die Schwachstellen nur Produkte betreffen, die vom Hersteller nicht mehr unterstützt werden. Die Abhilfe-Empfehlung der öffentlichen Analyse lautet im Wortlaut: nicht unterstützte Router isolieren oder außer Betrieb nehmen.
Das Ende der Lebensdauer ist ein Status in einer Tabelle. In der Physik ist es keiner. Der Router weiß nicht, dass er eingestellt wurde; er beantwortet HNAP-Anfragen weiterhin mit derselben munteren Kompetenz wie in seiner ersten Woche – so wie ein Kühlschrank, dessen Garantie 2019 abgelaufen ist, die Milch weiter kühlt, weiter Strom zieht und weiter, technisch gesehen, ein Brandherd ist. Das Einzige, was geendet hat, ist die Möglichkeit, dass jemand ihn repariert. Der Patch-Zyklus dieses Geräts ist also kein Patch-Zyklus. Er ist ein Container.
Im selben Zeitraum verzeichneten unsere Feeds elf neue Mirai-Indikatoren, sechsundachtzig neue Mozi-Indikatoren und ein stetes Tröpfeln von Mirai-Sample-Hashes in ThreatFox. Bislang hat uns niemand HNAP-Exploit-Traffic gegen diese fünf CVEs gezeigt, und wir werden nichts anderes behaupten. Wir halten lediglich fest, dass unauthentifizierte Remote-Codeausführung auf einem nicht mehr unterstützten Consumer-Router, mit funktionierenden Exploits in der Öffentlichkeit, einen gut etablierten Werdegang hat – und dass dieser keinen verantwortungsvollen Offenlegungszeitplan vorsieht.
Warum es wichtig istWenn ein DIR-878 in Ihrem Bestand steht oder auf dem Schreibtisch eines Heimarbeiters, der einen Verwaltungszugang zu irgendetwas hat, wird kein Patch kommen; die einzigen Maßnahmen, die heute zur Verfügung stehen, sind Netzwerkisolation und die Mülltonne.
Ein Gerät am Ende seiner Lebensdauer hat nicht aufgehört zu funktionieren. Es ist nur noch für niemanden außer Sie verantwortlich, und der Exploit liest keine Release Notes.
— Sturgeon's Revelations · Probably Fine Daily No. 43
Jeden Morgen06:00 UK
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§2
Schlagzeilen
Der Rest der letzten 24 Stunden – mit Belegen.
Schwachstellen
Der „sshole“-Bug ist vom Papier ins Honeypot gewandert
Das SANS Internet Storm Center meldet, dass seine Cowrie-Honeypots vermehrt Versuche registrieren, CVE-2026-123158 auszunutzen, die in der vergangenen Woche bekannt gewordene „sshole“-Schwachstelle. Das ISC weist darauf hin, dass die eigenen Daten hier begrenzt sind, weil die Honeypots nur die ersten 255 Zeichen eines SSH-Passworts erfassen und die Versuche längere Passwörter verwenden. Ein hübsches Detail: Das Messinstrument wird von dem Angriff überholt, den es misst.
Warum es wichtig istAusnutzungsversuche werden nun beobachtet, nicht nur theoretisch erwogen; behandeln Sie aus dem Internet erreichbares SSH daher heute als relevant, nicht erst am nächsten Wartungswochenende.
Das Dashboard sagt „kühlt ab“, der Zähler sagt achtzehn
Das Tempo-Panel von Ninja Signal verzeichnet für heute 252 Leak-Site-Claims in sieben Tagen von 43 der 273 beobachteten Gruppen, wobei medusalocker mit 18 Claims gegenüber erwarteten 1,46 aus der eigenen früheren Rate nach oben schießt, BrainCipher mit 12 gegenüber 1,74 und metaencryptor mit 7, jeweils bei p unter 0,001. Dasselbe Zeitfenster zeigt, wie das in Veröffentlichungsgeschwindigkeit aussieht: N0n lud die Claims #138 bis #147 in etwa sechs Minuten hoch, incransom veröffentlichte drei in etwa zwei, LockBit5 setzte vier auf einmal ab, darunter Sun Clinical Laboratories, Yatra, Grupo Telles und Starmark, Deadlock arbeitete Kadick, Chonlatee, Trinity Custom Homes, Coopebis, NoseTea und Fidex ab, und akira beanspruchte Calmont Wire & Cable. Zugleich versah Atlas die Sektorenläufe von medusalocker mit dem Etikett „cooling“. Beides steht im selben Feed, am selben Morgen, über dieselbe Gruppe.
