Ein täglicher Feldbericht über Dinge, die wahrscheinlich in Ordnung sind
No. 46·Donnerstag 12 November 2026·Erscheint 06:00 UK·Fine-Anzeige 3/5: Nicht besonders in Ordnung
Aufmacher · Schwachstellen
Beide Enden des Fernwartungskabels wurden am selben Tag kompromittiert
ConnectWise hat fünf ScreenConnect-Erweiterungen deaktiviert, nachdem Rogue-Clients 288 Endpunkte bei 48 Organisationen erreicht hatten; binnen etwa eines Tages nahm N-able gehostetes N-central vom Netz, nachdem über 30 Zero-Days öffentlich geworden waren.
Konfidenz0.88
So sieht das Bild aus. ConnectWise untersucht eine aktive Kampagne, bei der kompromittierte ScreenConnect-Umgebungen genutzt wurden, um Rogue-Fernzugriffs-Clients auf Kundengeräte zu verteilen; Huntress nennt die ausgelieferte Software SCKit. Bislang sind mindestens 288 Endpunkte bei 48 Organisationen betroffen, und ConnectWise hat fünf Drittanbieter-Erweiterungen in Partnerumgebungen deaktiviert, während es erklärt, es gebe keine Hinweise auf eine Kompromittierung der eigenen Infrastruktur. Unabhängig davon, aber nur etwa einen Tag früher oder später, nahm N-able gehostete N-central-Umgebungen vom Netz und lieferte Hotfixes aus, nachdem ein Forscher am Wochenende Zero-Days veröffentlicht hatte – mehr als dreißig, nach Zählung von Dark Reading dreiunddreißig –, die Remotecodeausführung, Diebstahl von Zugangsdaten und das Anlegen von Administratorkonten ermöglichen.
Die Mechanismen sind nicht dieselben. Im einen Fall wurde ein Erweiterungsmodell missbraucht, das genau wie vorgesehen funktionierte; im anderen handelt es sich um einen Haufen Schwachstellen, die das nicht taten. Ich werde Ihnen also nicht erzählen, es handle sich um eine koordinierte Welle, denn das kann ich von hier aus nicht erkennen. Ich sage Ihnen aber, dass beide Produkte aus demselben Grund existieren: Jemand muss irgendwo in tausend Rechner hineingreifen, die er nie physisch berührt hat. Das ist eine Fähigkeit, keine Produktkategorie. Die Fähigkeit ist das Ziel. Das war sie schon immer.
Es gibt eine Lesart dieses Vorfalls, in der niemand schuld ist: unterstützte Software, legitime Werkzeuge, ein Lieferantenverhältnis, das vertraglich geregelt und versichert ist und ein Logo auf der Website hat. Diese Lesart ist die ontologisch unbequeme, denn sie bedeutet, dass es auf der Zeitachse keinen Moment der Nachlässigkeit gibt, auf den man zeigen könnte. Sie haben die Fähigkeit gekauft, auf allem Befehle auszuführen. Nun übt jemand anderes sie aus.
Warum es wichtig istWenn Sie einen MSP haben, ist Ihr Schadensradius heute dessen Sitzungsverlauf: Suchen Sie nach unerwarteten ScreenConnect-Clients und -Erweiterungen, und behandeln Sie jedes N-central-System, das am Wochenende aus dem Internet erreichbar war, als kompromittiert, bis das Gegenteil bewiesen ist.
Fernwartung ist eine Tür, die man auf eigene Veranlassung in die eigene Wand einbaut und deren Schlüssel man dann einer Lieferkette überreicht, deren Einstellungspolitik man nie gelesen hat.
— Sturgeon's Revelations · Probably Fine Daily No. 46
Jeden Morgen06:00 UK
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§2
Schlagzeilen
Der Rest der letzten 24 Stunden – mit Belegen.
Schwachstellen
CISA nimmt Cisco BroadWorks und einen Openwave-Transcoder in den KEV-Katalog auf, beide bereits gepatcht
Die CISA hat am Dienstag zwei Schwachstellen in den Katalog der bekanntermaßen ausgenutzten Schwachstellen (KEV) aufgenommen: CVE-2026-20320 in Cisco BroadWorks, eine unzureichende Beschränkung von XML-External-Entity-Referenzen mit einem CVSS-Wert von 7.5, und CVE-2026-111793 im Openwave Messaging Webtop Media Transcoder; beide werden genutzt, um sensible Informationen einschließlich Konfigurationsdaten abzuziehen. Für beide gibt es Patches. Daneben führt die CISA die Outlook-Schwachstelle CVE-2026-124194 als ausgenutzt, aufgenommen am 10. November, CVSS 6.5, über das Netzwerk erreichbar, ohne Anmeldung, und bereit, NTLMv2-Authentifizierungs-Hashes an ein vom Angreifer kontrolliertes Ziel zu übermitteln, sobald jemand die Datei öffnet.
