Ein täglicher Feldbericht über Dinge, die wahrscheinlich in Ordnung sind
No. 49·Sonntag 15 November 2026·Erscheint 06:00 UK·Fine-Anzeige 3/5: Nicht in Ordnung, aber überlebbar
Aufmacher · Schwachstellen
Das Sicherheits-Gateway war der Einstieg, und der Proof-of-Concept ist nun öffentlich
Die CISA hat Check Points CVE-2026-123039 in den KEV-Katalog aufgenommen; binnen Stunden berichtete die Presse darüber, und ein funktionsfähiger Exploit machte auf Telegram die Runde.
Konfidenz0.85
So unangenehm sieht die Lage aus: Angreifer verschafften sich über die PHP2Shell-Schwachstellen Erstzugriff auf ungepatchte Check-Point-Security-Gateways und nutzten dann CVE-2026-123039, eine fehlerhafte Rechtevergabe im Gaia OS, um Root-Rechte zu erlangen, eine Hintertür namens TSGA zu installieren und Dateien auf VMware-ESXi-Hosts zu löschen. Check Point hat Notfall-Hotfixes bereitgestellt und gibt an, die Ausnutzung laufe seit Ende Oktober; einem Bericht zufolge begannen die Angriffe am 30. Oktober. Das Gerät, das man gekauft hatte, um sich um das Feld dahinter nicht kümmern zu müssen, erwies sich als Tor, Schlüssel und Türsteher zugleich.
Der zeitliche Ablauf ist der Teil, über den Verteidiger nachdenken sollten. Die CISA listete die Lücke am 13. November, die Fachpresse berichtete etwa acht Stunden später, und noch am selben Abend verlinkte ein Telegram-Exploit-Kanal einen GitHub-Proof-of-Concept für CVE-2026-123039. Der Katalogeintrag ist ein öffentliches Artefakt. Er sagt Ihrem Change Advisory Board, dass etwas ausgenutzt wird, und er sagt jedem mit einem Scanner und einem freien Wochenende, auf welches Produkt er ihn richten soll – und nur eine dieser beiden Parteien hat ein Wartungsfenster.
Unabhängig davon beschreibt ein am selben Morgen veröffentlichter ESXi-Bericht eine Umgebung, die binnen zehn Tagen auseinandergenommen wurde: vier ESXi-Hosts, beide vCenter-Server, jede virtuelle Maschine. Niemand hat diese Untersuchung mit der vorliegenden Kampagne in Verbindung gebracht, und wir werden nicht so tun, als wäre es anders. Wer jedoch Check-Point-Gateways betreibt, sollte heute ehrlicherweise in dieser Reihenfolge vorgehen: erst die Hotfixes einspielen, dann die Hypervisoren prüfen – denn dem Wiper ist es gleichgültig, ob man Backups der Backups hatte.
Warum es wichtig istGaia jetzt patchen, dann auf Gateways nach TSGA und Webshell-Persistenz suchen und ESXi sowie vCenter auf Dateizerstörung prüfen, denn der Exploit ist keine Mangelware mehr.
Der KEV-Eintrag ist keine Warnung an Verteidiger. Er ist eine Leseliste für alle anderen, am selben Morgen veröffentlicht, und die lesen schneller als Ihr Change-Gremium.
— Sturgeon's Revelations · Probably Fine Daily No. 49
Jeden Morgen06:00 UK
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§2
Schlagzeilen
Der Rest der letzten 24 Stunden – mit Belegen.
