Ein täglicher Feldbericht über Dinge, die wahrscheinlich in Ordnung sind
No. 44·Dienstag 10 November 2026·Erscheint 06:00 UK·Fine-Anzeige 3/5: Nicht ganz in Ordnung
Aufmacher · Schwachstellen
Vier neue KEV-Einträge, und der wichtige betrifft sshd
Die CISA hat GPUStack, OpenSSH, FreeSwitch und IBM Aspera Faspex in einem Schwung in den Katalog der bekanntermaßen ausgenutzten Schwachstellen (KEV) aufgenommen. Die OpenSSH-Lücke wird gerade aktiv ausgenutzt.
Konfidenz0.75
Die Einträge kamen gebündelt: CVE-2026-102895 in GPUStack, eine Schwachstelle durch fehlerhafte Authentifizierung, die laut CISA unauthentifizierten administrativen Zugriff, das dauerhafte Anlegen von Administrator-API-Schlüsseln, die Offenlegung von Worker- und Cloud-Anbieter-Geheimnissen sowie Codeausführung über POST /v2/inference-backends/ ermöglicht; CVE-2026-123158 in OpenBSD OpenSSH unter Linux, ein Fehler durch unerwarteten Statuscode oder Rückgabewert, der eine Umgehung der Authentifizierung erlaubt; CVE-2026-116779 in SignalWire FreeSwitch, eine Code-Injection, die die Offenlegung von Konfigurationen und Zugangsdaten, beliebige Anrufsteuerung und Befehlsausführung erlaubt; und CVE-2026-123218 in IBM Aspera Faspex, eine fehlerhafte Autorisierung, die Rechteausweitung ermöglicht. Gesondert wies die CISA auf eine Umgehung der Mehrfaktorauthentifizierung in SonicWall SonicOS hin, die ihren Angaben zufolge möglicherweise in realen Angriffen ausgenutzt wurde.
Die EPSS-Werte der vier Schwachstellen liegen zwischen 0.00331 und 0.01299, statistisch gesprochen also: wahrscheinlich nicht Sie. KEV ist eine andere Art von Aussage. Zwei Medien berichten, die OpenSSH-Lücke, inzwischen als SSHole bekannt, werde aktiv ausgenutzt, um Befehle auszuführen, Zugangsdaten zu stehlen und dauerhaften Zugriff zu etablieren; die frühen Versuche werden Botnetzen und Krypto-Minern zugeschrieben, finanzstärkere Akteure dürften folgen. Eine Prognose und eine Fotografie waren sich heute Morgen uneins, und die Fotografie gewinnt.
Den GPUStack-Eintrag würde ich zweimal lesen. Es ist unauthentifizierter Administratorzugriff auf das System, das Ihre Modell-Workloads einplant, samt den Cloud-Anbieter-Geheimnissen, die es in Ihrem Auftrag verwahrt; ein KEV-Tracker bewertet die Lücke mit CVSS 9.8, übers Netz erreichbar, ohne Login und ohne Klick. Wir haben drei Jahre lang darüber gestritten, ob KI ein Sicherheitsproblem ist, und ihr dann stillschweigend eine Steuerungsebene mit Authentifizierungsumgehung gegeben. Maureen merkt zu Recht an, dass noch niemand entschieden hat, ob der GPU-Cluster zum Umfang des vierteljährlichen Patch-Berichts gehört, denn bei der Beschaffung wurde er als Forschung beschrieben.
Warum es wichtig istPatch-Reihenfolge heute: sshd auf allem, was aus dem Internet erreichbar ist, dann die GPU-Orchestrierungsschicht, für die niemand ein Runbook geschrieben hat, dann Faspex und FreeSwitch.
Eine Leak-Seite, die an einem Tag 134 Einträge postet, steht nicht für 134 Einbrüche. Es ist ein Skript und ein Geschäftsmodell, das die Vorbestellung entdeckt hat.
— Sturgeon's Revelations · Probably Fine Daily No. 44
Jeden Morgen06:00 UK
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§2
Schlagzeilen
Der Rest der letzten 24 Stunden – mit Belegen.