Warum es wichtig istDrei ausgenutzte Schwachstellen, für die Herstellerkorrekturen vorliegen: BroadWorks und der Openwave-Transcoder sind die unscheinbare Telko-Installation, für die sich niemand zuständig fühlt, und Outlook gehört allen, was schlimmer ist.
Der Patch Tuesday waren 1.235, oder 1.259, oder 1.260, oder 1.093 – je nachdem, wer gezählt hat
Das November-Release von Microsoft wurde von BleepingComputer mit 1,235 Schwachstellen beziffert, von The Hacker News mit 1,259, vom SANS Internet Storm Center mit 1,260 und von SecurityWeek, Cyberscoop und Krebs mit 1,093 oder „fast 1,100“; die Zahl der kritischen Lücken liegt laut SANS bei 68 und laut Krebs bei 63, und SANS merkt an, dass 167 der Gesamtzahl Chromium-Probleme in Edge sind. SAP patchte laut BleepingComputer 35 Schwachstellen und laut SecurityWeek 42 Advisories, davon neun kritische, wobei sich alle über die vier Schwachstellen mit CVSS 10.0 in NetWeaver und Web Dispatcher einig sind. Dazu kam Adobe mit 110 Korrekturen in neun Produkten, Fortinet mit knapp 100, nachdem es Frontier-KI-Modelle in seine Sicherheitstests integriert hatte, und Zoom lieferte eine Korrektur für CVE-2026-108186 mit CVSS 9.6, eine nicht authentifizierte Rechteausweitung über das Netzwerk. Die Abweichungen sind Zählmethoden, keine Verschwörung.
Warum es wichtig istDie Zahl auf der Folie ist kein Risikosignal; die vier SAP-Schwachstellen mit CVSS 10.0 und der eine ausgenutzte Outlook-Fehler sind es, und sie sind in diesem Monat genauso groß wie im vorigen.
Ein agentisches Pentest-Werkzeug las eine web.config und ging in AWS einkaufen
ARTEX, ein KI-natives Penetrations-Framework, wurde im Oktober dabei beobachtet, wie es AWS-Umgebungen angriff und es auf Finanzdaten abgesehen hatte; sein Fork AntiFox wird nun selbst auf Alibaba Cloud gehostet und gegen Webdienste und AWS eingesetzt, wobei Arctic Wolf IIS-Web-Shells, den Missbrauch gültiger AWS-Zugangsdaten und erfolgreiche Secrets-Manager-Anfragen meldet. Ein geschilderter Einbruch verläuft fast quälend prozedural: einen IIS-Server treffen, web.config auslesen, die darin enthaltenen AWS-Zugangsdaten übernehmen, in 30 Minuten 18 Dienste aufrufen, bei fast allen AccessDenied kassieren und bei einem produktiven Secret GetSecretValue. Dark Reading zählt 45 ähnliche Pentest-Werkzeuge, die weiterhin zu Angriffen auf Zugangsdaten und Cloud-Einbrüchen in Maschinengeschwindigkeit fähig sind. Es gibt hier keine CVE, und es gibt nichts zu patchen.
Warum es wichtig istDie Zugriffsverweigerungen sind kein abgewehrter Angriff, sondern eine kostenlose Enumeration Ihrer Berechtigungsgrenzen in hohem Tempo; die Kontrolle sind daher IAM nach dem Prinzip der minimalen Rechte und Alarme bei gehäuften AccessDenied-Salven, nicht das Postfach.