Schwachstellen
Drei weitere Einträge im KEV – und 19 Server, die den Hotfix bereits eingespielt hatten
Neben dem Check-Point-Eintrag nahm die CISA UnrealIRCd CVE-2026-114713 auf, eine Schwachstelle bei der Neutralisierung von Trennzeichen mit einem CVSS-Wert von 8,6, die es jedem Nutzer in einem Netzwerk mit zwei oder mehr verbundenen Servern erlaubt, Befehle mit Serverautorität einzuschleusen, außerdem eine Path-Traversal-Lücke in WSO2 mit Remotecodeausführung (CVE-2026-5430) und eine Schwachstelle durch fehlerhafte Autorisierung in Adobe Commerce und Magento (CVE-2026-71362). Im selben Zeitraum teilte N-able mit, Angreifer hätten über die Schwachstellen 4EverAble2Shell und Agent2Shell 21 N-central-Server infiziert, von denen 19 mit Hotfix 2 liefen; das Unternehmen schränkt nun bestimmte Funktionen und Integrationen ein. Und Microsoft bestätigte, dass die November-Updates Aktivierungsfehler mit dem Code 0x80041008 verursachen und den Druck komplexer Dokumente beeinträchtigen können.
Warum es wichtig istDrei KEV-Einträge sind vor Montag zu sichten – und ein anschauliches Beispiel dafür, warum „Wir haben den Hotfix eingespielt“ ein Zwischenstand ist und kein Ergebnis.
324 Bekennungen in sieben Tagen, und drei Gruppen veröffentlichen im Stapel wie bei einem Serienbrief
Das Veröffentlichungsmuster ist ebenso wichtig wie das Volumen: pixelleaks stellte am 13. November vierzehn Opfer mit identischen Zeitstempeln ein, die Fristen für die vollständige Veröffentlichung der Daten waren für den 16., 17. und 18. November vorab terminiert; Play veröffentlichte neun, und N0n listete eine Mischung aus großen westlichen Marken und anonymisierten, nummerierten Firmen in Äthiopien, Katar und Botswana, mehrere davon noch unbestätigt. Qilin wiederum listete die York University, die Oral Roberts University und die University of Texas at Arlington, die separat bestätigt hat, dass bei einem Cyberangriff personenbezogene Daten entwendet wurden.
Warum es wichtig istGeht Ihr Prozess zur Benachrichtigung von Betroffenen davon aus, dass Bekennungen einzeln eintröpfeln, wird er einen Stapel von vierzehn übersehen, der in derselben Minute samt laufendem Countdown veröffentlicht wird.
Die bösartige Erweiterung kam über den Marktplatz, die Zugangsdaten vom KI-Anbieter
Cursor hat einen Einbruch bestätigt, bei dem Angreifer mit Zugangsdaten, die beim KI-Infrastrukturanbieter Fireworks AI gestohlen worden waren, über den Marktplatz eine bösartige Claude-Code-Erweiterung veröffentlichten. Der rote Faden ist nicht, dass die Modelle gefährlich wären, sondern dass die Entwicklerwerkzeuge drumherum inzwischen eine Lieferkette sind, für die dieselbe Hygiene gilt wie für jede andere.
Warum es wichtig istKI-Coding-Erweiterungen und ihre Marktplätze sind als Fremdcode mit Veröffentlichungsrechten auf Entwicklerrechnern zu behandeln, denn genau das sind sie.
Elf CVEs in einem WordPress-Plugin namens Security For WooCommerce, alle ohne Authentifizierung ausnutzbar
Die NVD veröffentlichte einen fortlaufenden Block, CVE-2026-123695 bis CVE-2026-123705, zu Security For WooCommerce bis Version 1.0.16, und die Liste liest sich wie eine bewusste Umkehrung des Produktnamens: Nicht authentifizierte Nutzer können Login-Token für alle Nutzer erzeugen und sich als beliebiger Nutzer anmelden, auch als Administrator, die Zwei-Faktor-Registrierung aller Konten auf einmal entfernen, die gesamten Einstellungen samt konfigurierter geheimer Schlüssel und der versteckten Login-URL auslesen, die Konfiguration auf die Standardwerte zurücksetzen und damit die individuelle Login-URL, die Zwei-Faktor-Authentifizierung, reCAPTCHA, die Passwortrichtlinie und die Firewall deaktivieren sowie einen Serverbericht mit der E-Mail-Adresse des Administrators abrufen. Ursache ist jeweils dieselbe: REST-Routen ohne Autorisierungsprüfung. Eine korrigierte Version wird nicht genannt, und die Meldung kam im Rahmen einer breiteren Welle von WordPress-Plugin-Offenlegungen, darunter Printaura, ARForms und Gravity Forms.
