חוקרי SOCRadar פרסמו ניתוח של קמפיין של שחקן בשם CyberXero, מתווך גישה ראשונית (IAB) דובר רוסית ובעל מניע כספי, שמשלב כלי תקיפה רגילים עם סוכני בינה מלאכותית. הקמפיין עדיין פעיל לפי הדוח.
הפרטים
לפי SOCRadar, הקבוצה פעילה לפחות מיולי 2026. היא מריצה קמפיין אוטומטי רחב נגד אתרי וורדפרס ומסחר אלקטרוני, וקמפיין ממוקד נגד גופי אנרגיה ותשתיות באוקראינה. החוקרים מאשרים גניבת נתונים מארבעה ארגונים אוקראיניים, מעל 628 אלף רשומות הקשורות לאנשים, וכן פריצות בפולין, סין והולנד, ובהן שני גופים סיניים דרך שרתי Redis חשופים.
החוקרים מצאו ספרייה פתוחה בשרת של התוקפים, ובה לוגים של סשנים עם Claude Code. לפי הלוגים, התוקפים פתחו סשנים חדשים עם מסגור של "בדיקת חדירה מורשית" כדי לעקוף סירובים, אך המודל עדיין סירב לכמה משימות, כולל התקנת דלת אחורית והשבתת חומת אש. בהרצה אוטומטית אחת נסרקו 4,708 יעדים, נפתחו 429 פאנלי ניהול של וורדפרס והותקנו 32 web shells תוך 61 שניות. כל הפרטים לפי דוח SOCRadar ולא אומתו באופן עצמאי.
נקודות לשים לב
- אם אתה מפעיל וורדפרס, Magento או PrestaShop, חפש משתמשי מנהל שלא יצרת, ו-web shells מסוג WSO.
- בשרתי Redis חשופים לאינטרנט, בדוק את
~/.ssh/authorized_keysלחיפוש מפתחות שלא הוספת, וסגור את החשיפה. - הלקח אינו שהמודל "פורץ לבד": הסירובים חלקיים וניתנים לעקיפה בהנדסת הקשר, אבל המהירות והקנה מידה של התקיפה עולים.
- נקודת הכניסה הייתה פגיעויות ידועות, לכן עדכן רכיבי וורדפרס ותוספים.
מקורות: SOCRadar · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