Ransomware
BYOD reklamiert eine Universität und eine staatliche Gesundheitsbehörde und sagt, die Mitarbeiter seien entlassen worden, die Schwachstelle aber nicht
Die Vanderbilt University hat Studierende und Beschäftigte gewarnt, dass Geräte und Systeme des Campus von einem Cyberangriff betroffen sein könnten. Die Gruppe BYOD reklamiert ihn auf ihrer Leak-Seite und gibt an, Datenbanken verschlüsselt und mehr als eine Million Sozialversicherungsnummern sowie Studierenden-, Mitarbeiter- und Forschungsdaten erbeutet zu haben. Keine der genannten Datensatzzahlen ist von den Betroffenen bestätigt; BYOD taucht heute in sechs unserer Quellen auf und ist der am häufigsten querverwiesene Akteur im Berichtszeitraum.
Warum es wichtig istWenn Ihre Reaktion auf einen Vorfall in einem Austrittsverfahren statt in einer Code-Änderung endet, ist dies die Behauptung, die als Nächstes über Sie aufgestellt wird.
N0n hat in sieben Tagen 100 Forderungen eingestellt, die meisten gegen noch nicht benannte Unternehmen
Die Tempo-Auswertung von Ninja Signal sieht N0n bei 100 Leak-Seiten-Einträgen in sieben Tagen, erwartet wären auf Basis der eigenen früheren Rate 27.4 gewesen, p unter 0.001, in einer Woche, in der 46 von 273 beobachteten Gruppen zusammen 307 Einträge veröffentlichten; auch medusalocker zieht an, mit 18 gegenüber erwarteten 1.46. Die meisten Einträge von N0n sind nummerierte Platzhalter, Company #148 bis Company #211, jeweils mit Branche, Land und dem Vermerk PENDING EXPOSURE; zu den bislang aufgetauchten benannten gehören 159 Solutions, Inc., wo der Eintrag ein Speziallager für Pharmazeutika mit 735,022,313 gemessenen Zeilen behauptet, sowie Landmark Group und Vertex Pharmaceuticals. Die Schlagzeile ist die Behauptung zu Expedia Group: 830,069,282 Treuepunkte-Zeilen in 800 Dateien, die Hackmanac als Behauptung meldet und die niemand bestätigt hat.
Warum es wichtig istBetrachten Sie die nummerierten Platzhalter als Zielliste statt als Opferliste, und prüfen Sie, ob Ihre Kombination aus Branche und Land darauf steht.
Frankreich schreibt die Angriffe auf Supermarkt-Kühlanlagen einer IRGC-Einheit zu, während US-Behörden warnen, dass dieselben Steuerungen weltweit angegriffen werden
Frankreich bringt die Cyberangriffe vom Oktober, die Kühlsysteme in mehr als 700 Supermärkten und anderen Handelsstandorten lahmlegten, mit staatlich unterstützten iranischen Hackern in Verbindung. Die Angriffe hätten Lebensmittelverluste verursacht und mindestens 15 Brände ausgelöst; als Täter benennt Paris Shahid Kaveh, eine Cyber-Einheit der IRGC, die zuvor mit Angriffen auf Industriesteuerungen in US-Wasserwerken in Verbindung gebracht wurde. Zeitgleich warnten US-Behörden, Bedrohungsakteure nähmen weltweit aktiv industrielle Kühl- und Kühlketten-Überwachungssysteme ins Visier, um Dienste zu stören, Brandgefahren zu erzeugen und Warenbestände zu vernichten; die Akteure könnten Schwachstellen oder Schwächen in ungepatchten Systemen ausnutzen. Es ist das einzige Cluster heute mit Folgen, die man fotografieren kann.
Warum es wichtig istWenn zu Ihrem Bestand Kühllager gehören, gehören die Steuerung und ihre Fernüberwachungsverbindung diese Woche ins Asset-Register und in den Patch-Zyklus, nicht in den Ordner der Haustechnik.