Warum es wichtig istWer es betreibt, sollte davon ausgehen, dass die beworbenen Schutzfunktionen derzeit für jeden mit curl optional sind, und eine Entfernung erwägen, statt auf einen Patch zu warten.
Ein Dutzend Go-cgo-Schwachstellen gemeinsam veröffentlicht: Ihr Build-Server ist die Angriffsfläche
Die NVD veröffentlichte CVE-2026-97033 bis CVE-2026-97043 am selben Tag, fast alle beschreiben dasselbe Problemmuster: Ein bösartiges Paket mit cgo kann zur Build- oder Link-Zeit beliebigen Code ausführen, und zwar über Compiler- und Linker-Flags, die in #cgo-Direktiven erlaubt sind – von --sysroot, das Compiler-Unterprogramme verlagert, über nicht vertrauenswürdige GCC-Spec-Dateien, Linker-Skripte und präparierte .syso-Objekte bis zu pkg-config-.pc-Dateien. CVE-2026-97054 fällt aus der Reihe: ein nicht synchronisierter Connection:-close-Header in net/http MaxBytesReader, der einen HTTP/1-Server zum Absturz (Panic) bringen kann. Codeausführung zur Build-Zeit bedeutet, dass die Kompromittierung auf dem Rechner mit den Signaturschlüsseln und den Registry-Zugangsdaten stattfindet, nicht auf dem, vor dem die Firewall steht.
Warum es wichtig istToolchain aktualisieren und CI-Runner wie Produktivsysteme behandeln: Alles, was nicht vertrauenswürdige Abhängigkeiten kompiliert, führt sie auch aus.
Operation Endgame nimmt 235 Server vom Netz, 354 Festnahmen auf den Marktplätzen, und das FBI legt FaceStealer lahm
Eine internationale Operation beschlagnahmte 235 Server und 257 Domains hinter Gootloader, CastleRAT und StealC, dazu rund 6,4 Millionen gestohlene Zugangsdaten von Opfern. Eine separate gemeinsame Aktion führte zur Festnahme von 354 Verdächtigen, die auf den Darkweb-Marktplätzen Archetyp, Nemesis, Tor2Door, Bohemia und Kingdom kauften und verkauften. Und das FBI gibt an, die Infrastruktur hinter FaceStealer beschlagnahmt zu haben, einer nordkoreanischen Social-Engineering-Masche, die mit gefälschten Videoanrufen per Deepfake und gestohlenen Webcam-Aufnahmen von mehr als 900 Opfern über achtzehn Monate Kryptowährung im Wert von über 400 Millionen Dollar erbeutete.
Warum es wichtig istSechseinhalb Millionen Zugangsdaten wurden beschlagnahmt, nicht aus dem Verkehr gezogen: Man sollte davon ausgehen, dass alles, was Nutzer wiederverwendet haben, bereits kursiert, und Zurücksetzungen erzwingen.
Trezor bestätigt eine zusätzliche Platine in drei Wallets, die den Bildschirm ausliest und nach Hause funkt
Trezor hat bestätigt, dass drei Safe-5-Geräte, die der ehemalige Wiederverkäufer CryptoBilis verkauft hatte, ein Hardware-Implantat enthielten: eine zusätzliche Platine, die die Wiederherstellungsphrase vom Bildschirm des Geräts abliest und über das Mobilfunknetz überträgt. Ein Fix wurde veröffentlicht, doch das Unternehmen stellt klar, dass ein Firmware-Update eine frühere Preisgabe nicht rückgängig macht. Es ist der seltene Fall, in dem das Bedrohungsmodell, das alle zeichnen und das man gern beiseiteschiebt, jenes mit dem bösartigen Wiederverkäufer, sich als Beschreibung tatsächlicher Ereignisse erwies.
