Siti WordPress colpiti in una campagna di accesso assistita da AI

I siti WordPress sono stati un obiettivo importante in una campagna di initial access assistita da AI che, secondo SOCRadar, ha combinato sfruttamento automatizzato, reconnaissance manuale e strumenti di attacco commodity contro obiettivi web e infrastrutturali.

SOCRadar ha attribuito l’attività a CyberXero, un initial access broker russofono, motivato finanziariamente, ritenuto attivo almeno da luglio 2026. La campagna aveva due filoni: un’ampia attività automatizzata contro piattaforme WordPress ed e-commerce, e un’attività più selettiva contro organizzazioni ucraine del settore energetico e delle infrastrutture critiche. Secondo SOCRadar, l’attività è in corso.

La campagna globale focalizzata sui siti web ha preso di mira debolezze WordPress note, tra cui wp2shell, tracciata come CVE-2026-63030 e CVE-2026-60137, e CVE-2026-4815, una falla di SQL injection nel plugin Support Board WordPress. SQL injection significa che un sito web vulnerabile può essere indotto a inviare comandi database non previsti, che possono esporre o modificare informazioni archiviate. SOCRadar ha affermato che la campagna era costruita per ottenere accesso e dati di pagamento da sistemi WordPress ed e-commerce.

SOCRadar ha detto di aver scoperto l’operazione dopo aver identificato una open directory esposta su 46.21.250[.]135. Una open directory è una cartella accessibile via web che può esporre file se non è adeguatamente limitata. Secondo quanto riferito, la directory ha rivelato l’area di lavoro live dell’operatore per una workstation Linux, inclusi log di sessioni AI, script contenenti token in plaintext, strumenti di exploitation, output di reconnaissance, impostazioni di AI agent e dati esfiltrati delle vittime. I token in plaintext sono valori segreti di accesso archiviati in forma leggibile, che possono peggiorare una compromissione se vengono copiati.

L’impatto confermato descritto da SOCRadar include exfiltration da quattro organizzazioni ucraine, con più di 628.000 record collegati a persone ucraine raccolti. L’azienda ha anche riportato compromissioni confermate in Polonia, Cina e Paesi Bassi. Un’esecuzione automatizzata ha scansionato 4.708 obiettivi, confermato l’accesso a 429 pannelli di amministrazione WordPress e distribuito 32 web shell in 61 secondi. Una web shell è un piccolo file malevolo collocato su un sito web in modo che un attaccante possa eseguire comandi attraverso il sito.

SOCRadar ha descritto la configurazione di attacco come otto nodi separati, inclusi la workstation Linux dell’operatore, un server di provisioning, infrastruttura di monetizzazione, server di staging dei payload e uno scanner usato per identificare gli obiettivi. In termini semplici, la configurazione separava il lavoro di trovare siti, preparare file di attacco, predisporre payload e trasformare l’accesso in valore.

Il componente AI è ciò che rende questo caso rilevante per i proprietari di siti web e i team IT. SOCRadar ha affermato che CyberXero ha usato Claude Code di Anthropic con un cluster di 51 agent specializzati per scanning, chaining di exploit, reconnaissance e attività di post-exploitation sulla workstation principale dell’operatore. Ha anche collegato PentAGI, un AI agent open-source self-hosted per penetration testing autonomo, a Cobalt Strike tramite un’API di un provider AI. Cobalt Strike è uno strumento legittimo di red team che viene anche spesso abusato per accesso e controllo non autorizzati.

SOCRadar ha riferito che l’operatore ha cercato di aggirare i rifiuti del model cambiando il contesto delle sessioni e riavviandole, presentando le attività come un penetration test autorizzato su infrastruttura di proprietà. L’azienda ha detto che alcuni rifiuti hanno comunque retto: in quattro tentativi, il model ha rifiutato richieste di installare una backdoor, disattivare un firewall, muoversi lateralmente e distribuire una web shell. In un altro episodio, ha rifiutato uno scan quattro volte e ha respinto un token di proprietà falsificato.