Vier KI- und Cloud-Anbieter verloren im selben Zeitraum die Geheimnisse anderer
Ein Angreifer nutzte zwischen dem 14. und 26. Oktober IAM-Zugangsdaten aus dem AWS-Konto von Qubole, um Integrationsrollen in Kundenumgebungen zu übernehmen; betroffen waren mehr als ein Dutzend Organisationen, und es wurden Dateien, Secrets, Schlüssel und Umgebungsvariablen entwendet. Fireworks AI weitete seinen Oktober-Vorfall bei einer begrenzten Zahl von Konten auf Konto- und Abrechnungsdaten, Secrets, Datensätze und unfertige Modelle aus, weshalb Notion offenlegte, dass KI-Chatprotokolle in weniger als 1% seiner Workspaces offenlagen. Railway erklärt, gestohlene Authentifizierungs-Secrets von Kunden hätten rund 740,000 $ an betrügerischer KI-Nutzung verursacht, wobei potenziell bis zu 100,000 Workspaces betroffen seien, und hat zugesagt, die Kosten zu übernehmen, wo ein Anbieter nicht erstattet; OpenRouter hat abgelehnt. NEAR AI wiederum verlor die Codeausführung auf einem Inferenzserver an eine SGLang-RCE, betroffen sind Daten von 18 Agenten und etwa 100 Nutzerkonten.
Warum es wichtig istIhre Modell-API-Schlüssel haben jetzt den Schadensradius von Cloud-Root-Zugangsdaten und keine der Rotationsdisziplin, weil niemand einen Schlüssel-Lebenszyklus für etwas gebaut hat, das vor sechs Monaten noch ein Hackathon war.
N0n veröffentlicht mit dem Dreifachen der eigenen Rate, und zwei Gruppen haben ihren Entwurfsordner geleert
Der heutige Tempo-Befund von Ninja Signal zählt 291 Leak-Site-Behauptungen in sieben Tagen von 49 der 277 beobachteten Gruppen, wobei N0n mit 94 Behauptungen gegenüber 28.0 erwarteten aus der eigenen früheren Rate liegt und interlock mit 12 gegenüber 1.25, beide bei p unter 0.001. Darunter dominierten zwei Burst-Publisher das Fenster: the gentlemen veröffentlichte rund zwei Dutzend Opfer, darunter Esri South Africa, United Pharmacy und Kuwaits National Investments Company, und Curious Worm stellte eine Tranche US-amerikanischer Gesundheits- und Dienstleistungsdomains ein, die ransomware.live etwa 2.1 bis 2.2 Stunden vor ransomlook führte. Unabhängig davon beziffert Krebs Qilin auf mindestens 365 in den vergangenen drei Monaten für sich reklamierte Opferorganisationen.
Warum es wichtig istDas Volumen auf Leak-Sites ist eine Veröffentlichungskadenz, keine Angriffskadenz; das handlungsrelevante Signal ist, welche Gruppe tatsächlich zulegt, und das sind heute N0n und interlock.
Die Leute, die Sie deswegen anrufen würden, gehen nicht ran, und Maersk hat es mit einem Altsystem zu tun
NBC News berichtet, dass einige führende US-Cybersicherheitsfirmen neue Kunden abweisen, die Nothilfe suchen; Sophos sagt, andere DFIR-Firmen hätten es um Überlaufunterstützung gebeten, wenn ihre Teams an die Kapazitätsgrenze stießen. Praktiker vor Ort beschreiben die Lage als derzeit furchtbar und sagen, wer weder einen Plan noch einen Retainer habe, dem werde wohl kaum geholfen. Ein Incident Responder sieht es so: Vieles sei KI-unterstützt, aber der Ersteinstieg sei definitiv nicht raffiniert – es sei die schmutzige Wäsche von allen auf einmal, und Security by Obscurity sterbe. Vor diesem Hintergrund hat Maersk bestätigt, dass ein Angreifer ein lokales Altsystem erreichte, das aus einer früheren Übernahme stammt, und daraus Daten abzog; WhiteArmor fordert 5 Millionen $.
Warum es wichtig istRetainer sind heute eine Kontrollmaßnahme, kein Beschaffungsluxus: Das Marktsignal lautet, dass Spitzenkapazität endlich ist und man sie nicht um 2 Uhr nachts am Tag des Vorfalls kaufen kann.