Warum es wichtig istLieferkette bedeutet auch die physische Lieferkette: Die Herkunft beim Händler ist eine Kontrolle, und bei jedem von diesem Wiederverkäufer verkauften Gerät ist der Seed kompromittiert.
Der FAA-Ausfall sieht nach einem Software-Update aus, was niemand gern hören will
Behördenvertreter sagen, es gebe keine Hinweise auf einen Cyberangriff hinter dem landesweiten Startstopp der FAA, das FBI prüfe Berichten zufolge ein Software-Update; von Praktikern zitierte Berichte verweisen auf ein Update im privaten Kommunikationsnetz von L3Harris, das neu gestartet wurde und abstürzte. Der Vorfall fiel in dieselbe Woche wie ein weltweiter Ausfall von Microsoft-E-Mail, der im Fediverse Spekulationen in etwa proportional zur Zahl derer hervorbrachte, die ihren Posteingang nicht lesen konnten. Ein Zusammenhang zwischen ihnen ist nicht belegt, und sie als eine Kaskade zu behandeln, ist eine Geschichte, die wir uns erzählen, kein Befund.
Warum es wichtig ist„Kein Cyberangriff“ ist eine legitime Ursache, und Ihre Incident-Kommunikation sollte sie nennen können, ohne enttäuscht zu klingen.
Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.
Unter den Feeds: ein KEV-Eintrag, der seine eigene Berichterstattung überholt, drei Gruppen, die nach Zeitplan veröffentlichen, und ein Plugin-Block, der seinen eigenen Produktnamen ins Gegenteil verkehrt.
Exception 01
Von KEV über Presse bis zum öffentlichen PoC in weniger als einem Tag
CVE-2026-123039 erschien zuerst im KEV, etwa acht Stunden später in der Fachpresse und am selben Abend als verlinkter GitHub-Proof-of-Concept in einem Telegram-Exploit-Kanal. Die Berichterstattung bringt ihn mit PHP2Shell-Erstzugriff, der TSGA-Hintertür und dem Löschen von ESXi-Dateien in Verbindung, doch die Medien sind uneins, ob es ein echter Zero-Day war und ob Fixes den Angriffen vorausgingen.
Konfidenz0.75
Wrong if
Herstellerhinweise, die vor dem Beginn der Ausnutzung am 30. Oktober veröffentlichte Patches belegen, oder der OTX-ESXi-Zerstörungs-Pulse, der einen unabhängigen Akteur und eine andere Toolchain nennt.
Watch
Neue Ausnutzungsberichte, weitere Opfer des ESXi-Wipers und PoC-Forks in den nächsten drei bis sieben Tagen.
Synchronisierte Stapelveröffentlichung mit vorab festgelegten Fristen
pixelleaks veröffentlichte am 13. November 14 Einträge bei einem Median von 1,5 an anderen Tagen, mit identischen Zeitstempeln und für den 16. bis 18. November terminierten vollständigen Leaks; N0n veröffentlichte 10 bei einem Median von 3 und mischte große westliche Marken mit anonymisierten, nummerierten Firmen in Äthiopien, Katar und Botswana; Play veröffentlichte 9 bei einem Median von 2. Einige Einträge sind ausdrücklich noch unbestätigt, sodass der behauptete Umfang überhöht sein könnte.
Konfidenz0.60
Wrong if
Namentlich genannte Opfer wie Samsung oder Starbucks, die die Behauptungen dementieren, oder die identischen Zeitstempel, die sich als Artefakt eines Aggregators erweisen.
Watch
Ob die für den 16. bis 18. November terminierten Veröffentlichungen tatsächlich erfolgen und ob eine genannte Marke sie bestätigt.