Warum es wichtig istStapelveröffentlichungen machen eine Leak-Site zu einem Veröffentlichungsplan, nicht zu einer Vorfallchronik; zählen Sie Claims pro Woche im Vergleich zur eigenen Basislinie einer Gruppe, bevor Sie irgendjemanden über „Aktivitätsniveaus“ informieren.
Ihr Modellschlüssel steht jetzt auf derselben Einkaufsliste wie Ihr Cloud-Schlüssel
iTnews berichtet, dass die Option „Don't ask again“ in Claude Code von Anthropic Entwicklergeheimnisse preisgibt; Forscher zählen 2.539 offengelegte Zugangsdaten, der Hersteller prüft Korrekturen. Unabhängig davon berichtet Wired, dass kostenlose chinesische KI-Modelle beim Hacken beängstigend gut werden.
Warum es wichtig istModell-API-Schlüssel brauchen nun dieselbe Behandlung wie Cloud-Schlüssel: Inventar, Rotation, Egress-Beschränkungen und eine Detektion für jeden, der Dotfiles aus Ihrem Web-Root abruft.
WordPress-Plugins: neun Wege, vor dem Frühstück Administrator zu werden
Der NVD-Stapel umfasst Static Snapshot bis 0.2.1, bei dem unauthentifizierte Angreifer Shell-Metazeichen in Betriebssystembefehle einschleusen können, und WP Libre Form 1.5.0.1, bei dem unauthentifizierte Nutzer PHP-Dateien an einen webzugänglichen Ort hochladen und ausführen können. Wurdey bis 1.0.0 meldet Sie als Administrator an, wenn Sie dessen Benutzernamen kennen und sonst nichts; WHIZZ bis 1.1.8 erlaubt es jedem, für beliebige Nutzer ein beliebiges Passwort zu setzen; placester bis 1.4.3 lässt unauthentifizierte Angreifer die E-Mail-Adresse eines Administrators überschreiben und per Passwort-Reset hereinspazieren; GS JWT Authentication bis 1.0.0 und Mail Mage bis 0.0.25 sind beide für unauthentifizierte SQL-Injection anfällig. Auf Telegram bewarb @NeuraSCTB im selben Zeitraum Dorking-Werkzeuge, Webshell-CVE-Werkzeuge und Werkzeuge zur Erstellung von WordPress-Konten und bot anschließend 400 WordPress-Account-Logs zufälliger Domains an.
Warum es wichtig istEine unauthentifizierte Admin-Übernahme in einem Plugin ist kein Thema für den nächsten Patch-Dienstag; erfassen Sie, was tatsächlich installiert ist, nicht, was im Beschaffungsformular steht, und aktualisieren Sie noch heute.
Zehn Keycloak-Schwachstellen, bei mehreren davon weigert sich die Identitätsschicht, Identität zu prüfen
Ein einziger Offenlegungsstapel enthält zehn Keycloak-CVEs, und das Thema ist unerfreulich. CVE-2026-19688: Die Admin-REST-API prüft nicht die vorgesehene Zielgruppe von Bearer-Tokens, sodass ein Angreifer, der in einer Realm einen Client betreibt, das Zugriffstoken eines Administrators abgreifen und wiederverwenden kann. CVE-2026-97367: Ein bösartiger Client-Eigentümer kann seine eigenen Tokens auf die aktive Sitzung eines anderen Nutzers richten, bis hin zur vollständigen Kontoübernahme über die Wiederherstellungsdaten. CVE-2026-107124 setzt über den OIDC-Logout-Endpunkt eine Sitzungs-ID im Browser des Opfers fest, bevor die Sicherheitsprüfungen abgeschlossen sind. CVE-2026-96460 erlaubt es einem Anfragenden, den Zugriff eines Dienstkontos durch wiederholten Token-Austausch unbegrenzt zu verlängern; die übrigen betreffen ignorierte SAML-ProxyRestrictions, auf Benutzernamen zurückfallende zustandslose Tokens, Rolleninjektion über Dynamic Client Registration, Missbrauch von Claim-Namen, Jackson-förmige Rollen, die der Bereinigung entgehen, sowie den Missbrauch von JWKS und Client-Secrets durch manage-clients.