Drei Lieferkettenkompromittierungen an einem Tag, und eine davon übersteht das Update
Angreifer nutzten die eigene Release-Automatisierung von Ethersphere, um bösartige Versionen von bee-js 13.3.0 und Swarm Desktop 0.56.2 zu veröffentlichen, die den Wallet-Schlüssel des Swarm-Knotens samt gespeichertem Passwort stehlen und Hintertüren unter Windows, macOS und Linux installieren; beide Releases wurden zurückgezogen, und die Berichte betonen ausdrücklich, dass ein Update allein die Hintertüren nicht entfernt. Gesondert gibt Wiz an, ein Angreifer habe Zugangsdaten für das AWS-Konto genutzt, über das die Plattform von Qubole auf Kunden zugreift, und sei zwischen dem 14. und 26. Oktober in die AWS-Konten mehrerer Qubole-Kunden eingedrungen und habe AWS- und Identity-Provider-Zugangsdaten, Geheimnisse und S3-Daten gestohlen. Und ein bösartiges Ruby-Gem, strutil-core 1.0.1, am 1. November vom RubyGems-Konto jamnajiea veröffentlicht, führt bei der Installation einen 5.48 MB großen Zugangsdaten stehlenden Wurm aus und vergiftet KI-Werkzeuge.
Warum es wichtig istRotieren Sie alles, was ein Build-Agent oder eine vertrauenswürdige Anbieterrolle erreichen konnte, und bedenken Sie, dass ein Paket-Rollback keine Vertreibung ist.
Die KI-Geschichte handelt nicht mehr von Chatbots, sondern von Zugangsdaten, Steuerungen und Kryptografie
An einem einzigen Tag: Die KI-Agenten von Google DeepMind haben gemeinsam mit Kryptografen die Kosten für das Fälschen von RSA-1024-Signaturen gesenkt und einen günstigeren Weg zur Faktorisierung von Schlüsseln gefunden; die von Microsoft verfolgte, in Kambodscha ansässige Gruppe Storm-3358 setzt seit Oktober das agentische Offensiv-Framework ARTEX gegen Finanzorganisationen in Südostasien und ausgewählte globale Ziele ein; Forscher von Acronis beschreiben einen einzelnen Angreifer in Taiwan, der mit BOSSAI-Agenten Notrufdisponenten-Daten aus sieben Taipeher Bezirken abzog und eine Plattform der Feuerwehr fand, die Patientendaten ab 2018 offenlegt, darunter EKG-Messwerte und Rettungswagen-Videos; ein deutscher Webhoster gibt an, über genau das Werkzeug kompromittiert worden zu sein, das er gebaut hatte, damit Kunden KI-Assistenten mit ihren Konten verbinden können; und das Dokumentenverarbeitungswerkzeug von Claude lässt sich dazu bringen, auf einem Linux-Rechner eine temporäre Datei zu schreiben, die es anschließend ausführt. Nichts davon ist ein Chatbot, der etwas Unhöfliches sagt.
Warum es wichtig istIhre KI-Integrationen sind inzwischen authentifizierte Pfade in die Produktion: Erfassen Sie sie, begrenzen Sie die Reichweite ihrer Token und protokollieren Sie, was sie aufrufen.
Zwei Anbieter forderten Kunden auf, die Server abzuschalten, und IBM reichte in einer Minute rund fünfundsiebzig CVEs ein
N-able hat seine gehosteten N-central-Umgebungen vom Netz genommen und Kunden mit eigener Installation aufgefordert, ihre Server herunterzufahren, nachdem ein Forscher öffentlich mehr als 30 mutmaßliche Zero-Day-Schwachstellen offengelegt hatte, darunter Exploits, die eine vollständige Systemübernahme ermöglichen könnten; LNbits forderte alle Betreiber seiner quelloffenen Bitcoin-Lightning-Wallet auf, ihre Server wegen einer Angriffswelle sofort abzuschalten, die Korrekturen stehen noch aus. Unterdessen führte die NVD eine Sammelveröffentlichung zu IBM API Connect auf, die 10.0.8.0 bis 10.0.8.12 und 12.1.0.0 bis 12.1.1.2 abdeckt, rund fünfundsiebzig CVEs mit Zeitstempeln innerhalb derselben Minute, darunter CVE-2026-17301, eine unauthentifizierte Umgehung der Authentifizierung durch unzureichende Überprüfung einer kryptografischen Signatur, und CVE-2026-105002, Codeausführung durch den Verwaltungsdienst. Es gibt keine Welt, in der ein Mensch diese Liste vor dem Mittagessen nach Schweregrad sichtet.