Aggregatoren weichen um Stunden voneinander ab, ein Feed ist also keine Abdeckung
ransomware.live geht ransomlook bei denselben Bekennungen in der Regel voraus (toyokiki-thailand.com um 43,5 Stunden, N0n um 16, doommageddon um 11, endzone um 9, bravox um 4,1), und Telegram geht bei Play, Everest und Qilin oft beiden voraus. Ob das Sichtbarkeit der Bekennungen oder Abruftakt ist, lässt sich aus diesen Daten nicht unterscheiden.
Konfidenz0.55
Wrong if
Die Reihenfolge kehrt sich bei den Veröffentlichungen vom 16. bis 18. November um oder verschwindet, was auf Abruftakt statt Sichtbarkeit hindeutet.
Watch
Reihenfolge von Vorlauf und Nachlauf beim nächsten Stapel von Bekennungen.
NVD, OTX und Vexy Ransomware liefern nach 2026-11-13T14:46 keine Beiträge mehr. Ein identischer Abbruchzeitpunkt bei drei voneinander unabhängigen Quellen deutet auf eine Grenze bei Ingest oder Zeitfenster hin, nicht auf Inaktivität von Akteuren, und sollte nicht so gelesen werden, als würde jemand ruhen.
Konfidenz0.50Speculative
Wrong if
Neue NVD-, OTX- oder Vexy-Beiträge mit Zeitstempel nach dem 13. November 14:46, sobald der Ingest erneut geprüft wurde.
Nothing to seeDer Strang zu Taiwan und Halbleitern, die Länder-Signale zu zusammengesetzten Krisen und das ThreatFox-Muster der Port-Wiederverwendung beruhen auf einer einzigen Quelle oder sind rein deskriptiv. Die Erpressungsbehauptung zu einer Milliarde Datensätze bei Expedia ist unbestätigt. Der Strang zum Rücktritt von Jensen Huang liest sich wie Satire und wird auch so behandelt. Der 71-stündige Verzug zwischen NVD und Telegram bei CVE-2026-64669, 64671 und 64686 ist mit ziemlicher Sicherheit dem Abruftakt geschuldet.
Deep read: 674 Artikel gelesen
§4
Prognose
Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.
Today’s calls
DueCallConfidence
DueSun 22 Nov7d
pixelleaks veröffentlicht in den sieben Tagen bis zum 22. November mindestens fünf neue Bekennungen auf der Leak-Seite und setzt damit die für den 16. bis 18. November terminierten Veröffentlichungen der vollständigen Daten um.
Wrong ifIn diesem Zeitraum erscheinen bei ransomlook und ransomware.live weniger als fünf pixelleaks-Bekennungen.
Der Anstieg bei incransom hält an: mindestens 20 Bekennungen in den sieben Tagen bis zum 22. November, gegenüber den 7,4, die die eigene frühere Rate erwarten ließ.
Wrong ifIn diesem Zeitraum werden weniger als 20 incransom-Bekennungen erfasst.
Die Schwachstellen zur Übernahme ohne Authentifizierung in Security For WooCommerce erreichen bis zum 29. November nicht den KEV: kein Ausnutzungsbericht, kein Katalogeintrag, CVE-2026-123695 bleibt außerhalb der Liste.
Wrong ifDie CISA nimmt CVE-2026-123695 (oder eine der Nummern 123696 bis 123705) vor dem 29. November in den KEV auf.
No public vendor or CISA advisory ties the Ivanti Connect Secure exploitation chain to a specific named threat actor or ransomware group by 2026-11-12.
Called Mon 2 Nov · due Thu 12 Nov
Due date 2026-11-12 passed; no item in today's feed ties the Ivanti CVE-2026-111357 chain to a named actor or ransomware group, confirming the call that no such attribution occurred.
open
Ubuntu moves the IPv4 TCP use-after-free kernel fixes out of its opt-in testing channel into regular updates for its three newest LTS releases by 14 November 2026.