Warum es wichtig istDies ist die Komponente, der alles andere vertraut; patchen Sie sie daher nach dem Takt des Identitätsteams, nicht nach dem des Anwendungs-Backlogs, und prüfen Sie anschließend die Zielgruppen der Admin-Tokens.
Iris Ohyama: 7,7 Millionen Menschen, und die Datei lag in der Cloud eines anderen
Der japanische Hersteller Iris Ohyama, Betreiber der Shopping-Plattform Iris Plaza, hat offengelegt, dass personenbezogene Daten von rund 7,7 Millionen Menschen nach unbefugtem Zugriff auf einen genutzten Cloud-Dienst eines Drittanbieters offengelegt worden sein könnten. Die Aufschlüsselung lautet: 5,8 Millionen Mitglieder und ehemalige Mitglieder plus 1,9 Millionen Nichtmitglieder; im Drittanbieterdienst wurde eine verdächtige Datei gefunden, Namen, Adressen, E-Mail-Adressen, Geburtsdaten und verschlüsselte Passwörter könnten betroffen sein, Kartendaten seien dort nicht gespeichert. Bei „ehemalige Mitglieder“ lohnt es sich zu verweilen: Menschen, die gegangen sind, wurden trotzdem mitgezählt.
Warum es wichtig istIhre Cloud-Dienste von Drittanbietern halten die Daten Ihrer Kunden unter Ihrem Namen; der Aufbewahrungsplan für Ex-Kunden ist daher eine Sicherheitskontrolle und sollte wie eine solche geprüft werden.
ShinyHunters benennt sich nach dem Etikett um, das Forscher vergeben haben
Der Telegram-Kanal @espeonsh wurde in „Scattered Lapsus Hunters UNC6783“ umbenannt, veröffentlichte einen Backup-Kanal, verlinkte ein patched.to-Profil für shinyhunters und bewarb dann frische Ware: EU-Bank-Leads für FR, CH und BE inklusive Fullz sowie „high-tier verified“ Datenbanken von Krypto-Börsen. Vier Beiträge an einem Tag. Nichts im Material belegt, dass die Ware echt ist, dass die Betreiber die sind, die sie zu sein vorgeben, oder dass die Übernahme eines Tracking-Cluster-Namens als Marke mehr bedeutet als Marketing.
Warum es wichtig istBehandeln Sie einen Kanalnamen als Behauptung, nicht als Zuordnung; wenn ein Herstellerbericht die Umbenennung als Beleg für eine Gruppenidentität anführt, fragen Sie, worauf er sich sonst stützt.
Das Sprachmodell, das mitten in einem Erpressungsbeitrag zugab, nichts zu haben
Eclipse beanspruchte globalair.com.sg mit einer Opferbeschreibung, die vollständig und mit der Markierung „[AI generated]“ lautete: „N/A I don't have reliable, verified information about a specific company operating at globalair.com.sg. Rather than speculate about its business activities, industry classification, or operational details, which could produ—“. Andernorts bewertete @DarkfeedNews fünf separate Meldungen mit „AI Risk Level: 10/10“, darunter zwei verschiedene Datenlecks aus E-Commerce-Datenbanken, Personaldaten malaysischer Regierungsangestellter und eine ecuadorianische Bank. Und Atlas erzeugte an einem Tag fünfzig Meldungen für thegentlemen bei einem Median von null. Irgendwo mittendrin gibt es echte Opfer; alles um sie herum ist Autovervollständigung.
