Ein täglicher Feldbericht über Dinge, die wahrscheinlich in Ordnung sind
No. 47·Freitag 13 November 2026·Erscheint 06:00 UK·Fine-Anzeige 4/5: Nicht in Ordnung
Aufmacher · Jetzt ausgenutzt
Beide Ihrer Fernwartungsplattformen hatten am Donnerstag ihren Tag, und der Patch war kein Alibi
N-ables N-central wurde binnen Stunden nach Veröffentlichung eines öffentlichen Proof of Concept ausgenutzt – neunzehn der einundzwanzig kompromittierten Server liefen mit dem neuesten Sicherheitsupdate –, während sich ein wurmartiges Toolkit namens SCKit über Cloud-ScreenConnect in 288 Hosts bei 48 Organisationen ausbreitete.
Konfidenz0.86
Beginnen wir mit der Zahl, denn sie ist die ganze Geschichte: Forscher berichten von mindestens 21 kompromittierten N-central-Servern, von denen 19 das jüngste Sicherheitsupdate des Unternehmens eingespielt hatten; die Angreifer installierten dort zum Dank Kryptowährungs-Miner. Der Exploit heißt 4EverAble2Shell und kam Stunden nach Veröffentlichung des Proof of Concept live zum Einsatz. N-able nahm die Plattform nach der Offenlegung von 33 Schwachstellen vom Netz, lieferte einen Hotfix aus, schloss die Lücken ohne Authentifizierung und musste dann erneut reagieren: auf eine frische öffentliche Analyse, die Root-RCE und Windows-SYSTEM unter 2026.4.1 HF2 behauptet, was laut Unternehmen eine Nicht-Standardkonfiguration voraussetzt.
Im selben Zeitraum, und vermutlich völlig unabhängig davon, machten Angreifer cloudgehostete ScreenConnect-Panels zu einem Verbreitungsmechanismus: Ein Toolkit namens SCKit installierte von Angreifern kontrollierte Clients auf 288 Hosts bei 48 Organisationen. Es ist darauf ausgelegt, sich vom Gerät eines Kunden über die Support-Sitzung auf den Rechner des Technikers und weiter in andere verwaltete Netzwerke auszubreiten. ConnectWise erklärt, der Zugriff sei über den Missbrauch einer unabhängigen Drittanbieter-Erweiterung erfolgt, die die Authentifizierung umging; die Forscher von Blackpoint sagen, Einstiegspunkt sei eine kritische, bereits gepatchte Schwachstelle gewesen, keine neue. Zwei Hersteller, zwei Ursachen, ein und derselbe Kreis nachgelagerter Kunden.
Das Unbequeme sind nicht die Fehler. Es ist die Form: Wir haben fünfzehn Jahre lang administrative Reichweite in einer Handvoll Konsolen gebündelt, weil es effizient ist – und Effizienz ist eine Eigenschaft, die sich nahtlos auf jeden überträgt, der sich als Nächster anmeldet. Eine Endpoint-Management-Plattform ist ein Generalschlüssel, gefertigt für den Mann, der die Aufzüge wartet, und diese Woche waren gleich zwei davon in anderen Händen. Gepatcht heißt nicht sauber.
Warum es wichtig istWer ein RMM betreibt oder einkauft, hat heute die Aufgabe, auf den bereits gepatchten Servern nach Spuren zu suchen – Miner, unautorisierte ScreenConnect-Clients, neue Technikersitzungen –, statt nur die Versionsnummer zu bestätigen.
Patchen ist keine Zwangsräumung. Es ist ein Brief an einen Mieter, der bereits einen Schlüssel, ein Sofa und einen Kryptominer hat.
— Sturgeon's Revelations · Probably Fine Daily No. 47
Jeden Morgen06:00 UK
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§2
Schlagzeilen
Der Rest der letzten 24 Stunden – mit Belegen.