Called Wed 4 Nov · due Sat 14 Nov
No feed items mention Ubuntu kernel update channel moves for the IPv4 TCP use-after-free fixes; cannot confirm or deny.
open
IHG Hotels & Resorts does not publicly confirm the BYOD intrusion claim.
Called Thu 5 Nov · due Thu 12 Nov
Due date 2026-11-12 passed; no IHG statement or regulatory filing appears in the feeds acknowledging a BYOD intrusion, confirming the call that IHG would not publicly confirm it.
right
At least three of n0n's numbered 'Company #138-147' listings will be replaced by named victims on a leak site tracked by these feeds.
Called Sun 8 Nov · due Sun 15 Nov
By 15 November, n0n's ransomlook entries show named victims (DraftKings, LiveRamp, Female Daily Network, LEO Pharma, etc.) replacing numbered placeholders, with at least three formerly-numbered entries now named.
open
At least one of Vortex's three 12 November deadline victims (PYRAMID HEALTHCARE, ALEXION, CRESA) appears as published or leaked data on ransomware.live or ransomlook.
Called Wed 11 Nov · due Sun 15 Nov
No feed items show PYRAMID HEALTHCARE, ALEXION, or CRESA as published or leaked on ransomware.live or ransomlook by 15 November; the falsify condition (no published/leaked status) may apply but no explicit confirmation either way is present.
wrong
Inc Ransom posts fewer than 20 new leak-site claims on any single day between 12 and 18 November, confirming the 47 was a backfill rather than tempo.
Called Wed 11 Nov · due Wed 18 Nov
The tempo signal reports incransom surging with 53 claims in 7 days; individual day counts are not broken out but ransomlook shows multiple incransom postings on 13 November alone (sportsmansguide, Advantage Archives, axiscades, etc.), and the tempo signal flags a p<0.001 surge well above the <20/day threshold.
Microsoft confirms the SignDrop CLFS issue or assigns it a CVE by 27 November 2026.
Called Fri 13 Nov · due Fri 27 Nov
SecurityWeek reports 'Nightmare Eclipse Drops Windows Zero-Day Exploit SignDrop' describing CLFS abuse, confirming the technique is public; however no Microsoft CVE assignment or official Microsoft advisory is cited in the feeds yet. Due date is 2026-11-27.
Pixelleaks publishes at least one of the full data sets scheduled for 16-17 November, visible on ransomlook.
Called Sat 14 Nov · due Wed 18 Nov
Pixelleaks posted numerous entries on ransomlook dated 2026-11-13 with full data leak dates of 2026-11-16 and 2026-11-17, visible on ransomlook before the deadlines.
Qilin posts five or more new victims across the ransomware trackers, holding its position at the top of the 2026 tally.
Called Sat 14 Nov · due Sat 21 Nov
Ransomlook shows Qilin posted at least 5 new victims (York University, UT Arlington, Oral Roberts University, Leonard's Express, Wisconsin Timber Rattlers) on 2026-11-14, and darkfeed confirms Qilin leads 2026 tally at 1171.
Ein Patch, der schnell genug eingespielt wurde, um in der Incident-Zeitleiste aufzutauchen. Siehe N-able, wo 19 der 21 infizierten Server Hotfix 2 einsetzten.
§5
Von unserem Rand
Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.
