Pesquisadores de cibersegurança divulgaram detalhes de uma campanha de acesso inicial em duas frentes, ampliada por inteligência artificial (IA), contra sites WordPress, plataformas de comércio eletrônico e organizações de infraestrutura crítica na Ucrânia.
A atividade, que combina ferramentas ofensivas amplamente disponíveis, como o Cobalt Strike, com uma camada de orquestração de IA baseada no Claude Code, da Anthropic, foi atribuída a um intermediário de acesso inicial que fala russo e busca ganhos financeiros, identificado pelo codinome CyberXero. A avaliação é que o agente de ameaça esteja ativo desde pelo menos julho de 2026.
"A operação executa dois fluxos ao mesmo tempo: uma campanha global e automatizada contra WordPress e plataformas de comércio eletrônico, e uma campanha seletiva e manual contra o setor de energia e a infraestrutura crítica ucraniana", afirmou a SOCRadar em um relatório publicado na semana passada.
A campanha global se concentra em falhas de segurança conhecidas, como wp2shell (CVE, sigla em inglês para Vulnerabilidades e Exposições Comuns, 2026-63030 e 2026-60137) e a CVE-2026-4815, uma vulnerabilidade de injeção de SQL (linguagem de consulta estruturada) que afeta o plugin Support Board para WordPress, para assumir o controle de sites.
A estimativa é que a campanha tenha resultado na exfiltração confirmada de dados de quatro organizações ucranianas e na coleta de mais de 628 mil registros relacionados a pessoas na Ucrânia. Também foram confirmadas invasões na Polônia, na China e nos Países Baixos.
A SOCRadar disse ter descoberto a operação após identificar um diretório aberto e exposto, hospedado no endereço "46.21.250[.]135", que revelou o diretório de trabalho ativo do agente de ameaça, associado a uma estação de trabalho Linux. Entre os arquivos havia registros de sessões de IA, scripts com tokens em texto simples, ferramentas de exploração, resultados de reconhecimento, configurações de agentes de IA e dados exfiltrados de vítimas. A campanha continua em andamento.
A campanha oportunista contra plataformas WordPress e de comércio eletrônico busca obter acesso e dados de pagamento. A segunda frente é bem mais direcionada e voltada ao reconhecimento aprofundado e à exploração manual de organizações ucranianas dos setores de energia e serviços públicos, incluindo uma fornecedora de aquecimento em Kharkiv.
A análise do diretório exposto mostra que uma única execução automatizada examinou 4.708 alvos e confirmou o acesso a 429 painéis administrativos do WordPress. Em seguida, 32 web shells foram instalados em um intervalo de 61 segundos.
A arquitetura do ataque se baseia em oito nós distintos, entre eles a estação de trabalho Linux do agente de ameaça, um servidor de provisionamento, uma infraestrutura de monetização, servidores para preparar cargas maliciosas e um scanner responsável por identificar alvos de interesse.
Segundo a análise, o CyberXero implantou IA em duas etapas independentes do ciclo de ataque:
- Usou o Claude Code com um conjunto de 51 agentes especializados em varredura, encadeamento de explorações, reconhecimento e atividades após a invasão. O sistema é executado na estação de trabalho principal do atacante.
- Conectou o PentAGI, um agente de IA de código aberto e hospedagem própria para testes de penetração totalmente autônomos, ao Cobalt Strike por meio de uma API (interface de programação de aplicações) de provedor de IA, para gerar cargas maliciosas e executar testes de penetração. O sistema é executado em um servidor de equipe do Cobalt Strike.
Para contornar as recusas do modelo, o agente de ameaça foi observado usando técnicas de engenharia de contexto e reinicialização de sessão. Ele instruía o agente dizendo que estava realizando um "teste de penetração autorizado na minha própria infraestrutura".
"Os controles de segurança do modelo atuam sobre o contexto de uma sessão, não sobre os pesos do modelo. Por isso, uma recusa em uma sessão não se transfere para a seguinte", explicou a SOCRadar. "Quando um agente recusava uma tarefa, o operador abria uma nova sessão, já com a justificativa de autorização carregada, e tentava novamente."
"Os registros também mostram recusas legítimas que se mantiveram: em quatro tentativas, o modelo se negou a instalar uma porta dos fundos, desativar um firewall, movimentar-se lateralmente e implantar um shell web. Em outro episódio, recusou uma varredura quatro vezes seguidas e rejeitou corretamente um token falsificado de comprovação de propriedade."
Além da exploração de WordPress e de plataformas de comércio eletrônico, a campanha também explora servidores Redis expostos, o que levou à invasão de duas entidades chinesas. Organizações que usam WordPress, Magento ou PrestaShop, ou que deixam o Redis acessível pela internet, devem verificar a existência de administradores não autorizados no WordPress, web shells WSO e entradas inesperadas no arquivo ~/.ssh/authorized_keys (arquivo de chaves autorizadas do SSH, protocolo de acesso remoto seguro) em servidores Redis.
