Группировка CyberXero совмещает массовую эксплуатацию сайтов на WordPress с точечными вторжениями и продажей доступа. В списке целей - энергетика, электронная коммерция, госсектор, телеком и корпоративные сети. Пострадавших организаций больше 40, и это без учёта тысяч сайтов, прошедших через автоматику. Угроза здесь не разовый сбой, а чужой администратор в панели и выгруженные базы с рабочими токенами.
Описание
По данным компании, инфраструктура актора держится на восьми связанных узлах в трёх ASN. Работа идёт из двух конвейеров: автоматического, где инструмент перебирает сайты подряд, и ручного, где оператор развивает доступ в конкретной сети. Такое деление совпадает с разницей между тысячами затронутых сайтов и десятками адресных жертв.
Автоматический конвейер опирается на wp2shell. Это Python-пакет, который использует расхождение между проверкой и выполнением в пакетном обработчике WordPress REST API. Дальше по цепочке идут подбор SQL-инъекций, создание администратора прямо в базе, вход в панель и установка веб-оболочки семейства WSO как обычного плагина. Отчёт о срабатывании уходит в Telegram: адрес панели, учётные данные, статус оболочки. След остаётся общий для всех жертв - узнаваемый префикс в имени учётной записи и в названии каталога оболочки.
Ручной конвейер выглядит иначе. В одном эпизоде оператор прошёл слепой SQL-инъекцией, вытащил токен сброса пароля, применил PHP-десериализацию через phpggc и получил удалённое выполнение кода. После этого он выгрузил базы MySQL, MongoDB и Redis вместе с активными сессиями и API-токенами. В другом случае эксплуатация не понадобилась вовсе: в системе остался администратор с паролем по умолчанию. Такой вход дешевле любой цепочки и не требует ни одной уязвимости.
Управление держится на взломанной сборке Cobalt Strike 4.9.1: её серверы принимают зашифрованные оповещения на одном порту и выдают следующие стадии на других, вплоть до запуска PowerShell. Вредоносный сервис UpdSvc закрепляет доступ на Windows-хостах. В той же инфраструктуре оказался сервер с открытым каталогом: там лежали десятки тысяч файлов - конфигурации агентов, логи сессий, инструменты эксплуатации и выгрузки баз.
Актор быстро превращает раскрытые уязвимости в рабочие эксплойты. Для CVE-2026-4815 в Support Board 3.8.7 такой код появился меньше чем через 30 дней после публикации. В арсенале также CVE-2026-63030 и CVE-2026-60137 в WordPress и CVE-2015-1397 в Magento. Отдельный скрипт отправляет жалобы на конкурентов в URLhaus, VirusTotal и хостинг-провайдерам под видом аналитика по мошенничеству.
Что именно стоит за тысячами сайтов - разовый прогон или постоянный фон - из профиля не следует. Не установлено и то, сколько взломанных панелей ещё держат чужого администратора. Публичный разбор фиксирует приметы, но не отвечает, где заканчивается автоматическая обработка и начинается адресная работа.
В отчёте также отмечены CVE-2026-4815 в Support Board 3.8.7, CVE-2026-63030 и CVE-2026-60137 в WordPress и CVE-2015-1397 в Magento. Для первой уязвимости рабочий эксплойт появился менее чем через 30 дней после публикации, что показывает скорость подготовки атак.
Индикаторы компрометации