Unser eigener Edge hat in den letzten 24 Stunden 99 feindliche Quellen profiliert – 52 Scanner, 42 Bot-Crawler, 3 gezielt vorgehende Akteure, 2 Brute-Forcer –, die zusammen 10.989 Anfragen schickten, von denen 36 über die Aufklärung hinaus in tatsächliche Ausnutzungsversuche übergingen. Neuntausendeinhundertsiebenundsiebzig Adressen aus 127 Ländern berührten uns, 4.932 davon heute zum ersten Mal. Vierzehn verschiedene Adressen teilten einen Verhaltensfingerabdruck – also ein Werkzeug oder ein Akteur mit rotierenden IPs und, was das Marketing auch behaupten mag, keine vielfältige Bedrohungslandschaft. Der höchste Feindseligkeitswert, 8,2 von 10, ist weniger interessant als 35.195.245.38, das in rund sechs Zehntelsekunden 187 Anfragen auf /.env, /api/.env, /backend/.env und /laravel/.env abfeuerte, oder die zwei Adressen, die uns heute noch immer mit CVE-2017-9841-phpunit-Pfaden beschießen, egal welches Jahr die Patch-Notes meinen. Die Rohlogs haben das System nie verlassen; nur die Befunde.
99profilierte feindliche Quellen
10.989Anfragen von ihnen
36bis zur Ausnutzung gelangt
14Cluster mit gemeinsamer DNA
8,2/10höchste Feindseligkeit
9.177Adressen an unserem Edge
4.932heute erstmals gesehen
127Länder
Die WTF-Liste
WTF #1
Der hartnäckigste Besucher
2400:6180:100:d0:0:1:c39d:c001, ein Scanner (Feindseligkeit 6,9/10), schickte 30 Anfragen an eine unserer Websites und suchte nach /.aws/credentials, /.aws/config, /.env.aws, /.docker/config.json.
Warum es seltsam istHöchste Feindseligkeit auf der Liste; seine Kill Chain erreichte die Ausnutzung.
attribution: unbekanntSun 15 Nov, 05:00 UTC
Detail
Kill Chain: Aufklärung → Waffenbereitstellung → Ausnutzung · DNA 851a17b90a85
WTF #2
Gleiche DNA, andere Adressen
45.148.10.14, ein Scanner (Feindseligkeit 6,7/10), schickte 666 Anfragen an eine unserer Websites und suchte nach /.docker/laravel/app/.env, /.env.config, /.env.copy, /.env.bkp.
Warum es seltsam ist14 IPs teilen einen Verhaltensfingerabdruck (DNA dfef4501b216): ein Werkzeug oder ein Akteur mit rotierenden Adressen: 54.203.154.170, 34.80.2.173, 172.213.26.234, 20.106.103.160, 20.205.56.255 und weitere.
attribution: unbekanntSat 14 Nov, 19:00 UTC
Detail
Kill Chain: Aufklärung → Waffenbereitstellung · DNA dfef4501b216
WTF #3
CVE-2017-9841 gegen uns versucht
2 Adressen schickten 3 Anfragen in der Form einer CVE-2017-9841-Ausnutzung (/lib/vendor/phpunit/…, /yii/vendor/phpunit/…, /zend/vendor/phpunit/…), darunter 185.177.72.9, 185.177.72.23.
Warum es seltsam istEin bekannter, benannter Exploit wird weiterhin ins Internet gestreut; unser Edge sah ihn heute, was die Patch-Notes über das Jahr auch sagen mögen.
attribution: unbekannt
Detail
Sondierungsfamilie: phpunit-rce
WTF #4
Die seltsamste Einkaufsliste
20.219.139.13, ein Scanner (Feindseligkeit 6,3/10), schickte 49 Anfragen an eine unserer Websites und suchte nach /inputs.php, /ioxi-o.php, /function/function.php, /rip.php.
Warum es seltsam istFragte nach Dateien, nach denen fast niemand sonst fragt: /inputs.php, /ioxi-o.php, /function/function.php, /rip.php, /admin.php.
attribution: unbekanntSun 15 Nov, 05:00 UTC
Detail
Kill Chain: Aufklärung → Waffenbereitstellung · DNA 83562bd8e880
WTF #5
In Eile
35.195.245.38, ein Scanner (Feindseligkeit 5,1/10), schickte 187 Anfragen an eine unserer Websites und suchte nach /.env, /api/.env, /backend/.env, /laravel/.env.