Schwachstellen
SignDrop: Eine Windows-Sicherheitsfunktion, zum Weg zu SYSTEM umfunktioniert – ohne CVE und ohne Patch
In dieser Woche veröffentlichter Exploit-Code, dem Forscher Abdelhamid Naceri zugeschrieben, missbraucht die Log-Authentifizierungsfunktion des Common Log File System-Treibers – im vergangenen Jahr hinzugefügt, um Angriffe zu erschweren –, um einem lokalen Nutzer SYSTEM-Rechte zu verschaffen. Es gibt keine CVE, keinen Fix, und Microsoft hat die Schwachstelle noch nicht bestätigt. Sie tauchte am selben Tag auf, an dem Microsoft bestätigte, dass die Sicherheitsupdates vom November 2026 auf Windows-11-Systemen mit dem Oktober-Vorschauupdate nicht installiert werden können, und dass Updates seit dem Oktober-Patch-Tuesday Leistungs- und Stabilitätsprobleme bei SQL Server verursachen. Ein ursächlicher Zusammenhang zwischen den dreien besteht nicht; das Expositionsfenster summiert sich ohnehin.
Warum es wichtig istLokale Rechteausweitung ist der Weg, auf dem aus einer per Phishing erbeuteten Sitzung ein Domänenproblem wird – und derzeit können Teile Ihrer Flotte die monatlichen Updates gar nicht einspielen.
The Gentlemen haben den Entwurfsordner geleert; die Tempodaten zeigen, dass N0n tatsächlich beschleunigt
Am Mittwoch veröffentlichte The Gentlemen binnen etwa acht Minuten rund fünfundzwanzig Opfer auf seiner Leak-Seite – ein japanisches IT-Unternehmen, eine nordmazedonische Bildungsbehörde, eine peruanische Bezirksgemeinde, eine kanadische Stadt, Pharma- und Ingenieurunternehmen auf vier Kontinenten –, was eine Publikationsentscheidung ist und nicht die Arbeit von fünfundzwanzig Mittwochen. Die nüchterne, härtere Zahl stammt aus der Tempoauswertung: 360 Leak-Seiten-Meldungen in sieben Tagen von 47 der 277 beobachteten Gruppen, wobei N0n auf 90 Meldungen kommt gegenüber 28,56 erwarteten aus der eigenen früheren Rate und incransom auf 54 gegenüber 7,32, beide bei p < 0,001. Zu INCs eigenen Neueinträgen gehörte eine Meldung gegen raymondjames.com, und Darkfeed behauptet einen Angriff auf ein finnisches Energieunternehmen, unverifiziert. Luna Moth ist unterdessen wieder bei Anwaltskanzleien aktiv, die beim ersten Mal nicht zahlten, und hat es nun auf Microsoft-Zugriffstokens abgesehen.
Warum es wichtig istBurst-Zahlen messen den Veröffentlichungskalender einer Gruppe; die Anstiegsstatistik zeigt, wer tatsächlich mehr arbeitet – und diese Woche sind das N0n und INC.
4.837 gestohlene GitHub-Konten, 61.764 untersuchte Repositories, und Ihre CI gibt still ihre Geheimnisse preis
Die Kampagne wfx-loot nutzte 4.837 kompromittierte GitHub-Konten, um 61.764 Repositories auszuspähen, Pull Requests zu öffnen und eine geheimnisstehlende Nutzlast einzuschleusen, die in mehr als 1.800 davon lief und Cloud-Zugangsdaten aus der CI abgriff. Sie fällt in eine Woche, in der Apify nach unbefugtem Zugriff interne Geheimnisse rotierte und OAuth-Verbindungen von Drittanbietern widerrief und in der Japans Cyber Security Cloud unbefugten Zugriff auf seine GitHub-Entwicklungsumgebung offenlegte, zurückgeführt auf eine einzige offengelegte Mitarbeiter-Zugangsdatei, bestätigt am 5. November. Die drei Fälle hängen nicht zusammen; das Ziel ist identisch.
Warum es wichtig istRotieren Sie CI-Tokens und Cloud-Schlüssel, die von Build-Runnern aus erreichbar sind, und behandeln Sie einen Pull Request eines bekannten Kontos als nicht vertrauenswürdigen Code – denn diese Woche war er es.