Warum es wichtig istDie Hälfte der „Aufklärung“ des Ökosystems, kriminell wie kommerziell, ist inzwischen generierter Text mit angehängtem Konfidenzwert; prüfen Sie das Opfer, nicht den Bericht.
Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.
Der Großteil der heutigen „quellenübergreifenden Bestätigung“ ist ein einziger Leak-Site-Beitrag in drei Verkleidungen, dazu ein Sandbox-Ausbruch, den noch niemand in eine Geschichte eingearbeitet hat.
Exception 01
Atlas und ransomlook hängen stromabwärts von ransomware.live, sie sind nicht unabhängig davon
Bei N0n, BYOD, incransom, akira und Deadlock veröffentlichte ransomware.live zuerst, ransomlook folgte 1 bis 9 Stunden später und signal:atlas 6 bis 8,5 Stunden später. Die Mehrquellenzahlen für diese Akteure spiegeln ein einziges zugrunde liegendes Ereignis wider, das sich durch Aggregatoren fortpflanzt; ein Atlas-Eskalationsflag ist daher keine Bestätigung des ursprünglichen Claims.
Konfidenz0.80
Wrong if
Atlas-Einträge zu diesen Akteuren, die Ereigniszeitstempel vor den ransomware.live-Beiträgen tragen oder eine andere Quelle zitieren.
Watch
Verzögerung pro Akteur in den nächsten 24 bis 48 Stunden; behandeln Sie Atlas als abgeleitete Schicht.
Die Aggregator-Tags von Deadlock stimmen nicht mit dem Standort der Opfer überein
Das nigerianische Kadick ist mit US getaggt, das thailändische NOSE TEA mit US Retail und das kolumbianische Coopebis mit Kostena Rica, Agriculture. Jede aus diesen Tags erstellte Länder- oder Branchenstatistik ist falsch, bevor sie Ihre Folie erreicht, und ebenso die daraus abgeleiteten länderbezogenen Eskalationen.
Konfidenz0.70
Wrong if
Die registrierten Domains und Adressen der Opfer stimmen mit den getaggten Ländern überein.
Watch
Ob die Tags bei späteren Aktualisierungen korrigiert werden.
Fünfzig thegentlemen-Meldungen in einer Stunde sind wahrscheinlich ein Verarbeitungsstapel
Atlas erzeugte am 2026-11-08 50 Einträge für thegentlemen, bei einem Median von null an anderen Tagen, innerhalb eines Stundenclusters um 12:00 Uhr mit 61 Einträgen bei einem Mittel von 9,91 pro Stunde. Das sieht nach einer generierten Geschichten-Auffächerung über Sektor- und Länderpermutationen aus und nicht nach 50 verschiedenen Ereignissen.
Konfidenz0.55Speculative
Wrong if
An diesem Datum existieren fünfzig verschiedene Opfer- oder Leak-Site-Ereignisse für thegentlemen.
Watch
Ob sich das Muster beim nächsten Atlas-Lauf wiederholt.
Exception 04
Ein Host-Kernel-Bug, der die Sandbox untergräbt, die man gekauft hat, um den letzten einzudämmen
iTnews berichtet, dass Forscher den Linux-Fehler PwnEscape in einen Firecracker-Ausbruch verwandelt haben und damit einen Host-Kernel-Bug demonstrieren, der Defense-in-Depth-Sandboxing untergräbt. Wenn die MicroVM-Isolation in Ihrer Multi-Tenant- oder CI-Architektur tragend ist, ist diese Annahme das, was Sie diese Woche neu prüfen sollten.
Konfidenz0.65
Wrong if
Der demonstrierte Ausbruch erweist sich als abhängig von Bedingungen, die in Standard-Firecracker-Bereitstellungen nicht vorliegen.
Watch
Hersteller- und Distributionshinweise, die den Kernel-Fix nennen.