Warum es seltsam istFeuerte 187 Anfragen in etwa 0,6 Sekunden ab.
attribution: unbekanntSat 14 Nov, 19:00 UTC
Detail
Kill Chain: Aufklärung → Waffenbereitstellung · DNA ce6ecdfacbe3
§6
Tempo
Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.
324claims, 7 days
47of 277 groups active
N0n77 this week · surging
incransom53 this week · surging
thegentlemen22 this week
Surgingincransom — 53 claims in 7 days against 7.4 expected from its own prior rate (p < 0.001)
SurgingN0n — 77 claims in 7 days against 29.4 expected from its own prior rate (p < 0.001)
Surginginterlock — 13 claims in 7 days against 1.2 expected from its own prior rate (p < 0.001)
SurgingBlack X — 3 claims in 7 days against 0.5 expected from its own prior rate (p = 0.013)
Backbeast — first claim after 56 days of silence; 0 this week
UpEducation — 1.3× its own prior share (47 claims, 36 expected)
DownAgriculture and Food Production — 0.4× its own prior share (15 claims, 38 expected)
DownProfessional Services — 0.8× its own prior share (127 claims, 149 expected)
29% of claims carry no sector label.
Brand churn
Of the 239 leak-site brands first seen since 2021-09-30, 75% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 37% made at least half their claims in their first week. New brands this month: 8 — newest: Curious Worm (2026-11-11, 12 claims), osiris (2026-11-11, 8 claims), Climax Inc (2026-11-10, 17 claims).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 32% of its claims on Germany (6.2× every other brand's share); N0n put 28% of its claims on Transportation (6.2× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.3× every other brand's share). Widest spread: nightspire across 10.7 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; Deadlock released 61% of its claims on Fridays, half of them in 12:00–13:59 UTC; akira posted only 2 of 197 claims at weekends and half its claims in 12:00–13:59 UTC; half of thegentlemen's claims appeared in 06:00–09:59 UTC. Leak sites overall are 37% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 07:00–15:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers
Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.
Eine E-Mail pro Tag. Die gesamte Zeitung. Abbestellung per Mausklick.
§8
Kolophon
Wie diese Ausgabe entstanden ist – unverblümt.
Ausgabe 49 wurde maschinell erstellt und per Code geprüft. Jeder Beitrag, den 14 öffentliche Threat-Feeds in den 24 Stunden bis 05:05 Uhr britischer Zeit veröffentlichten (674 Beiträge), wurde vollständig gelesen: Statistiken im Code berechnet, jeder Ausschnitt von Claude Sonnet gelesen, die Struktur von Claude Opus synthetisiert. Anschließend redigierte Claude Opus die Zeitung. Jede Geschichte nennt die Beiträge, auf denen sie beruht; Geschichten, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung verworfen (heute 0). Prognosen werden in späteren Ausgaben öffentlich bewertet. „Von unserem Edge“ sind Live-Angriffsdaten von unseren eigenen Servern. Kosten dieser Ausgabe: 1,11 $. Sie wird maschinell im Stil von ScottG verfasst, dem Autor von Everything Is Probably Fine, und niemand hat sie von Hand redigiert, was entweder der Sinn der Sache ist oder das Problem.
674items read
24hour window
$1.11cost of this edition
05:05 UTCgenerated
Quellen von heute Morgen
ThreatFox200ok
NVD100ok
Telegram84ok
infosec.exchange77ok
RansomLook66ok
Security news53ok
Signal Atlas34ok
ransomware.live31ok
RSS10ok
AlienVault OTX7ok
CISA KEV4ok
atlas4ok
signal:ioc-family3ok
Ransomware tempo · Ninja Signal graph1ok
ITEMS READ: 674|SOURCES: 14|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $1.11|STATUS: NICHT IN ORDNUNG, ABER ÜBERLEBBAR
OWNER: die Maschine|EDITOR: die Regeln|CALLS OPEN: 3|NEXT REVIEW: morgen 06:00 UK