KI steht nun auf beiden Seiten der Rechnung: gekaperter Modellzugang, KI-geschriebene laterale Bewegung und 186 gefälschte KI-Domains
Die Google Threat Intelligence Group beschreibt LLMjacking – Angreifer kapern den Zugang von Unternehmen zu großen Sprachmodellen und versilbern fremde Rechenleistung –, während eine separate Fallstudie einen Angreifer zeigt, dessen handgetippte Befehle bei einem US-Händler scheiterten, der am nächsten Tag mit KI-generierten Skripten wiederkam und binnen Minuten laterale Bewegung erreichte. Zugleich liefern 186 täuschend ähnliche Domains für KI-Tools, Codename TypoPrompt, ClickFix-Köder und browserkapernde Erweiterungen aus; Exploit-Versuche treffen auf die triviale Authentifizierungsumgehung von GPUStack, CVE-2026-102895, in allen Versionen vor 2.2.0; Notion-Kunden-Chatprotokolle wurden durch die Fireworks-AI-Panne offengelegt, betroffen sind weniger als 1 % der Workspaces; und United Airlines hat beschlossen, Kunden die Nutzung von KI-Agenten auf ihren Konten zu untersagen, unter Verweis auf Zugangsdaten-Weitergabe und ungewollte Käufe. Unser eigener Edge sah einen Scanner, der nach /.env.anthropic fragte.
Warum es wichtig istModell-API-Schlüssel sind jetzt Zugangsdaten mit Rechnungsadresse: Inventarisieren Sie sie, begrenzen Sie ihre Rechte, und richten Sie Alarme ein wie bei Cloud-Schlüsseln.
Kritisch in mod_http2, zwölf in NetScaler, zwei in Quay, eine in Windchill und über 180 in Ihren Browsern
Apache hat CVE-2026-119618 gepatcht, eine Race Condition in mod_http2, die ein nicht authentifizierter Angreifer für Remote-Code-Ausführung auf Servern mit aktiviertem HTTP/2 nutzen kann – entdeckt, in einem Satz, der interessant altern wird, von Anthropic und Google. Citrix behob 12 Schwachstellen in NetScaler ADC, Gateway und Console, darunter eine Authentifizierungsumgehung mit der Bewertung 9,4 und einen separaten Denial-of-Service mit 9,5; Red Hat Quay trägt zwei kritische Lücken mit 9,8 und 9,9, die es einem Angreifer erlauben, private Container-Images in sämtlichen Repositories zu lesen und zu überschreiben – ganz ohne Konto, solange der anonyme Zugriff, der Standard, aktiviert ist. Hinzu kommen PTC Windchill und FlexPLM, CVE-2026-126325 mit CVSS v4 9,2; ein MongoDB-Absturz vor der Authentifizierung, CVE-2026-118383, der nur eintritt, wenn beim Failover ein nachhinkender Secondary befördert wird; und über 180 Fixes zwischen Chrome 157 und Firefox 160.
Warum es wichtig istInternetexponiertes HTTP/2, NetScaler und jede Quay-Registry mit anonymem Zugriff sind die Arbeit dieses Wochenendes; der Rest kann auf das Änderungsfenster warten, das Sie nicht bekommen werden.
Mehrere Bedrohungsakteure platzieren GSocket, ein legitimes Open-Source-Fernzugriffswerkzeug, auf kompromittierten Linux-Servern, gezielt damit der Zugriff das Schließen der ursprünglichen Lücke überdauert. Am selben Tag läuft eine aktive Kampagne, die T-SQL auf internetexponierten Microsoft-SQL-Server-Instanzen missbraucht, um Nutzlasten auszuliefern, ein Rust-basierter Linux-Kryptomining-Orchestrator namens SANSAR, der seine GPU-Nutzung gezielt verbirgt, sowie ein browserresidentes Command-and-Control-Framework namens Falcon, das vollständig in JavaScript läuft. Das Muster ist bei allen vieren dasselbe: legitime Mechanismen, keine auffällige Binärdatei, nichts, was der Patch-Bericht feiern könnte.
Warum es wichtig istSuchen Sie nach der Bereinigung eines ausgenutzten Linux-Hosts nach ausgehenden Relay-Werkzeugen und ungeklärten Prozessen – sonst haben Sie die Tür eines bewohnten Hauses repariert.