In freier Wildbahn ohne CVE ausgenutzt: Ein Cookie, das zu nichts geparst wird, übernimmt Xen Orchestra
Vates VMS warnt, dass eine kritische Authentifizierungsumgehung in Xen Orchestra, geführt als VSA-2026-062 und noch ohne CVE-Kennung, aktiv ausgenutzt wird: Das Parsen des REST-Cookies macht aus authenticationToken=j:%7B%7D ein leeres Objekt, die REST-Authentifizierung akzeptiert das, und der Angreifer erhält Admin- und Root-Übernahme von XCP-ng-Hosts. Barracuda sagt, Angreifer hätten begonnen, zwei kürzlich gepatchte Schwachstellen im Email Security Gateway auszunutzen, um Befehle als Root auszuführen. Google hat Notfall-Updates für den achten in diesem Jahr in Angriffen ausgenutzten Chrome-Zero-Day veröffentlicht.
Warum es wichtig istZwei dieser drei Systeme stehen vor Ihrer Virtualisierung und Ihrer Mail, und zusammen sind das die meisten Dinge, die eine Ransomware-Gruppe vor dem Frühstück haben will.
35,578 mit Grok gebaute Apps stehen jedem offen, und eine Hintertür, die in zehn Neuronen passt
Claroc sagt, es habe 37,571 mit Grok gebaute Apps im Netz gefunden, von denen 35,578 überhaupt keine Anmeldung verlangten, einige gaben vertrauliche Daten und Passwörter preis, und 24 davon wurden von Mitarbeitern von X und SpaceXSI gebaut. Anderswo hat ein Befehl in Claude Code in großem Umfang Dateien mit Zugangsdaten in öffentliche Git-Repositories gespeichert. Und Microsoft-Forscher haben gezeigt, dass sich einem KI-Modell durch die Änderung von weniger als zehn seiner selten genutzten Neuronen eine versteckte Hintertür einbauen lässt, ganz ohne erneutes Training, sodass ein gewählter Auslöser das Modell dazu bringt, einen Befehl des Angreifers auszugeben, den ein Agent dann mit den Rechten des Agenten ausführen würde.
Warum es wichtig istBei zweien davon liegen Geheimnisse im falschen Verzeichnis, was wir zu beheben wissen; die dritte ist eine Lieferkette, in der das Artefakt keinen lesbaren Diff hat.
Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.
Der größte Teil des heutigen Volumens entfällt auf zwei Leak-Sites, die eine Warteschlange leeren; lesenswert ist die Struktur: zwei RMM-Plattformen und ein Haufen gestohlener KI-Zugangsdaten im selben Zeitfenster.
Exception 01
Zwei RMM-Plattformen, ein Tag, zwei verschiedene Mechanismen
ConnectWise deaktivierte fünf ScreenConnect-Erweiterungen, nachdem Rogue-Clients 288 Endpunkte bei 48 Organisationen erreicht hatten, und N-able nahm gehostetes N-central wegen über 30 veröffentlichter Zero-Days vom Netz, beides binnen etwa eines Tages. Beide sind auf MSP-Vertrauen aufbauende Werkzeuge, es könnte sich also um eine Welle gegen MSPs handeln; ebenso gut kann es Zufall sein, denn Erweiterungsmissbrauch und Schwachstellenoffenlegung sind nicht dasselbe.
Konfidenz0.40Speculative
Wrong if
Huntress oder ConnectWise schreiben den ScreenConnect-Missbrauch Akteuren zu, die nichts mit der N-central-Offenlegung zu tun haben, oder die N-central-Fehler erweisen sich als koordinierte Forschung und nicht als angriffsgetrieben.
Watch
Nachverfolgung betroffener MSP-Kunden und jeder Ransomware-Behauptung, die MSP-Zugang nennt, in den nächsten ein bis drei Tagen.
Agentische Angriffswerkzeuge haben das Labor verlassen
ARTEX und sein Fork AntiFox tauchen in diesem Zeitraum in vier Quellentypen auf, wobei OTX die Berichterstattung über ARTEX um etwa zehn Stunden anführt, und die beobachtete Aktivität ist durchgängig Diebstahl von Cloud-Zugangsdaten statt Demonstration.
Konfidenz0.55
Wrong if
Die Erkenntnisse von Arctic Wolf stellen sich als Beleg für einen einzelnen Vorfall heraus, ohne weitere Verbreitung des Werkzeugs.
Watch
Neue AntiFox-Forks, weitere von Alibaba Cloud ausgehende Scans und mehr Berichte über den Missbrauch von AWS Secrets Manager.
Leak-Site-Schübe sind ein Scraper-Artefakt, keine Angriffswelle
The gentlemen veröffentlichte etwa 25 Opfer in rund zwei Stunden und Curious Worm etwa 10 in sieben Minuten, wobei ransomware.live ransomlook bei neun Curious-Worm-Domains um nahezu konstante 2.1 bis 2.2 Stunden voraus war. Diese Regelmäßigkeit ist ein Abfrageintervall, kein Timing der Angreifer.