Das Schweigen des NVD-Feeds nach dem 07. November liegt mit großer Wahrscheinlichkeit an unserer Datenleitung
NVD-Einträge enden nach 2026-11-07T19:36 bei genau 100 früheren Einträgen, und auch ThreatFox endet bei genau 100. Runde Zahlen dieser Art sind Ingest-Grenzen, keine Pause bei der CVE-Veröffentlichung, und niemand sollte es als ruhige Woche vortragen.
Konfidenz0.60Speculative
Wrong if
Ein frischer vollständiger Abruf zeigt keine NVD-Veröffentlichungszeitstempel nach dem 2026-11-07.
Nothing to seeZwischen den CVE-Clustern zu Keycloak, undici, Foxit und JetBrains und irgendeinem Bedrohungsakteur wurde keine Verbindung gefunden; es sind routinemäßige Herstellerstapel zur Offenlegung. Die Compound-Crisis-Flags von Atlas für Taiwan, Indonesien, Panama, Kolumbien, Japan, Russland und die Philippinen tragen keine benannten Akteure und keine Ereignisse und sind signalarm. Die Telegram-Behauptung über einen Safari-Exploit „DarkSword“ kam angehängt an eine Krypto-Casino-Werbung, und wir übernehmen sie nicht. Der Filmabend-Cluster #monsterdon auf Mastodon ist kein Intrusion Set.
Deep read: 432 Artikel gelesen
§4
Prognose
Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.
Today’s calls
DueCallConfidence
DueMon 23 Nov14d
Bis zum Ende des 23. November 2026 wird trotz öffentlichem Exploit-Code kein CISA-KEV-Eintrag zu einer der CVE-2026-124560 bis CVE-2026-124564 (D-Link DIR-878) existieren, weil das Gerät nicht mehr unterstützt wird.
Wrong ifVor diesem Datum erscheint ein KEV-Eintrag für eine der fünf DIR-878-CVEs.
medusalocker wird zwischen jetzt und dem 16. November 2026 mindestens fünf weitere Leak-Site-Claims veröffentlichen, die auf ransomware.live oder ransomlook sichtbar sind, und damit über seiner früheren Rate von 1,46 pro Woche bleiben.
Wrong ifIm Zeitraum erscheinen auf diesen Feeds weniger als fünf neue medusalocker-Claims.
Mindestens einer der N0n-Claims #138 bis #147 wird bis zum 19. November 2026 auf ransomware.live oder ransomlook von „Offenlegung ausstehend“ zu einem namentlich genannten Opfer wechseln.
Wrong ifAlle zehn Claims bleiben ohne Namen oder werden ohne namentlich genanntes Opfer entfernt.
f-2026-11-09-3
Confidence0.50
Scorecard
1 wrong · 2 open
open
None of the CGM CLININET CVEs published on 23 October is added to CISA KEV by 9 November 2026.
Called Mon 26 Oct · due Mon 9 Nov
No KEV-addition items appear in today's feed, so a negative call can't be settled either way.
wrong
At least one of Everstake's scheduled releases (the 494 Gb entry dated 4 November or the 370.73 Gb entry dated 6 November) appears as published on ransomlook or ransomware.live.
Called Fri 30 Oct · due Sat 7 Nov
Due 7 Nov and past. No item shows an Everstake entry published on ransomlook or ransomware.live.
open
Booba Project's rolling seven-day leak-site claim count falls below 17 in the tempo report for 2026-11-09, having already been scored as cooling across its sectors.
Called Mon 2 Nov · due Mon 9 Nov
The 2026-11-09 tempo item is truncated and the visible part doesn't mention Booba Project.
Ein kommerzieller Status, kein physischer. Das Gerät leitet weiter Pakete weiter, nimmt HNAP-Anfragen entgegen und antwortet dem gesamten Internet genau wie zuvor; das Einzige, was geendet hat, ist die Möglichkeit, dass jemand es repariert. Siehe auch: weiterhin eingesteckt, hinter dem Aktenschrank.
§5
Von unserem Rand
Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.