"O fluxo oportunista é global e automatizado, e busca obter acesso em larga escala a plataformas de comércio eletrônico e WordPress, com monetização direta por meio da venda de acessos ou do roubo de dados de pagamento", afirmou a SOCRadar. "O fluxo direcionado é seletivo e concentrado geograficamente: busca reconhecimento aprofundado e exploração manual de infraestrutura crítica ucraniana, sem uma explicação evidente de monetização direta."
Operação Master mira WordPress e gateways PAN GlobalProtect
A divulgação ocorre enquanto a SOCRadar também detalhou uma operação de cibercrime de ponta a ponta, batizada de Operação Master. A ação envolve invadir redes corporativas, roubar bancos de dados de clientes e de faturamento, oferecer parte dos dados à venda em fóruns clandestinos e reutilizá-los em uma plataforma automatizada de fraude de faturas com múltiplos clientes.
Entre abril e meados de setembro de 2026, o adversário, conhecido pelo apelido "masterblack" em fóruns de cibercrime, foi observado coordenando várias campanhas de ataque:
- Varredura em massa de gateways GlobalProtect da Palo Alto Networks, que executam o PAN-OS, e exploração da CVE-2026-0257.
- Verificação de sistemas SonicWall SMA, VPNs (redes privadas virtuais) Fortinet, Keycloak, Microsoft Exchange e endpoints do Next.js em servidores IIS (Serviços de Informação da Internet, da Microsoft).
- Coleta de documentação pública para desenvolvedores e pacotes de software, incluindo especificações de APIs bancárias brasileiras, um esquema OpenAPI (especificação aberta de interfaces de programação de aplicações) do setor de energia, um pacote do cliente web 3CX e pacotes de criação de contas, como parte de atividades de reconhecimento de APIs.
- Execução de campanhas automatizadas de injeção de SQL contra aplicações web brasileiras de SaaS (software como serviço), CRM (gestão de relacionamento com clientes), suporte, educação e finanças para roubar dados confidenciais.
- Verificação de aplicações ASP.NET por meio de injeção de SQL no __VIEWSTATE, com o objetivo de atingir 21 organizações financeiras.
- Exploração da CVE-2022-28368, uma vulnerabilidade de execução remota de código que afeta o Dompdf.
- Alvos em ambientes corporativos do Microsoft 365 por meio de phishing com código de dispositivo e ataques de tentativa de senhas em massa.
- Exploração da CVE-2023-7028, uma vulnerabilidade que permite assumir contas no GitLab, para atingir instâncias do serviço pertencentes a uma empresa de energia.
- Ataques de força bruta a páginas de login do WordPress associadas a empresas japonesas, usando uma lista com quatro nomes de usuário e 66 senhas.
- Uso de ferramentas como GodPotato, Kerberoast, AS-REProast e Evil-WinRM, além de explorações como CVE-2021-4034, também conhecida como PwnKit, CVE-2024-1086 e CVE-2020-1938, também conhecida como Ghostcat, para elevar privilégios e, em seguida, movimentar-se lateralmente para sistemas próximos.
- Uso de tunelamento DNS (sistema de nomes de domínio), rclone e SFTP (protocolo seguro de transferência de arquivos) para exfiltrar dados de sistemas comprometidos.
- Instalação do AdaptixC2 para comando e controle (C2, abreviação em inglês de comando e controle).
O agente de ameaça também operou um mecanismo de fraude de faturas que gerou mais de 2,4 milhões de mensagens por e-mail, SMS (serviço de mensagens curtas) e WhatsApp, além de 622.666 links personalizados para faturas, direcionados a consumidores e empresas brasileiras. A operação saiu do ar em meados de setembro. O objetivo final da campanha era induzir as vítimas a fazer pagamentos por Pix.
A plataforma registrou 169.906 interações de alvos, que poderiam resultar em faturas fraudulentas no valor de R$ 38,9 milhões. Ao todo, os links curtos com rastreamento de cliques reuniam faturas que somavam R$ 150,4 milhões.
"Atuando em vários países, o agente de ameaça comprometeu infraestruturas de rede críticas, incluindo gateways de VPN por meio de um desvio de autenticação do GlobalProtect (CVE-2026-0257), enquanto executava, ao mesmo tempo, explorações avançadas de aplicações web, implantava a estrutura AdaptixC2 e usava um fluxo de desenvolvimento assistido por IA", afirmou a SOCRadar.
"A Operação Master evidencia uma convergência perigosa no cenário atual de ameaças: explorações de perímetro, há muito associadas à espionagem cibernética e ao ransomware, estão sendo industrializadas sistematicamente para alimentar ecossistemas automatizados e localizados de fraude financeira."
Assim como no caso do CyberXero, acredita-se que masterblack também tenha recorrido amplamente a agentes de IA baseados no Claude para desenvolver o código de invasão e os scripts de exfiltração, enquanto o operador se concentrava na criação do código do painel de fraude e de extensões personalizadas para o AdaptixC2.
"Transcrições recuperadas de recusas mostram que o operador repetidamente apresentava pedidos de desenvolvimento ofensivo como atividades autorizadas de programa de recompensa por bugs ou de teste de penetração, enquanto solicitava funcionalidades compatíveis com atividades observadas em outras partes da operação", afirmou a SOCRadar.