Konfidenz0.60
Wrong if
Die Veröffentlichungszeiten auf den Leak-Sites selbst zeigen eine andere Kadenz, als der Tracker-Versatz nahelegt.
Watch
Ob sich die ausstehenden Opfer von the gentlemen bestätigen und ob Curious Worm einen Schub wiederholt.
Ein DFIR-Kapazitätsengpass ohne benannten Vorfall dahinter
Firmen, die Nothilfe abweisen, Sophos, das Überlauf übernimmt, und Responder, die den Ersteinstieg als unsophistiziert bezeichnen, deuten zusammen auf starke unberichtete Aktivität hin. Drei Beiträge stützen das, und kein einzelner Vorfall wird genannt; behandeln Sie es daher als schwach.
Konfidenz0.25Speculative
Wrong if
Andere DFIR-Anbieter melden normale Kapazität, oder die Äußerungen gehen auf das Personalproblem einer einzelnen Firma zurück.
Watch
Große Offenlegungen oder SEC-8-K-Meldungen in der kommenden Woche.
Nothing to seeDie Atlas-Geschichten über eine zusammengesetzte Krise, die Hashtag-Schübe und die großen stündlichen Cluster sind Posting-Volumen in sozialen Medien und der Curious-Worm-Schub, keine koordinierte Angreiferaktivität. Die Uploads von ThreatFox zu Unknown Loader, Mozi und Remcos sind Routine-Massenware. Die Darknet-Breach-Behauptungen (2,7 Milliarden SSNs, die Toyota- und Japan-Meldungen) sind unbestätigt und nur schwach verknüpft, und die Flut von WordPress-Plugins in der NVD ist real, verteilt sich aber auf Dutzende nicht zusammenhängender Produkte.
Deep read: 763 Artikel gelesen
§4
Prognose
Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.
Today’s calls
DueCallConfidence
DueThu 19 Nov7d
Mindestens eine Leak-Site-Behauptung einer Ransomware- oder Erpressergruppe, die zwischen jetzt und dem 19. November veröffentlicht wird, nennt einen MSP oder dessen nachgelagerte Kunden im Zusammenhang mit ScreenConnect- oder N-central-Zugriff.
Wrong ifKein Leak-Site-Beitrag und kein Hersteller-Advisory in diesem Zeitraum bringt ein benanntes Opfer mit einer der beiden Plattformen in Verbindung.
Der Xen-Orchestra-Authentifizierungsumgehung, die derzeit nur als VSA-2026-062 geführt wird, wird bis zum 24. November eine CVE-Kennung zugewiesen, oder sie erscheint im CISA-KEV, oder beides.
Wrong ifBis zum 24. November hat die Schwachstelle weiterhin weder eine CVE-Kennung noch einen KEV-Eintrag.
N0n wird zwischen jetzt und dem 19. November mindestens 20 weitere Leak-Site-Behauptungen auf ransomware.live veröffentlichen und damit den im heutigen Tempo-Befund markierten Anstieg fortsetzen.
Wrong ifIn diesem Zeitraum erscheinen weniger als 20 neue N0n-Behauptungen auf ransomware.live.
No public vendor or CISA advisory ties the Ivanti Connect Secure exploitation chain to a specific named threat actor or ransomware group by 2026-11-12.
Called Mon 2 Nov · due Thu 12 Nov
No item in today's feed names a threat actor behind CVE-2026-111357 Ivanti chain; Ivanti/CISA advisory items mention other CVEs only.
partly
At least one of Everstake's two scheduled releases (582.69 Gb due 10 November, 473.05 Gb due 12 November) appears on the leak sites, with the victim named, by 13 November 2026.
Called Tue 3 Nov · due Fri 13 Nov
Everstake actor on ransomware.live posted a new claim (ki*****o.com, redacted) on 2026-11-11, but neither the 582.69 Gb nor 473.05 Gb Everstake releases appear as named/published victims; the new entry is still redacted.
open
IHG Hotels & Resorts does not publicly confirm the BYOD intrusion claim.
