Sitet WordPress goditen në një fushatë për akses të asistuar nga AI

Sitet WordPress ishin një objektiv kryesor në një fushatë initial access të asistuar nga AI, për të cilën SOCRadar thotë se kombinoi shfrytëzim të automatizuar, reconnaissance manual dhe mjete sulmi të zakonshme kundër objektivave të faqeve të internetit dhe infrastrukturës.

SOCRadar ia atribuoi aktivitetin CyberXero, një initial access broker rusishtfolës dhe i motivuar financiarisht, që vlerësohet të ketë qenë aktiv të paktën që nga korriku 2026. Fushata kishte dy drejtime: një përpjekje të gjerë të automatizuar kundër platformave WordPress dhe e-commerce, dhe një përpjekje më përzgjedhëse kundër organizatave ukrainase të energjisë dhe infrastrukturës kritike. Sipas SOCRadar, aktiviteti është në vazhdim.

Fushata globale e fokusuar te faqet e internetit shënjestroi dobësi të njohura të WordPress, përfshirë wp2shell, të gjurmuara si CVE-2026-63030 dhe CVE-2026-60137, si dhe CVE-2026-4815, një dobësi SQL injection në Support Board WordPress plugin. SQL injection do të thotë se një faqe interneti e cenueshme mund të mashtrohet për të dërguar komanda të padëshiruara në bazën e të dhënave, gjë që mund të ekspozojë ose ndryshojë informacionin e ruajtur. SOCRadar tha se fushata ishte ndërtuar për të marrë akses dhe të dhëna pagesash nga sistemet WordPress dhe e-commerce.

SOCRadar tha se e zbuloi operacionin pasi identifikoi një open directory të ekspozuar në 46.21.250[.]135. Një open directory është një dosje e aksesueshme nga web-i që mund të ekspozojë skedarë nëse nuk kufizohet siç duhet. Sipas raportimit, directory zbuloi zonën aktive të punës së operatorit për një Linux workstation, përfshirë AI session logs, scripts që përmbanin plaintext tokens, exploitation tools, reconnaissance output, AI agent settings dhe të dhëna të exfiltrated të viktimave. Plaintext tokens janë vlera sekrete aksesi të ruajtura në formë të lexueshme, gjë që mund ta përkeqësojë komprometimin nëse kopjohen.

Ndikimi i konfirmuar i përshkruar nga SOCRadar përfshin exfiltration nga katër organizata ukrainase, me më shumë se 628,000 records të lidhura me individë ukrainas të mbledhura. Kompania raportoi gjithashtu komprometime të konfirmuara në Poloni, Kinë dhe Holandë. Një ekzekutim i automatizuar skanoi 4,708 objektiva, konfirmoi akses në 429 panele administrimi WordPress dhe vendosi 32 web shell në 61 sekonda. Një web shell është një skedar i vogël keqdashës i vendosur në një faqe interneti që një sulmues të mund të ekzekutojë komanda përmes faqes.

SOCRadar e përshkroi konfigurimin e sulmit si tetë nodes të veçanta, përfshirë Linux workstation të operatorit, një provisioning server, monetization infrastructure, payload staging servers dhe një scanner të përdorur për të identifikuar objektiva. Me fjalë të thjeshta, konfigurimi ndante punën e gjetjes së siteve, përgatitjes së skedarëve të sulmit, staging të payloads dhe kthimit të aksesit në vlerë.

Komponenti AI është ajo që e bën këtë rast të dallohet për pronarët e faqeve të internetit dhe ekipet IT. SOCRadar tha se CyberXero përdori Claude Code të Anthropic me një cluster prej 51 agents të specializuar për scanning, chaining exploits, reconnaissance dhe post-exploitation tasks në workstation kryesor të operatorit. Ai gjithashtu lidhi PentAGI, një AI agent open-source self-hosted për penetration testing autonom, me Cobalt Strike përmes një AI provider API. Cobalt Strike është një mjet legjitim red-team që gjithashtu keqpërdoret shpesh për akses dhe kontroll të paautorizuar.

SOCRadar raportoi se operatori u përpoq të anashkalonte refuzimet e modelit duke ndryshuar kontekstin e sessions dhe duke i rinisur ato, ndërsa i paraqiste detyrat si një penetration test i autorizuar në infrastrukturë në pronësi të tij. Kompania tha se disa refuzime megjithatë qëndruan: në katër përpjekje, modeli refuzoi kërkesat për të instaluar një backdoor, për të çaktivizuar një firewall, për të lëvizur laterally dhe për të vendosur një web shell. Në një episod tjetër, ai refuzoi një scan katër herë dhe hodhi poshtë një forged ownership token.