Warum es wichtig istWenn Sie N-central, Aspera, API Connect oder LNbits betreiben, lautet die heutige Entscheidung Verfügbarkeit gegen Exposition, und sie liegt bei Ihnen, nicht beim Anbieter, der sie aufschieben könnte.
Ein Sicherheitschef von Palantir wird für die Leitung der CISA nominiert, die soeben das Formular überarbeitet hat, das man hinterher ausfüllt
Präsident Trump hat Palantirs Sicherheitschef Michael LoSapio für die Leitung der CISA nominiert, über Nacht aus zwei getrennten Feeds gemeldet. Die CISA selbst kündigte ein erweitertes Meldeformular für Vorfälle an, einen Fragebogen, der ihren Angaben zufolge kritische Daten erfasst, um die Bewertung von Vorfällen, das Erkennen von Trends und die Priorisierung von Reaktionsmaßnahmen zu verbessern. Auf der Durchsetzungsseite schnitt das US-Finanzministerium die Kryptobörse MEXC Global wegen Sanktionsumgehung und Verbindungen zu Cyberkriminellen-Banden vom US-Finanzsystem ab, und ein ehemaliger FBI-Agent bekannte sich schuldig, fast $2.5 million aus den Wallets von Betrugsopfern und staatlichen Hackern gestohlen zu haben, gegen die ermittelt wurde.
Warum es wichtig istDie Meldelast wird umgestaltet, während Sie mitten in einem Vorfall stecken. Lesen Sie den neuen Fragebogen also, bevor Sie ihn brauchen, und nicht um zwei Uhr nachts.
admin:admin öffnete die Autos, und die Erpressermarken verklagen sich nun öffentlich gegenseitig
Zwei Forscher stellten fest, dass die Anmeldesysteme hinter den Mobil-Apps zweier Automarken vollständig übernommen werden konnten. So kamen sie an das Konto jedes Kunden heran und konnten bei Haltern eines vernetzten Fahrzeugs die Türen öffnen und den Motor starten; beide Apps meldeten Kunden über ForgeRock an, inzwischen Teil von Ping Identity, und die Forscher erreichten diese Server mit einem Standard-Administratorpasswort. Parallel dazu distanzierte sich eine gemeinsame Telegram-Erklärung, unterzeichnet als Scattered Spider, Lapsus$ und ShinyHunters, von ShinyCorp/Aegis/ReySwap, die keinerlei technische Fähigkeiten hätten; Binance dementierte öffentlich einen Einbruch, den ein ShinyHunters-Handle in einem neu aufgetauchten Forum behauptet hatte, und Elliptic veröffentlichte Recherchen dazu, dass Nordkorea Meme-Coins prägt, um den Binance-Hack zu waschen. Höchstens eine dieser Darstellungen kann stimmen.
Warum es wichtig istMarkenverwirrung unter Erpressergruppen ist ein Erkennungsproblem: Der Name in der Forderung sagt sehr wenig darüber aus, wer tatsächlich in Ihrem Netz sitzt.
Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.
Unter den Feeds: ein Tag voller Daten, die das meiste selbst erzählen, ein Akteur, der Opfer vorab postet, die er noch nicht benannt hat, und Aggregatoren, die sich mit fünf Stunden Verzögerung gegenseitig bestätigen.
