Исследователи обнаружили открытую рабочую директорию Linux на платформе Hunt.io, которая раскрыла детали массовой эксплуатации веб-сайтов в июне 2026 года. Оператор атаковал более 440 тысяч уникальных сайтов, используя свыше двух десятков уязвимостей, преимущественно в плагинах WordPress. 25 195 ресурсов получили подтверждённые или высоковероятные признаки компрометации. Атаки затронули также Joomla, PrestaShop, Craft CMS, Magento и другие системы.
Описание
Внутри директории сохранились списки целей, сгенерированные через сервис FOFA, сценарии для эксплуатации уязвимостей, загруженные на атакованные серверы PHP-файлы, коллекции полученных веб-шеллов, история выполнения команд (около 2000 строк) и инструменты для работы после взлома. Всего зафиксировано 18 прогонов сканеров, которые породили более 850 тысяч записей об атаках. Как показали эти файлы, оператор выстроил повторяемый рабочий процесс: сбор целей, проверка вектора загрузки файла или выполнения кода, размещение PHP-маркера, его верификация, замена на полноценный веб-шелл и возврат к скомпрометированным системам для кражи учётных данных и закрепления.
Основные усилия были сосредоточены на WordPress-экосистеме. Самое большое число подтверждённых взломов принесла атака на плагин Breeze Cache (уязвимость CVE-2026-3844). Она позволила загрузить на сервер жертвы PHP-файл с удалённого адреса через AJAX-запрос. Из 27 879 уникальных сайтов в группе целей 17 064 дали однозначное подтверждение успешного выполнения кода. Следом идут плагины ThemeREX Addons (CVE-2026-1969) с 3378 подтверждёнными сайтами, Custom CSS JS & PHP (CVE-2026-6433) - 452, BerqWP (CVE-2025-7443) - 368 и WavePlayer (CVE-2025-12057) - 261.
Часть уязвимостей использовалась для установки вредоносных плагинов целиком. Например, через тему Alone (CVE-2025-5394) и цепочку GutenKit/Hunk загружались ZIP-архивы, содержащие скрытые шеллы. В архиве xs.zip находился компактный PHP-интерпретатор команд, который размещал копии в нескольких директориях. Другие кампании, такие как атака на Ninja Forms (CVE-2026-0740) и Simple File List (CVE-2025-34085), также дали десятки и сотни валидированных взломов. В случае с Simple File List загрузка PNG-файла с последующим переименованием в PHP позволила оператору извлечь wp-config.php, данные о пользователях и внутренних IP-адресах.
Для закрепления в скомпрометированных системах применялись три типа веб-шеллов. Первый - down.php, мощный обфусцированный инструмент с функциями управления файлами, выполнения команд, обхода антивирусов и EDR, сканирования портов и работы с MySQL. Второй - шелл, совместимый с протоколом Godzilla, использующий шифрование и сессионные данные. Третий - скрытая панель с паролем GQxcpCNmqW, маскирующаяся под ответ 404. Типичные пути размещения включали /wp-content/uploads/.bd.php и /wp-content/uploads/.wp-log.php.
В истории терминала оператора обнаружены команды на упрощённом китайском языке, такие как "域名去重" (дедупликация доменов) и "随便找一个Breeze域名" (найти любой Breeze-домен). Это указывает на китайскоговорящего исполнителя. Дополнительным свидетельством служит использование сервиса FOFA для сбора целей и установка VShell (SNOWLIGHT) - инструмента удалённого доступа, часто применяемого китайскими группировками. Сам оператор установил VShell на свою VPS, что говорит о глубоком знакомстве с этой экосистемой. В сценариях массовой эксплуатации также обнаружены следы использования генерации кода с помощью искусственного интеллекта.
Активность продолжалась с 11 по 21 июня 2026 года. Владельцам сайтов, особенно работающим на WordPress, рекомендуется проверить наличие подозрительных файлов по указанным путям, обновить все плагины из списка уязвимых и отслеживать исходящие соединения на IP-адрес 137.175.93[.]126 и домен xs.xxooonline.eu[.]cc.
Индикаторы компрометации