Europol beschlagnahmt Hunderte Server von Gootloader, CastleRAT und StealC – StealC zum zweiten Mal in diesem Jahr
Europol und Partner aus neun Ländern beschlagnahmten Hunderte Server und Domains hinter den Operationen Gootloader, CastleRAT und StealC; deutsche Ermittler erklärten, das neu aufgebaute StealC-Netzwerk lasse sich auf den Bulletproof-Hosting-Anbieter Virtualine zurückführen, den das FBI im Oktober beschlagnahmt hatte, unterstützt von der Polizei in Frankfurt und der niederländischen National High Tech Crime Unit. Gesondert gaben DoJ und FBI die Beschlagnahmung von 1,2 Milliarden US-Dollar in Kryptowährung bekannt, die von Binance gestohlen worden waren, sowie die Zerschlagung der „FaceStealer“-Werkzeuge; das FBI ordnete zudem einen weiteren Diebstahl von 400 Millionen US-Dollar durch Social Engineering Nordkorea-naher Akteure zu. Zwei Zerschlagungen desselben Stealers in einem Jahr: Das Geschäftsmodell wird laut ausgesprochen.
Warum es wichtig istRechnen Sie in den kommenden zwei Wochen mit Infrastrukturwechseln bei Stealer-C2; aktualisieren Sie Blocklisten, statt sich auf die des Vormonats zu verlassen.
Das Internet endet am Dienstag, das FBI-Leak enthält Beispiel-AWS-Schlüssel, und ein Telegram-Kanal rät, Telegram nicht mehr zu nutzen
Ukrainische militärnahe Kanäle und regionale russische Medien widerlegten am Donnerstag ein Gerücht, Hacker würden am 17. November die Bankkonten der Welt auf null setzen und das Internet für drei Monate abschalten; es wurde auf ein anonymes Konto in Brasilien mit 2.000 Followern zurückgeführt. Kasachstans Katastrophenschutzministerium bestätigte offiziell, dass niemand jemanden aufgefordert habe, Vorräte anzulegen. Anderswo veröffentlichte ein Kanal angebliche FBI-Waffenlizenzdaten, deren AWS-Zugangsdaten AKIAEXAMPLE123456 und wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY lauten – das Dokumentationsbeispiel, wortgleich. Und ein Telegram-Kanal veröffentlichte eine Eilwarnung, Telegram zu meiden, bis eine RCE für Desktop und Android gepatcht sei, direkt über der Werbung für ein Krypto-Casino ohne KYC.
Warum es wichtig istDie Hälfte der Telegram-Schicht Ihres Intel-Feeds ist Marketing, und es bündelt sich genauso überzeugend wie das Echte.
Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.
Unter den Feeds: ein echter Nachrichtentag, zwei unabhängige RMM-Kampagnen, die aufeinandertreffen, und ein Leak-Seiten-Schub, der überwiegend ein Veröffentlichungsplan ist.
Exception 01
RMM-Plattformen von zwei Seiten zugleich getroffen, vermutlich unabhängig voneinander
Die N-central-Ausnutzung nach einem öffentlichen PoC – einschließlich Servern mit dem neuesten Update, auf denen Miner installiert wurden – und der SCKit-Wurm, der Cloud-ScreenConnect missbraucht, tauchten im selben Zeitraum in Cyber-News, RSS, OTX und Telegram auf, wobei OTX dem Nachrichtenzyklus um etwa drei Stunden voraus war. Die Hersteller nennen widersprüchliche Ursachen: ConnectWise verweist auf eine Authentifizierungsumgehung durch eine Drittanbieter-Erweiterung, Blackpoint auf eine bereits gepatchte Schwachstelle, N-able auf eine Nicht-Standardkonfiguration. Die gemeinsame Exposition sind nachgelagerte MSP-Kunden; das gemeinsame Auftreten ist das Signal, kein nachgewiesener Zusammenhang.
Konfidenz0.70
Wrong if
Forensik, die zeigt, dass der SCKit-Zugriff aus nicht verwandtem Zugangsdatendiebstahl statt aus ScreenConnect stammte, oder dass die N-central-Ausnutzung auf den Nicht-Standardpfad beschränkt blieb, ohne dass gepatchte Hosts kompromittiert wurden.
Watch
CVE-Vergabe und ein konsolidiertes N-able-Advisory in den nächsten 24 bis 72 Stunden; weitere SCKit-Opferzahlen jenseits von 48 Organisationen.
