С июня 2026 года один злоумышленник атаковал WordPress и коммутаторы ZyXEL в десятках стран

Наблюдение велось через сеть сенсоров-приманок, которые имитируют уязвимые серверы и сетевое оборудование. Подход позволяет изучать инструменты и поведение атакующего, не дожидаясь официального расследования на стороне пострадавшей организации. Активность с 7 мая 2026 года связана, по оценке наблюдателей, с одним субъектом угроз. График работы и множество комментариев на китайском языке внутри самодельных скриптов указывают на носителя этого языка. Работает он, вероятно, в часовом поясе UTC+8. Тот же управляющий сервер, то же семейство вредоносных программ и эксплуатация платформы Gitea в июле связывают его с группировкой Red Heron, о которой ранее писала компания Acronis.

По данным GreyNoise, часть инструментов злоумышленник создавал с помощью большой языковой модели. Между версиями одного скрипта логика почти не менялась, но оформление и имена переменных переписывались заново. Для человека такая работа бессмысленна, для генеративной модели - привычна. Быстрая смена версий и правки, не влияющие на результат, усиливают эту версию.

Отдельного внимания заслуживает атака на коммутаторы ZyXEL серии GS1900. Такие устройства компании ставят в офисах и небольших центрах обработки данных. 17 августа злоумышленник применил уязвимость CVE-2026-7273 и выкачал конфигурации, сетевые сведения и хешированные учётные данные с 996 устройств. Это первое публично документированное применение уязвимости в реальных атаках. В каталог известных эксплуатируемых уязвимостей агентства по кибербезопасности и защите инфраструктуры США (CISA) она на тот момент не входила. При этом 564 коммутатора из 996 работали с заводскими паролями, которые никто не менял. Вредоносный инструмент написали на языке Python и намеренно запутали коммерческим упаковщиком. В скрипте осталась ссылка на старую версию упаковщика, и это упростило разбор.

Больше всего пострадавших - среди сайтов под управлением WordPress. С 20 июля злоумышленник начал применять цепочку из двух уязвимостей, CVE-2026-63030 и CVE-2026-60137. За две недели он получил доступ к 49 организациям в 29 странах. Основная доля жертв - малый бизнес и государственные структуры Германии, Колумбии, Швейцарии, Бразилии, Японии, Польши, Великобритании. Среди пострадавших оказалось и российское государственное учреждение на подконтрольной России территории Украины.

Кража данных из ведомства заняла несколько часов. Сначала атакующий закрепился на сайте через скрытую программу для удалённого управления. Затем он выгрузил таблицу пользователей и получил доступ к 13 администраторским учётным записям. Дальше появилась новая учётная запись, оформленная как служебный адрес организации. Дату её регистрации злоумышленник задним числом поставил на 2025 год, чтобы она не выделялась в истории. На следующем этапе он собрал сведения о сервере и нашёл в конфигурационных файлах пароли к внутренней базе данных. Ещё через час записи ушли наружу. Спустя минуты начался автоматический перебор паролей по внутренним системам.

Инструменты злоумышленника заслуживают отдельного описания. Он подготовил более 17 вариантов скриптов. Они обходили встроенную защиту Windows от вредоносных сценариев и повышали права. С их помощью он создавал локальную учётную запись администратора и копировал учётные данные из реестра. Все действия выполнялись штатными средствами операционной системы. Собственные исполняемые файлы почти не привлекались. Сбор сведений с коммутаторов шёл иначе. Небольшой сборщик загружался на устройство по устаревшему протоколу передачи файлов. Он собирал данные и складывал их в общедоступный каталог веб-интерфейса. Оттуда злоумышленник их забирал.

Календарь атак показывает методичность. В июне целью стали межсетевые экраны PAN-OS и устройства UniFi. В июле добавились платформа FlowiseAI, ядро Linux и Gitea. В августе - коммутаторы ZyXEL, среда Nuclio и лабораторная система SENAITE LIMS. В сентябре злоумышленник переключился на среду виртуализации Proxmox VE. Между крупными эпизодами проходит от одной до двух недель. Такой темп указывает на постоянный поиск свежих уязвимостей и готовность быстро менять инструменты. Часть использованных уязвимостей на момент публикации ещё не попала в каталоги обязательного устранения.

Для организаций вывод прост. Регулярно обновляйте системы управления сайтами и их расширения. Меняйте заводские пароли на сетевом оборудовании сразу после установки. Закрывайте панели администратора от внешнего доступа и включайте двухфакторную аутентификацию. Следите за появлением новых учётных записей с правами администратора. Храните пароли к базам данных в защищённом виде, а не открытым текстом в конфигурации. Сочетание доступного из интернета оборудования, заводских паролей и неисправленных уязвимостей даёт атакующим наилучшие шансы. Один человек способен нанести ущерб сотням организаций одновременно.