Exception 01
N0ns Volumen besteht aus Platzhaltern, doppelt gespiegelt
N0n zeigt am 2026-11-09 134 Einträge gegenüber einem Median von 2 an anderen Tagen, über ransomware.live, ransomlook und Atlas-Signale hinweg, und die meisten sind nummerierte, geschwärzte „Company #NNN“-Einträge. Dieses Muster passt zu skriptgesteuertem, vorbereitetem Posten statt zu 134 unabhängigen Einbrüchen, die Zahl der Einträge überzeichnet also die Zahl der Opfer. 159 Solutions ist ein benannter Kandidat aus der Quelle; die Expedia-Behauptung bleibt unbestätigt.
Konfidenz0.60
Wrong if
Platzhalter werden durch benannte Opfer ersetzt, deren Daten verifiziert sind, oder Expedia bestätigt einen Einbruch.
Watch
Ob die geschwärzten Einträge in den nächsten 3 bis 7 Tagen Namen oder Countdowns erhalten.
Quellenübergreifende Bestätigung ist meist eine Pipeline, keine Korroboration
Bei N0n, Metaencryptor, Scarlettgroup und Aoqin geht ransomware.live signal:atlas um 5.3 bis 6.7 Stunden voraus; bei Hyflock und Everstake geht ransomware.live ransomlook um 1.1 bis 1.6 Stunden voraus. Diese Reihenfolge entspricht: Leak-Seite, dann ransomware.live, dann ransomlook, dann Atlas-Bewertung. Zählen Sie das als eine Quelle, nicht als vier.
Konfidenz0.65Speculative
Wrong if
Atlas-Beiträge zu diesen Akteuren stützen sich auf unabhängige Quellen, oder die Richtung der Verzögerung schwankt zufällig.
Watch
Ob neue Akteure diese Reihenfolge und Verzögerung diese Woche beibehalten.
Die KEV-Kennungen sind sechsstellig, und der Stapel kam als ein Schwung
Alle vier KEV-Ergänzungen tragen sechsstellige CVE-IDs (-102895, -116779, -123158, -123218), ein ungewöhnliches Format, und alle vier haben denselben Erfassungszeitstempel, nach dem sowohl der KEV- als auch der NVD-Feed verstummen. Die Darstellung der SSHole-Ausnutzung beruht auf zwei Medien, die möglicherweise denselben Ursprung haben. Prüfen Sie die Kennungen im Primärkatalog, bevor Sie sie in einem Change Request zitieren.
Konfidenz0.45Speculative
Wrong if
Die IDs lassen sich in den offiziellen Einträgen von CISA und NVD mit übereinstimmenden Beschreibungen auflösen.
Watch
Anbieter-Sicherheitsmitteilungen, Patch-Verfügbarkeit und unabhängige Belege für eine Ausnutzung von CVE-2026-123158.
LockBit5 hat aufgehört, vermutlich nicht in nennenswertem Sinn
LockBit5 postete am 2026-11-08 vier Forderungen und danach in diesem Zeitfenster nichts mehr. Bei einem so kurzen Fenster kann das ebenso gut Berichtsrhythmus wie Inaktivität sein und sollte nicht als Druck, Störung oder Rückzug gelesen werden.
Konfidenz0.25Speculative
Wrong if
Neue LockBit5-Einträge innerhalb von 48 Stunden.
Watch
Die Leak-Seite und der ransomware.live-Feed über zwei bis drei Tage.
Nothing to seeEs wurden keine zeitlichen Häufungen erkannt, daher gibt es keinen Hinweis auf koordiniertes Posten über Akteure hinweg. Die Stille bei NVD und KEV nach dem Stapel um 00:19 ist ein Artefakt der Erfassung, kein Ereignis. Die Geschichte über den Wiper in russischem Hosting und das Thema offensiver KI stützen sich jeweils auf ein oder zwei Beiträge. Das Fenster umfasst faktisch einen Tag, also ist nichts hiervon ein Trend.
Deep read: 626 Artikel gelesen
§4
Prognose
Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.
Today’s calls
DueCallConfidence
DueTue 17 Nov7d
Mindestens ein N0n-Platzhalter „Company #NNN“ wird bis zum 17. November 2026 auf der Leak-Seite oder ihren Spiegeln durch ein benanntes Opfer ersetzt.