Der Gentlemen-Schub ist Batch-Veröffentlichung, vom Aggregator verstärkt
Der Ausschlag von 82 Beiträgen am 12. November gegenüber einem Median von null an anderen Tagen spiegelt etwa 25 Leak-Seiten-Einträge in rund acht Minuten wider, danach duplizierte nachgelagerte Signale, etwa acht Stunden hinter ransomware.live. Das Volumen überzeichnet die Aktivität, und die Länder- und Branchenzuordnung in diesen Datensätzen ist so uneinheitlich, dass daraus gezogene Korrelationen zu verwerfen sind. Die eigentliche Information ist ein großer, vielfältiger, teils staatlicher Opferkreis, der auf einmal veröffentlicht wurde.
Konfidenz0.75
Wrong if
Rohe Leak-Seiten-Zeitstempel, die die Opfer über viele Stunden verteilt zeigen, oder Opfer, die nachweislich zuvor anderswo veröffentlicht wurden.
Watch
Ob die Gruppe einen weiteren Batch-Drop wiederholt und ob die genannten Opfer bestätigen.
Die Telegram-Schicht schlägt wegen Spam aus, nicht wegen Aufklärung
Mehrere der gestrigen Schübe mit fünf Beiträgen stammen von Kanälen, die Zugänge verkaufen, „Investoren“ anwerben oder ein widerlegtes Apokalypse-Gerücht wiederverwerten, darunter ein angeblicher FBI-Datensatz mit AWS-Platzhalter-Zugangsdaten. Über diese Kanäle berechnete Burst-Statistiken messen Marketingtakt, nicht Angreiferaktivität.
Konfidenz0.65
Wrong if
Unabhängige Bestätigung der FBI-Daten oder seriöse Feeds, die eine dieser Behauptungen aufgreifen.
Watch
Ob Behauptungen dieser Kanäle diese Woche in Hersteller- oder Strafverfolgungsberichten auftauchen.
Nothing to seeDie „Stille“ der NVD nach 00:21 Uhr am 12. November ist Ingest-Timing, keine echte Pause, und die hundert NVD-Einträge im Fenster tragen alle den Stempel 10. November. Die CVE-Batches von Zoho, Hitachi, Siemens und WordPress sind herstellerkoordinierte Veröffentlichungstermine, kein koordiniertes Angreiferverhalten. Die Länder-Signale der Atlas-„Verbundkrise“ – Japan, Indonesien, die Philippinen, Taiwan, Panama und andere – sind Aggregate mit geringer Konfidenz, hinter denen kein benannter Akteur steht. Mit einem einzigen Tag echter Daten kann ehrlicherweise niemand einen Trend behaupten.
Deep read: 548 Artikel gelesen
§4
Prognose
Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.
Today’s calls
DueCallConfidence
DueFri 20 Nov7d
N-able veröffentlicht bis zum 20. November 2026 ein konsolidiertes Advisory oder eine CVE-Kennung zu den Problemen 4EverAble2Shell / N-central nach dem Hotfix.
Wrong ifBis Ende des 20. November erscheint in den Feeds kein N-able-Advisory und keine CVE, die diese Probleme benennt.
No public vendor or CISA advisory ties the Ivanti Connect Secure exploitation chain to a specific named threat actor or ransomware group by 2026-11-12.
Called Mon 2 Nov · due Thu 12 Nov
Due date 2026-11-12 passed; no item in today's feed ties the Ivanti CVE-2026-111357 chain to a named actor or ransomware group.
open
IHG Hotels & Resorts does not publicly confirm the BYOD intrusion claim.
Called Thu 5 Nov · due Thu 12 Nov
Due date 2026-11-12 passed with no IHG statement or regulatory filing acknowledging the BYOD intrusion claim in any feed item.
right
At least one ransomware or extortion leak-site claim published between now and 19 November will name an MSP or its downstream customers in connection with ScreenConnect or N-central access.
Called Thu 12 Nov · due Thu 19 Nov
SCKit malware campaign explicitly targeted MSPs via ScreenConnect, with leak-site and news items naming MSP victims and the ScreenConnect platform.
Die Konfiguration, in der die Schwachstelle besteht und die – durch einen Zufall, den bislang kein Hersteller erklären konnte – genau die Konfiguration ist, mit der Ihre Umgebung seit der letzten Migration läuft.