La stessa segnalazione ha anche descritto l’exploitation di server Redis esposti, che ha portato a violazioni di due entità cinesi. Redis è un data store in-memory spesso usato dalle applicazioni per l’accesso rapido ai dati. SOCRadar ha consigliato alle organizzazioni che eseguono WordPress, Magento o PrestaShop, o che espongono Redis a internet, di controllare la presenza di account amministratore WordPress non autorizzati, WSO web shell e voci inattese in ~/.ssh/authorized_keys sugli host Redis. Il file authorized_keys controlla quali chiavi SSH possono effettuare il login a un account server.

SOCRadar ha descritto separatamente un’altra operazione di cybercrime, chiamata Operation Master, che ha compromesso reti aziendali, rubato database di clienti e fatturazione, offerto parte dei dati su forum underground e riutilizzato i dati in una piattaforma automatizzata di invoice fraud. Tra aprile e metà settembre 2026, l’operatore è stato osservato mentre scansionava gateway Palo Alto Networks PAN OS GlobalProtect e sfruttava CVE-2026-0257. La stessa attività ha sondato endpoint SonicWall SMA VPN, Fortinet, Keycloak, Microsoft Exchange e Next.js-on-IIS.

Operation Master includeva anche API reconnaissance usando documentazione pubblica per sviluppatori e pacchetti software, SQL injection automatizzata contro applicazioni web SaaS brasiliane, di customer relationship management, supporto, istruzione e finanza, e tentativi di ASP.NET __VIEWSTATE SQL injection contro 21 organizzazioni finanziarie. SOCRadar ha anche elencato l’exploitation o l’uso di CVE-2022-28368 in Dompdf, CVE-2023-7028 in GitLab, CVE-2021-4034, CVE-2024-1086 e CVE-2020-1938. L’operatore ha anche preso di mira tenant Microsoft 365 con device-code phishing e password spraying, e ha eseguito brute force su pagine di login WordPress collegate a imprese giapponesi usando un dizionario di quattro nomi utente e 66 password.

Dopo l’ingresso, SOCRadar ha detto che Operation Master ha usato strumenti tra cui GodPotato, Kerberoast, AS-REProast, Evil-WinRM, DNS tunneling, rclone, SFTP e AdaptixC2. DNS tunneling nasconde lo spostamento di dati dentro il traffico DNS, mentre rclone e SFTP possono essere usati per copiare file da un sistema a un altro. Il motore di invoice fraud ha generato più di 2,4 milioni di messaggi email, SMS e WhatsApp e 622.666 link di fattura personalizzati rivolti a consumatori e aziende brasiliani prima di andare offline a metà settembre. SOCRadar ha affermato che la piattaforma ha registrato 169.906 interazioni con gli obiettivi, potenzialmente portando a R$38,9 milioni in fatture fraudolente, mentre i link brevi con tracciamento dei clic rappresentavano un valore cumulativo di fatture pari a R$150,4 milioni.

Per i proprietari di siti, la lezione pratica non è che ogni attacco abbia bisogno di AI esotica per riuscire. L’attività segnalata si basava in larga misura su debolezze familiari: componenti WordPress non aggiornati, servizi esposti, difese di login deboli, VPN esposte a internet e credenziali rubate o scarsamente protette. Gli AI agent possono accelerare scanning, exploit chaining e generazione di codice, ma i punti di ingresso descritti da SOCRadar sono ancora gli stessi tipi di sistemi che le aziende devono già mantenere.

Per i lettori che gestiscono siti WordPress, AEU Hosting è rilevante perché è managed WordPress hosting, protetto end to end, che corrisponde direttamente al tipo di ambiente web preso di mira in questa campagna.

Le priorità immediate sono applicare patch al software e ai plugin del sito, rimuovere l’esposizione internet non necessaria, controllare gli account amministratore e cercare file o access keys non familiari.