Wrong ifAlle nummerierten Einträge von #148 bis #211 bleiben bis zu diesem Datum geschwärzt, ohne hinzugefügte Namen.
N-able stellt bis zum 20. November 2026 entweder das gehostete N-central wieder her oder veröffentlicht eine Sicherheitsmitteilung, die mindestens eine der mehr als 30 offengelegten Schwachstellen benennt.
Wrong ifBis zu diesem Datum wird in diesen Feeds weder eine N-able-Sicherheitsmitteilung noch eine Wiederherstellung gemeldet.
Booba Project's rolling seven-day leak-site claim count falls below 17 in the tempo report for 2026-11-09, having already been scored as cooling across its sectors.
Called Mon 2 Nov · due Mon 9 Nov
Tempo report shows Booba Project count not mentioned; call cannot be settled
At least one of Everstake's two scheduled releases (582.69 Gb due 10 November, 473.05 Gb due 12 November) appears on the leak sites, with the victim named, by 13 November 2026.
Called Tue 3 Nov · due Fri 13 Nov
Everstake posted carrollins.com (370.73 GB) on 2026-11-09, satisfying at least one of the two scheduled releases; second release (473.05 GB) not yet confirmed
No single day between 4 and 10 November records more than 20 new thegentlemen victim claims across ransomware.live and ransomlook, confirming the 3 November spike as batch output rather than 46 distinct events.
Called Wed 4 Nov · due Tue 10 Nov
Tempo report for 2026-11-10 shows no single day with >20 thegentlemen claims; thegentlemen not mentioned as surging
thegentlemen's seven-day leak-site claim count falls below 75 in the Ninja Signal tempo item by 13 November, confirming the burst was a batch rather than a campaign.
Called Fri 6 Nov · due Fri 13 Nov
Tempo report shows thegentlemen not specifically counted but N0n surge at 100 claims and medusalocker at 18; thegentlemen's separate count not reported, so cannot confirm <75 — however the call is due 2026-11-13 and today's tempo does not show thegentlemen at ≥75, leaving it open
No second organisation independently backs Lupovis's 95% attribution of the EU supermarket refrigeration attacks to Russian state actors in these feeds by 16 November.
Called Fri 6 Nov · due Mon 16 Nov
France publicly attributed the EU supermarket refrigeration attacks to Iranian state-backed hackers (IRGC Shahid Kaveh unit), contradicting the prediction that no second organisation would back attribution to Russian state actors — and in fact attribution went to Iran, not Russia, so the call that no government attribution to Russian actors would appear is technically right, but France attributed to Iran
No government or independent researcher publicly names an actor behind the European supermarket refrigeration attacks; the FBI/CISA guidance stays actor-agnostic.
Called Sat 7 Nov · due Tue 17 Nov
France named Iranian state actors (IRGC Shahid Kaveh) behind the cold-chain attacks, satisfying the falsification condition
medusalocker will post at least five further leak-site claims visible on ransomware.live or ransomlook between now and 16 November 2026, keeping it above its own prior rate of 1.46 per week.
Called Mon 9 Nov · due Mon 16 Nov
Tempo report shows medusalocker at 18 claims in 7 days, far exceeding the 5-claim threshold by 2026-11-16
Ein noch nicht benanntes Opfer, unter einer Nummer abgelegt, in einem Katalog, der vor dem Mittagessen Company #211 erreichte. Der Countdown ist keine Drohung, er ist die Werbung, und Sie sind das Publikum, ob Sie darin vorkommen oder nicht.
§5
Von unserem Rand
Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.