§5
Von unserem Rand
Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.
Unser eigener Edge hatte unterdessen einen gewöhnlichen Tag, und das ist das Beängstigende: Der lokale Sensor erfasste 64 feindliche Quellen – 35 Bot-Crawler, 27 Scanner, 2 gezielt vorgehende Akteure –, die zusammen 3.200 Anfragen sendeten, von denen 29 über die Aufklärung hinaus in tatsächliche Ausnutzungsversuche gingen, über 5.965 Adressen aus 101 Ländern, 1.782 davon heute erstmals gesehen. Ein Scanner unter 34.53.218.24 (Feindseligkeit 5,4/10, 123 Anfragen) arbeitete /.env, /.aws/.env und /.docker/.env ab und fragte dann nach /.env.anthropic, was zeigt, wo Modellschlüssel inzwischen auf der Einkaufsliste stehen. Ein anderer, 34.77.241.117, feuerte in etwa 2,2 Sekunden 296 Anfragen auf zwei unserer Websites ab, fünf Adressen teilten einen einzigen Verhaltensfingerabdruck (DNA ce6ecdfacbe3, angeführt von 35.195.85.59 mit 150 Anfragen), und 206.189.217.192 sandte drei Anfragen nach dem Muster von CVE-2017-9841 gegen /vendor/phpunit/, einen neun Jahre alten Fehler, von dem dem Internet noch niemand gesagt hat, es solle es lassen. Rohlogs haben den Server nie verlassen. Nur die Erkenntnisse.
64feindliche Quellen erfasst
3.200Anfragen von ihnen
29bis zur Ausnutzung gelangt
12Cluster mit gemeinsamer DNA
7,3/10höchste Feindseligkeit
5.965Adressen an unserem Edge
1.782heute erstmals gesehen
101Länder
Die WTF-Liste
WTF #1
Auf der Suche nach Ihren KI-Schlüsseln
34.53.218.24, ein Scanner (Feindseligkeit 5,4/10), sandte 123 Anfragen an eine unserer Websites und suchte nach /.docker/laravel/app/.env, /.env, /.aws/.env, /.docker/.env.
Warum es seltsam istGing direkt auf KI-Zugangsdaten los: /.env.anthropic. Modell-API-Schlüssel stehen nun neben Cloud-Schlüsseln auf der Einkaufsliste der Scanner.
attribution: unbekanntThu 12 Nov, 18:00 UTC
Detail
Kill Chain: Reconnaissance → Weaponization · DNA 18e39c4b41fb
WTF #2
Der entschlossenste Besucher
23.99.228.58, ein Scanner (Feindseligkeit 6,7/10), sandte 84 Anfragen an eine unserer Websites und suchte nach /wp-admin/css/colors/blue/qww.php, /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /radio.php.
Warum es seltsam istHöchste Feindseligkeit auf der Liste; seine Kill Chain erreichte die Weaponization.
attribution: unbekanntThu 12 Nov, 18:00 UTC
Detail
Kill Chain: Reconnaissance → Weaponization · DNA dfef4501b216
WTF #3
Versuch von CVE-2017-9841 gegen uns
1 Adresse sandte 3 Anfragen nach dem Muster einer Ausnutzung von CVE-2017-9841 (/vendor/phpunit/phpunit/…), darunter 206.189.217.192.
Warum es seltsam istEin bekannter, benannter Exploit wird weiterhin ins Internet gesprüht; unser Edge sah ihn heute, was auch immer die Patch-Hinweise über das Jahr sagen.
attribution: unbekannt
Detail
Probe-Familie: phpunit-rce
WTF #4
Gleiche DNA, verschiedene Adressen
35.195.85.59, ein Scanner (Feindseligkeit 4,7/10), sandte 150 Anfragen an eine unserer Websites und suchte nach /.env, /.env.production.backup, /project/.env, /workspace/.env.
Warum es seltsam ist5 IPs teilen einen Verhaltensfingerabdruck (DNA ce6ecdfacbe3): ein Werkzeug oder ein Betreiber, der Adressen rotiert: 35.195.85.59, 34.62.82.207, 34.53.147.106, 45.148.10.21, 34.62.9.55.
attribution: unbekanntThu 12 Nov, 19:00 UTC
Detail
Kill Chain: Reconnaissance → Weaponization · DNA ce6ecdfacbe3
WTF #5
Die seltsamste Einkaufsliste
20.217.29.214, ein Scanner (Feindseligkeit 6,7/10), sandte 28 Anfragen an eine unserer Websites und suchte nach /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /jn.php, /awp.php.