Called Thu 5 Nov · due Thu 12 Nov
No IHG statement or regulatory filing acknowledging the BYOD intrusion claim appears in today's feed by the 12 November deadline.
wrong
No independent confirmation of the Whitearmor claim against the named shipping line will appear in these feeds; it stays an unverified leak-site listing.
Called Sun 8 Nov · due Fri 13 Nov
Maersk publicly confirmed the breach attributed to WhiteArmor ransomware, with a company statement reported in mainstream outlets.
Darf dieselben Fehler machen wie ein übermüdeter Junior, im Takt eines Rechenzentrums, ohne jeden Selbstzweifel und mit einem gültigen Satz Ihrer Zugangsdaten. Siehe auch: 18 API-Aufrufe in 30 Minuten, 17 davon abgelehnt, was der Anbieter als Eindämmung bezeichnet und der Angreifer als Karte.
§5
Von unserem Rand
Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.
Unser eigener Rand, letzte 24 Stunden: 56 feindliche Quellen profiliert – 30 Scanner, 21 Bot-Crawler, 3 gezielt vorgehende Operatoren, 2 Brute-Forcer –, die zusammen 4,287 Anfragen sendeten, von denen 16 über die Aufklärung hinaus zu tatsächlichen Ausnutzungsversuchen gingen, über 6,434 Adressen aus 106 Ländern, von denen 1,857 heute erstmals auftraten. Sieben Adressgruppen teilten einen Verhaltensfingerabdruck, was die höfliche Umschreibung für ein Werkzeug ist, das mehrere Hüte trägt. Die höchste Feindseligkeit lag bei 7.7 von 10, gemeinsam vergeben an 85.204.70.100 und 129.221.248.33, die beide an unserem Login-Pfad nach WordPress-Dateien fragten, die wir nicht haben, und dabei in der Kill Chain den Credential-Access erreichten. Eine Adresse sandte drei Anfragen in der Form von CVE-2017-9841 an den phpunit-Pfad, der weiterhin mit dem geduldigen Optimismus eines Mannes ins Internet gesprüht wird, der auf einem Feld eine Parkuhr füttert. Rohprotokolle haben den Server nie verlassen; nur diese Erkenntnisse.
56feindliche Quellen profiliert
4,287Anfragen von ihnen
16erreichten Ausnutzung
7Cluster mit gemeinsamer DNA
7.7/10höchste Feindseligkeit
6,434Adressen an unserem Rand
1,857heute erstmals gesehen
106Länder
Die WTF-Liste
WTF #1
Auf der Suche nach Ihren KI-Schlüsseln
34.78.49.147, ein Scanner (Feindseligkeit 5.4/10), sandte 123 Anfragen an eine unserer Websites und suchte nach /.env.anthropic, /.env, /.env-sample, /.docker/laravel/app/.env.
Warum es seltsam istGing direkt auf KI-Zugangsdaten los: /.env.anthropic. Modell-API-Schlüssel stehen bei den Scannern inzwischen neben den Cloud-Schlüsseln auf dem Einkaufszettel.
attribution: unbekanntThu 12 Nov, 01:00 UTC
Detail
Kill Chain: reconnaissance → weaponization · DNA 18e39c4b41fb
WTF #2
Der entschlossenste Besucher
85.204.70.100, ein gezielt vorgehender Operator (Feindseligkeit 7.7/10), sandte 20 Anfragen an eine unserer Websites und suchte nach /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Warum es seltsam istHöchste Feindseligkeit auf der Liste; seine Kill Chain erreichte den Credential-Access.
1 Adresse sandte 3 Anfragen in der Form einer Ausnutzung von CVE-2017-9841 (/vendor/phpunit/phpunit/…), darunter 2400:6180:10:200::f6a8:4000.
Warum es seltsam istEin bekannter, benannter Exploit wird weiterhin ins Internet gesprüht; unser Rand sah ihn heute, was auch immer die Patch-Hinweise über das Jahr sagen.
attribution: unbekannt
Detail
Sondierungsfamilie: phpunit-rce
WTF #4
Gleiche DNA, andere Adressen
207.175.85.46, ein Scanner (Feindseligkeit 5.1/10), sandte 132 Anfragen an eine unserer Websites und suchte nach /.env, /.aws/.env, /.docker/laravel/app/.env, /.docker/.env.