Unser eigener Rand ist kein Threat-Intelligence-Produkt, sondern eine Fußmatte mit Notizbuch. In den letzten 24 Stunden hat er 149 feindselige Quellen mit 9,413 Anfragen erfasst, von denen 107 über die Aufklärung hinaus in Ausnutzungsversuche übergingen, mit 22 Adressgruppen, die einen gemeinsamen Verhaltensfingerabdruck teilen. Zwei Zahlen lohnen Ihren Morgen: Ein Scanner von 34.53.218.24 schickte 122 Anfragen nach /.env.anthropic neben /.aws/credentials, was bedeutet, dass API-Schlüssel für Modelle jetzt neben Cloud-Schlüsseln auf der Standard-Einkaufsliste stehen; und ein weiterer von 34.52.152.34 feuerte 132 Anfragen in etwa 0.6 Sekunden ab, was kein Mensch ist. Drei Adressen versuchten CVE-2015-2051 gegen /hnap1, einen benannten Exploit von vor einem Jahrzehnt, weil irgendwo noch ein D-Link antwortet. Rohprotokolle haben den Server nie verlassen; nur die Erkenntnisse.
149feindselige Quellen erfasst
9,413Anfragen von ihnen
107erreichten Ausnutzung
22Cluster mit gemeinsamer DNA
8.2/10höchste Feindseligkeit
6,414Adressen an unserem Rand
1,486heute erstmals gesehen
90Länder
Die WTF-Liste
WTF #1
Auf der Suche nach Ihren KI-Schlüsseln
34.53.218.24, ein Scanner (Feindseligkeit 5.4/10), schickte 122 Anfragen an eine unserer Seiten und suchte nach /.aws/credentials, /.env.anthropic, /.aws/config, /.env.
Warum es seltsam istGing direkt auf KI-Zugangsdaten los: /.env.anthropic. API-Schlüssel für Modelle stehen bei Scannern jetzt neben Cloud-Schlüsseln auf der Einkaufsliste.
attribution: unbekanntTue 10 Nov, 05:00 UTC
Detail
Kill Chain: Aufklärung → Waffenentwicklung · DNA 18e39c4b41fb
WTF #2
Der entschlossenste Besucher
2a02:c207:2298:6410::1, ein Scanner (Feindseligkeit 7.0/10), schickte 21 Anfragen mit 18 pro Minute an eine unserer Seiten und suchte nach /.env.backup, /.aws/credentials, /.docker/config.json, /.env.
Warum es seltsam istHöchste Feindseligkeit auf der Liste; seine Kill Chain erreichte die Ausnutzung.
attribution: unbekanntTue 10 Nov, 05:00 UTC
Detail
Kill Chain: Aufklärung → Waffenentwicklung → Ausnutzung · DNA 3268dda94501
WTF #3
Versucht CVE-2015-2051 bei uns
3 Adressen schickten 3 Anfragen in der Form einer Ausnutzung von CVE-2015-2051 (/hnap1), darunter 209.38.241.54, 64.226.110.119, 157.245.157.191.
Warum es seltsam istEin bekannter, benannter Exploit wird noch immer ins Internet gesprüht; unser Rand sah ihn heute, was auch immer die Patch-Hinweise über das Jahr sagen.
attribution: unbekannt
Detail
Sondierungsfamilie: dlink-hnap
WTF #4
Gleiche DNA, andere Adressen
43.134.132.212, ein Bot-Crawler (Feindseligkeit 0.5/10), schickte 83 Anfragen an eine unserer Seiten und suchte nach /threat-check/Execution%20After%20Redirect%20(EAR), /threat-check/http%3A%2F%2Fcr826139.tw1.ru%2FL1nc0In.php, /threat-check/Microsoft%20Office%20Access%20Connectivity%20Engine%20Re.
Warum es seltsam ist13 IPs teilen einen Verhaltensfingerabdruck (DNA 7ba4b177addf): ein Werkzeug oder ein Betreiber, der Adressen rotiert: 43.128.97.122, 49.51.195.89, 43.156.161.181, 43.172.83.19, 43.163.124.150 und weitere.
attribution: unbekanntTue 10 Nov, 05:00 UTC
Detail
Kill Chain: Aufklärung → Ausnutzung · DNA 7ba4b177addf
WTF #5
Die seltsamste Einkaufsliste
20.46.45.55, ein Scanner (Feindseligkeit 6.7/10), schickte 182 Anfragen an eine unserer Seiten und suchte nach /wp-content/index.php, /x.php, /autoload_classmap.php, /admin.php.