Unser eigener Rand, über Nacht: Der Adversary-DNA-Sensor profilierte 84 feindliche Quellen – 50 Bot-Crawler, 33 Scanner und einen gezielt vorgehenden Operator –, die zusammen 7.504 Anfragen sendeten, von denen 49 über die Aufklärung hinaus in Ausnutzungsversuche übergingen. Elf Adressgruppen teilten einen Verhaltensfingerabdruck, darunter ein Cluster aus zehn IPs, die alle dieselben Dotfiles abfragten; 5.079 Adressen aus 79 Ländern berührten den Rand, 1.596 davon zum ersten Mal. Der höchste Feindseligkeitswert lag bei 7,7 von 10 und gehörte 82.102.18.222, das 20 Anfragen an WordPress-Pfade wlwmanifest und xmlrpc sendete und den Zugriff auf Zugangsdaten erreichte. Ein Scanner fragte neben /.aws/credentials auch /.env.anthropic ab – die Einkaufsliste aktualisiert sich still von selbst. Ein anderer feuerte 20 Anfragen in etwa 1,4 Sekunden ab, und eine Adresse versuchte dreimal CVE-2024-4577 auf /index.php, denn alte Exploits gehen nie in Rente, sie werden nur billiger. Rohprotokolle haben den Server nie verlassen; nur diese Erkenntnisse.
84profilierte feindliche Quellen
7.504Anfragen von ihnen
49erreichten Ausnutzung
11Cluster mit gemeinsamer DNA
7,7/10höchste Feindseligkeit
5.079Adressen an unserem Rand
1.596heute erstmals gesehen
79Länder
Die WTF-Liste
WTF #1
Auf der Suche nach Ihren KI-Schlüsseln
34.38.19.77, ein Scanner (Feindseligkeit 5,4/10), sendete 122 Anfragen an eine unserer Websites und suchte nach /.env, /.aws/.env, /.env.anthropic, /.aws/credentials.
Warum es seltsam istGing direkt auf KI-Zugangsdaten los: /.env.anthropic. Modell-API-Schlüssel stehen nun neben Cloud-Schlüsseln auf der Einkaufsliste der Scanner.
attribution: unbekanntSun 8 Nov, 22:00 UTC
Detail
Kill Chain: Aufklärung → Waffenentwicklung · DNA 18e39c4b41fb
WTF #2
Der entschlossenste Besucher
82.102.18.222, ein gezielt vorgehender Operator (Feindseligkeit 7,7/10), sendete 20 Anfragen an eine unserer Websites und suchte nach /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Warum es seltsam istHöchste Feindseligkeit auf der Tafel; seine Kill Chain erreichte credential-access.
1 Adresse sendete 3 Anfragen in der Form einer Ausnutzung von CVE-2024-4577 (/index.php), darunter 101.1.16.25.
Warum es seltsam istEin bekannter, benannter Exploit, der noch immer ins Internet gesprüht wird; unser Rand sah ihn heute, was auch immer die Patch-Hinweise über das Jahr sagen.
attribution: unbekannt
Detail
Sondierungsfamilie: Webshell
WTF #4
Gleiche DNA, andere Adressen
34.62.82.207, ein Scanner (Feindseligkeit 5,1/10), sendete 132 Anfragen an eine unserer Websites und suchte nach /.aws/.env, /.docker/laravel/app/.env, /.env, /.docker/.env.
Warum es seltsam ist10 IPs teilen einen Verhaltensfingerabdruck (DNA 18e39c4b41fb): ein Werkzeug oder ein Operator, der Adressen rotiert: 2400:6180:10:200::f6a7:9000, 34.156.35.188, 2a03:b0c0:1:e0:0:1:f004:9001, 35.195.41.101, 170.64.170.136 und weitere.
attribution: unbekanntSun 8 Nov, 22:00 UTC
Detail
Kill Chain: Aufklärung → Waffenentwicklung · DNA 18e39c4b41fb
WTF #5
Die seltsamste Einkaufsliste
52.179.208.167, ein Scanner (Feindseligkeit 6,7/10), sendete 99 Anfragen an eine unserer Websites und suchte nach /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /dehnl.php, /motu.php.