Warum es seltsam ist11 IPs teilen einen Verhaltensfingerabdruck (DNA 18e39c4b41fb): ein Werkzeug oder ein Operator, der Adressen rotiert: 34.62.31.226, 34.78.49.147, 34.22.159.76, 34.22.204.254, 207.175.237.228 und weitere.
attribution: unbekanntThu 12 Nov, 01:00 UTC
Detail
Kill Chain: reconnaissance → weaponization · DNA 18e39c4b41fb
WTF #5
Der merkwürdigste Einkaufszettel
129.221.248.33, ein gezielt vorgehender Operator (Feindseligkeit 7.7/10), sandte 20 Anfragen an eine unserer Websites und suchte nach /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Warum es seltsam istFragte nach Dateien, nach denen fast sonst niemand fragt: /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml, /login/wordpress/wp-incl.
84.17.60.251, ein Scanner (Feindseligkeit 6.1/10), sandte 20 Anfragen an eine unserer Websites und suchte nach //wp-includes/wlwmanifest.xml, //xmlrpc.php, //blog/wp-includes/wlwmanifest.xml, //web/wp-includes/wlwmanifest.xml.
Warum es seltsam istFeuerte 20 Anfragen in etwa 1.4 Sekunden ab.
attribution: unbekanntThu 12 Nov, 01:00 UTC
Detail
Kill Chain: reconnaissance → weaponization · DNA dfef4501b216
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
291claims, 7 days
49of 277 groups active
N0n94 this week · surging
Climax Inc17 this week · new
Vortex14 this week · new
SurgingN0n — 94 claims in 7 days against 28.0 expected from its own prior rate (p < 0.001)
Surginginterlock — 12 claims in 7 days against 1.2 expected from its own prior rate (p < 0.001)
Surgingmetaencryptor — 9 claims in 7 days against 1.1 expected from its own prior rate (p < 0.001)
SurgingBlack X — 3 claims in 7 days against 0.5 expected from its own prior rate (p = 0.014)
SurgingSilentRansomGroup — 8 claims in 7 days against 3.2 expected from its own prior rate (p = 0.016)
SurgingBYOD — 6 claims in 7 days against 2.6 expected from its own prior rate (p = 0.049)
UpEducation — 1.4× its own prior share (49 claims, 34 expected)
DownAgriculture and Food Production — 0.5× its own prior share (20 claims, 38 expected)
DownProfessional Services — 0.8× its own prior share (126 claims, 151 expected)
29% of claims carry no sector label.
Brand churn
Of the 239 leak-site brands first seen since 2021-09-30, 75% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 37% made at least half their claims in their first week. New brands this month: 8 — newest: Curious Worm (2026-11-11, 9 claims), osiris (2026-11-11, 8 claims), Climax Inc (2026-11-10, 17 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.3× every other brand's share); N0n put 28% of its claims on Transportation (6.2× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.2× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 2 of 196 claims at weekends and half its claims in 12:00–13:59 UTC; half of thegentlemen's claims appeared in 06:00–09:59 UTC. Leak sites overall are 34% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–20:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§8
Kolophon
Wie diese Ausgabe entstanden ist – unverblümt.
Ausgabe 46 wurde von einer Maschine erstellt und per Code geprüft. Jeder Beitrag, den 13 öffentliche Threat-Feeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlichten (763 Beiträge), wurde vollständig gelesen: Statistiken werden im Code berechnet, jeder Ausschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus synthetisiert. Anschließend hat Claude Opus die Zeitung redigiert. Jede Geschichte nennt die Beiträge, auf denen sie beruht; Geschichten, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung verworfen (heute 0). Prognosen werden in späteren Ausgaben öffentlich bewertet. „Von unserem Rand“ sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: 1.26 $. Sie wird maschinell in der Stimme von ScottG geschrieben, dem Autor von Everything Is Probably Fine, und niemand hat sie von Hand redigiert, was entweder der Sinn der Sache oder das Problem ist.
763items read
24hour window
$1.26cost of this edition
05:05 UTCgenerated
Quellen von heute Morgen
ThreatFox175ok
Telegram126ok
Security news115ok
NVD100ok
infosec.exchange80ok
Signal Atlas51ok
RansomLook35ok
RSS25ok
ransomware.live24ok
AlienVault OTX15ok
atlas14ok
signal:ioc-family2ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 763|SOURCES: 13|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $1.26|STATUS: NICHT BESONDERS IN ORDNUNG
OWNER: die Maschine|EDITOR: die Regeln|CALLS OPEN: 3|NEXT REVIEW: morgen 06:00 UK