Warum es seltsam istFragte nach Dateien, nach denen fast niemand sonst fragt: /wp-content/index.php, /x.php, /autoload_classmap.php, /admin.php, /goods.php.
attribution: unbekanntMon 9 Nov, 16:00 UTC
Detail
Kill Chain: Aufklärung → Waffenentwicklung → Ausnutzung · DNA dfef4501b216
WTF #6
In Eile
34.52.152.34, ein Scanner (Feindseligkeit 5.1/10), schickte 132 Anfragen an eine unserer Seiten und suchte nach /.aws/.env, /.docker/.env, /.env, /.docker/laravel/app/.env.
Warum es seltsam istFeuerte 132 Anfragen in etwa 0.6 Sekunden ab.
attribution: unbekanntMon 9 Nov, 16:00 UTC
Detail
Kill Chain: Aufklärung → Waffenentwicklung · DNA 18e39c4b41fb
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
307claims, 7 days
46of 273 groups active
N0n100 this week · surging
thegentlemen25 this week
medusalocker18 this week · surging
SurgingN0n — 100 claims in 7 days against 27.4 expected from its own prior rate (p < 0.001)
Surgingmedusalocker — 18 claims in 7 days against 1.5 expected from its own prior rate (p < 0.001)
SurgingBrainCipher — 12 claims in 7 days against 1.7 expected from its own prior rate (p < 0.001)
Surgingmetaencryptor — 9 claims in 7 days against 1.1 expected from its own prior rate (p < 0.001)
SurgingSilentRansomGroup — 9 claims in 7 days against 3.0 expected from its own prior rate (p = 0.004)
Surgingrhysida — 5 claims in 7 days against 1.8 expected from its own prior rate (p = 0.035)
UpTransportation — 1.8× its own prior share (71 claims, 39 expected)
DownAgriculture and Food Production — 0.5× its own prior share (20 claims, 39 expected)
DownManufacturing — 0.9× its own prior share (149 claims, 174 expected)
29% of claims carry no sector label.
Brand churn
Of the 235 leak-site brands first seen since 2021-09-30, 75% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 37% made at least half their claims in their first week. New brands this month: 4 — newest: Destello (2026-11-05, 1 claim), Aoqin (2026-11-04, 6 claims), OBSOFT (2026-11-03, 7 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.3× every other brand's share); N0n put 29% of its claims on Transportation (6.5× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.2× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 2 of 195 claims at weekends and half its claims in 12:00–13:59 UTC; half of thegentlemen's claims appeared in 06:00–09:59 UTC. Leak sites overall are 33% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§8
Kolophon
Wie diese Ausgabe entstanden ist – unverblümt.
Ausgabe 44 wurde maschinell erstellt und per Code geprüft. Jeder Beitrag, den 15 öffentliche Bedrohungs-Feeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlichten (626 Beiträge), wurde vollständig gelesen: Statistiken in Code berechnet, jeder Ausschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus zusammengeführt. Anschließend hat Claude Opus die Zeitung redigiert. Jede Geschichte nennt die Beiträge, auf denen sie beruht; Geschichten, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung gestrichen (heute 0). Prognosen werden in späteren Ausgaben öffentlich ausgewertet. „Von unserem Rand“ sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: $1.09. Sie wird maschinell geschrieben, in der Stimme von ScottG, Autor von Everything Is Probably Fine, und niemand hat sie von Hand redigiert, was entweder der Sinn der Sache oder das Problem ist.
626items read
24hour window
$1.09cost of this edition
05:05 UTCgenerated
Quellen von heute Morgen
NVD100ok
RansomLook100ok
ThreatFox100ok
ransomware.live94ok
Signal Atlas60ok
Telegram55ok
Security news44ok
infosec.exchange38ok
RSS12ok
signal:ioc-family8ok
signal:kev4ok
CISA KEV4ok
AlienVault OTX3ok
atlas3ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 626|SOURCES: 15|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $1.09|STATUS: NICHT GANZ IN ORDNUNG
OWNER: die Maschine|EDITOR: die Regeln|CALLS OPEN: 3|NEXT REVIEW: morgen 06:00 UK