Warum es seltsam istFragte Dateien ab, nach denen fast niemand sonst fragt: /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /dehnl.php, /motu.php, /tpg-contato.php.
attribution: unbekanntSun 8 Nov, 22:00 UTC
Detail
Kill Chain: Aufklärung → Waffenentwicklung → Ausnutzung · DNA dfef4501b216
WTF #6
In Eile
85.204.70.88, ein Scanner (Feindseligkeit 6,3/10), sendete 20 Anfragen an eine unserer Websites und suchte nach //wp-includes/wlwmanifest.xml, //xmlrpc.php, //blog/wp-includes/wlwmanifest.xml, //web/wp-includes/wlwmanifest.xml.
Warum es seltsam istFeuerte 20 Anfragen in etwa 1,4 Sekunden ab.
attribution: unbekanntSun 8 Nov, 22:00 UTC
Detail
Kill Chain: Aufklärung → Waffenentwicklung · DNA dfef4501b216
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
252claims, 7 days
43of 273 groups active
N0n44 this week · surging
thegentlemen25 this week
medusalocker18 this week · surging
Surgingmedusalocker — 18 claims in 7 days against 1.5 expected from its own prior rate (p < 0.001)
SurgingBrainCipher — 12 claims in 7 days against 1.7 expected from its own prior rate (p < 0.001)
Surgingmetaencryptor — 7 claims in 7 days against 1.1 expected from its own prior rate (p < 0.001)
SurgingN0n — 44 claims in 7 days against 26.5 expected from its own prior rate (p = 0.001)
SurgingSilentRansomGroup — 9 claims in 7 days against 3.0 expected from its own prior rate (p = 0.003)
Surgingakira — 14 claims in 7 days against 7.3 expected from its own prior rate (p = 0.018)
UpTransportation — 2.0× its own prior share (72 claims, 37 expected)
UpEducation — 1.3× its own prior share (43 claims, 33 expected)
DownAgriculture and Food Production — 0.6× its own prior share (20 claims, 37 expected)
26% of claims carry no sector label.
Brand churn
Of the 235 leak-site brands first seen since 2021-09-30, 75% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 38% made at least half their claims in their first week. New brands this month: 4 — newest: Destello (2026-11-05, 1 claim), Aoqin (2026-11-04, 5 claims), OBSOFT (2026-11-03, 7 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.2× every other brand's share); N0n put 29% of its claims on Transportation (6.5× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.2× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 2 of 197 claims at weekends and half its claims in 12:00–13:59 UTC; half of thegentlemen's claims appeared in 06:00–09:59 UTC. Leak sites overall are 32% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§8
Kolophon
Wie diese Ausgabe entstanden ist – unverblümt.
Ausgabe 43 wurde von Maschinen erstellt und von Code geprüft. Jeder Beitrag, den 13 öffentliche Bedrohungs-Feeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlicht haben (432 Beiträge), wurde vollständig gelesen: Statistiken per Code berechnet, jeder Ausschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus synthetisiert. Anschließend redigierte Claude Opus die Zeitung. Jede Geschichte nennt die Beiträge, auf denen sie beruht; Geschichten, deren Belege nicht aufgelöst werden konnten oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung verworfen (heute 0). Prognosen werden in späteren Ausgaben öffentlich bewertet. „From our edge“ sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: 0,76 $. Sie wird maschinell in der Stimme von ScottG verfasst, Autor von Everything Is Probably Fine, und niemand hat sie von Hand redigiert, was entweder der Sinn der Sache ist oder das Problem.
432items read
24hour window
$0.76cost of this edition
05:05 UTCgenerated
Quellen von heute Morgen
NVD100ok
ThreatFox100ok
Signal Atlas82ok
Telegram42ok
infosec.exchange36ok
ransomware.live24ok
RansomLook19ok
atlas18ok
Security news4ok
signal:ioc-family4ok
RSS1ok
signal:actor1ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 432|SOURCES: 13|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.76|STATUS: NICHT GROSSARTIG, ABER NOCH KEINE KRISE
OWNER: die Maschine|EDITOR: die Regeln|CALLS OPEN: 3|NEXT REVIEW: morgen 06:00 UK