Warum es seltsam istFragte nach Dateien, nach denen fast niemand sonst fragt: /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /jn.php, /awp.php, /er.php.
attribution: unbekanntThu 12 Nov, 18:00 UTC
Detail
Kill Chain: Reconnaissance → Weaponization · DNA dfef4501b216
WTF #6
In Eile
34.77.241.117, ein Scanner (Feindseligkeit 4,8/10), sandte 296 Anfragen an 2 unserer Websites und suchte nach /.env, /storage/.env, /opt/.env, /html/.env.
Warum es seltsam istFeuerte 296 Anfragen in etwa 2,2 Sekunden ab.
attribution: unbekanntThu 12 Nov, 18:00 UTC
Detail
Kill Chain: Reconnaissance → Weaponization · DNA f54b5889aafb
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
360claims, 7 days
47of 277 groups active
N0n90 this week · surging
incransom54 this week · surging
thegentlemen22 this week
SurgingN0n — 90 claims in 7 days against 28.6 expected from its own prior rate (p < 0.001)
Surgingincransom — 54 claims in 7 days against 7.3 expected from its own prior rate (p < 0.001)
Surginginterlock — 12 claims in 7 days against 1.2 expected from its own prior rate (p < 0.001)
Surgingmetaencryptor — 10 claims in 7 days against 1.1 expected from its own prior rate (p < 0.001)
SurgingBlack X — 3 claims in 7 days against 0.5 expected from its own prior rate (p = 0.013)
SurgingBYOD — 6 claims in 7 days against 2.5 expected from its own prior rate (p = 0.045)
UpEducation — 1.5× its own prior share (54 claims, 37 expected)
DownAgriculture and Food Production — 0.5× its own prior share (21 claims, 40 expected)
DownProfessional Services — 0.8× its own prior share (134 claims, 161 expected)
29% of claims carry no sector label.
Brand churn
Of the 239 leak-site brands first seen since 2021-09-30, 75% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 37% made at least half their claims in their first week. New brands this month: 8 — newest: Curious Worm (2026-11-11, 10 claims), osiris (2026-11-11, 8 claims), Climax Inc (2026-11-10, 17 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.3× every other brand's share); N0n put 28% of its claims on Transportation (6.2× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.2× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 2 of 196 claims at weekends and half its claims in 12:00–13:59 UTC; half of thegentlemen's claims appeared in 06:00–09:59 UTC. Leak sites overall are 36% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 09:00–17:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§8
Kolophon
Wie diese Ausgabe entstanden ist – unverblümt.
Ausgabe 47 wurde von Maschinen erstellt und von Code geprüft. Jeder Beitrag, den 12 öffentliche Threat-Feeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlichten (548 Beiträge), wurde vollständig gelesen: Statistiken per Code berechnet, jeder Ausschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus synthetisiert. Anschließend redigierte Claude Opus die Zeitung. Jede Geschichte nennt die Beiträge, auf denen sie beruht; Geschichten, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung gestrichen (heute 0). Prognosen werden in späteren Ausgaben öffentlich bewertet. „Von unserem Edge“ sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: 1,02 $. Sie wird maschinell geschrieben, in der Stimme von ScottG, Autor von Everything Is Probably Fine, und niemand hat sie von Hand redigiert, was entweder der Sinn oder das Problem ist.
548items read
24hour window
$1.02cost of this edition
05:05 UTCgenerated
Quellen von heute Morgen
Signal Atlas118ok
NVD100ok
ThreatFox100ok
Telegram64ok
Security news48ok
infosec.exchange38ok
ransomware.live35ok
atlas18ok
RSS12ok
AlienVault OTX11ok
signal:ioc-family3ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 548|SOURCES: 12|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $1.02|STATUS: NICHT IN ORDNUNG
OWNER: die Maschine|EDITOR: die Regeln|CALLS OPEN: 3|NEXT REVIEW: morgen 06:00 UK