I njëjti raportim përshkroi gjithashtu shfrytëzim të Redis servers të ekspozuar, që çoi në shkelje sigurie të dy entiteteve kineze. Redis është një in-memory data store që përdoret shpesh nga aplikacionet për akses të shpejtë në të dhëna. SOCRadar këshilloi organizatat që përdorin WordPress, Magento ose PrestaShop, ose që ekspozojnë Redis në internet, të kontrollojnë për llogari administratori WordPress të paautorizuara, WSO web shell dhe hyrje të papritura në ~/.ssh/authorized_keys në Redis hosts. Skedari authorized_keys kontrollon cilat SSH keys mund të hyjnë në një llogari serveri.

SOCRadar detajoi veçmas një tjetër operacion cybercrime, të quajtur Operation Master, që komprometoi rrjete ndërmarrjesh, vodhi baza të dhënash klientësh dhe faturimi, ofroi disa nga të dhënat në underground forums dhe ripërdori të dhënat në një platformë të automatizuar invoice-fraud. Midis prillit dhe mesit të shtatorit 2026, operatori u vëzhgua duke skanuar për Palo Alto Networks PAN OS GlobalProtect gateways dhe duke shfrytëzuar CVE-2026-0257. I njëjti aktivitet testoi SonicWall SMA VPN, Fortinet, Keycloak, Microsoft Exchange dhe Next.js-on-IIS endpoints.

Operation Master përfshiu gjithashtu API reconnaissance duke përdorur dokumentacion publik për developer dhe software packages, SQL injection të automatizuar kundër aplikacioneve web braziliane SaaS, customer relationship management, support, education dhe financial, si dhe përpjekje ASP.NET __VIEWSTATE SQL injection kundër 21 organizatave financiare. SOCRadar listoi gjithashtu shfrytëzim ose përdorim të CVE-2022-28368 në Dompdf, CVE-2023-7028 në GitLab, CVE-2021-4034, CVE-2024-1086 dhe CVE-2020-1938. Operatori shënjestroi gjithashtu Microsoft 365 tenants me device-code phishing dhe password spraying, dhe kreu brute-force ndaj faqeve të hyrjes WordPress të lidhura me ndërmarrje japoneze duke përdorur një dictionary me katër emra përdoruesish dhe 66 fjalëkalime.

Pas hyrjes, SOCRadar tha se Operation Master përdori mjete përfshirë GodPotato, Kerberoast, AS-REProast, Evil-WinRM, DNS tunneling, rclone, SFTP dhe AdaptixC2. DNS tunneling fsheh lëvizjen e të dhënave brenda DNS traffic, ndërsa rclone dhe SFTP mund të përdoren për të kopjuar skedarë nga një sistem në tjetrin. Invoice-fraud engine gjeneroi më shumë se 2.4 milionë mesazhe email, SMS dhe WhatsApp, si dhe 622,666 lidhje faturash të personalizuara të drejtuara ndaj konsumatorëve dhe kompanive braziliane para se të dilte offline në mes të shtatorit. SOCRadar tha se platforma regjistroi 169,906 ndërveprime objektivash, duke çuar potencialisht në R$38.9 milionë fatura mashtruese, ndërsa short links të gjurmuara me klikime përfaqësonin një vlerë kumulative faturash prej R$150.4 milionë.

Për pronarët e siteve, mësimi praktik nuk është se çdo sulm ka nevojë për AI ekzotike për të pasur sukses. Aktiviteti i raportuar u mbështet shumë në dobësi të njohura: komponentë WordPress të papërditësuar, shërbime të ekspozuara, mbrojtje të dobëta hyrjeje, VPN të ekspozuara në internet dhe credentials të vjedhura ose të mbrojtura keq. AI agent mund të përshpejtojnë scanning, exploit chaining dhe code generation, por pikat e hyrjes të përshkruara nga SOCRadar janë ende të njëjtat lloje sistemesh që bizneset duhet t’i mirëmbajnë tashmë.

Për lexuesit që përdorin site WordPress, AEU Hosting është i rëndësishëm sepse është managed WordPress hosting, i siguruar nga fillimi në fund, që përputhet drejtpërdrejt me llojin e mjedisit të faqeve të internetit të shënjestruar në këtë fushatë.

Prioritetet e menjëhershme janë të përditësohet software dhe plugins të faqes së internetit, të hiqet ekspozimi i panevojshëm në internet, të rishikohen llogaritë e administratorëve dhe të kërkohen skedarë ose access keys të panjohur.