Pesquisadores de cibersegurança divulgaram detalhes de uma campanha de acesso inicial em duas frentes, potencializada por inteligência artificial (IA), que tem como alvo sites WordPress, plataformas de comércio eletrônico e organizações de infraestrutura crítica na Ucrânia.
A operação combina ferramentas ofensivas de uso comum, como Cobalt Strike, com uma camada de orquestração de IA baseada no Claude Code, da Anthropic. A campanha foi atribuída ao CyberXero, um corretor de acesso inicial russofalante com motivação financeira. A avaliação é que o agente de ameaça esteja ativo desde, pelo menos, julho de 2026.
“A operação mantém dois fluxos simultâneos: uma campanha global e automatizada contra sites WordPress e plataformas de comércio eletrônico, e uma campanha seletiva e manual contra o setor de energia e a infraestrutura crítica ucraniana”, afirmou a SOCRadar em um relatório publicado na semana passada.
A campanha global explora falhas de segurança conhecidas, como wp2shell (
CVE-2026-63030
e
CVE-2026-60137
) e
CVE-2026-4815
, uma vulnerabilidade de injeção de SQL no plugin Support Board para WordPress, para assumir o controle de sites.
A campanha resultou na exfiltração confirmada de dados de quatro organizações ucranianas, incluindo mais de 628.000 registros relacionados a pessoas no país. Também foram confirmadas invasões na Polônia, na China e nos Países Baixos.
A SOCRadar afirmou ter descoberto a operação após identificar um diretório aberto hospedado em “46.21.250[.]135”. O diretório expunha o ambiente de trabalho ativo do agente de ameaça, associado a uma estação de trabalho Linux. Entre os arquivos havia registros de sessões de IA, scripts com tokens em texto simples, conjuntos de ferramentas de exploração, resultados de reconhecimento, configurações de agentes de IA e dados exfiltrados de vítimas. A campanha continua em andamento.
A frente oportunista contra sites WordPress e plataformas de comércio eletrônico busca obter acesso e dados de pagamento. A segunda frente é muito mais direcionada e tem como objetivo realizar reconhecimento aprofundado e exploração manual de organizações ucranianas do setor de energia e de serviços essenciais, incluindo uma fornecedora de aquecimento em Kharkiv.
A análise do diretório exposto indica que uma única execução automatizada examinou 4.708 alvos e confirmou o acesso a 429 painéis administrativos do WordPress. Em seguida, foram instalados 32 web shells em um intervalo de 61 segundos.
A arquitetura do ataque conta com oito nós distintos, entre eles a estação de trabalho Linux do agente de ameaça, um servidor de provisionamento, uma infraestrutura de monetização, servidores para preparação de payloads e um scanner responsável por identificar alvos de interesse.
Segundo a SOCRadar, o CyberXero empregou IA em duas etapas independentes do ciclo de ataque:
- Usou o Claude Code com um conjunto de 51 agentes especializados em varredura, encadeamento de exploits, reconhecimento e ações após a invasão. A ferramenta é executada na estação de trabalho principal do invasor.
- Conectou o PentAGI, um agente de IA de código aberto e auto-hospedado para testes de intrusão totalmente autônomos, ao Cobalt Strike por meio da API de um provedor de IA. A integração foi usada para gerar payloads e executar testes de intrusão em um servidor de equipe do Cobalt Strike.
Para contornar as recusas dos modelos, o agente de ameaça teria recorrido a técnicas de engenharia de contexto e reinicialização de sessão. Em suas instruções, afirmava estar realizando um “teste de intrusão autorizado na minha própria infraestrutura”.
“Os controles de segurança dos modelos atuam sobre o contexto de uma sessão, não sobre os pesos do modelo. Por isso, uma recusa em uma sessão não se mantém na seguinte”, explicou a SOCRadar. “Quando um agente recusava uma tarefa, o operador abria uma nova sessão, com a justificativa de autorização já incluída, e tentava novamente.”
“Os registros também mostram recusas efetivas. Em quatro tentativas, o modelo se negou a instalar um backdoor, desativar um firewall, realizar movimentação lateral e instalar um web shell. Em outro episódio, recusou uma varredura quatro vezes seguidas e rejeitou corretamente um token falsificado de comprovação de propriedade.”
Além da exploração de falhas em WordPress e plataformas de comércio eletrônico, a campanha também atacou servidores Redis expostos, levando à invasão de duas organizações chinesas. Empresas que utilizam WordPress, Magento ou PrestaShop, ou mantêm o Redis exposto à internet, devem verificar se há administradores não autorizados no WordPress, web shells WSO e entradas inesperadas no arquivo ~/.ssh/authorized_keys dos servidores Redis.
“O fluxo oportunista é global e automatizado. Ele busca obter acesso em larga escala a plataformas de comércio eletrônico e sites WordPress, com monetização direta por meio da venda de acessos ou do roubo de dados de pagamento”, afirmou a SOCRadar. “O fluxo direcionado é seletivo e concentrado geograficamente. Seu objetivo é realizar reconhecimento aprofundado e exploração manual de infraestrutura crítica na Ucrânia, sem uma explicação evidente de monetização direta.”
Operação Master mira WordPress e gateways GlobalProtect da Palo Alto Networks
A divulgação ocorre enquanto a SOCRadar também detalha uma operação de cibercrime de ponta a ponta, chamada Operação Master. A ação envolve a invasão de redes corporativas, o roubo de bancos de dados de clientes e faturamento, a oferta de parte dos dados à venda em fóruns clandestinos e o reaproveitamento das informações em uma plataforma automatizada e multiempresa de fraude com faturas.
Entre abril e meados de setembro de 2026, o adversário, que usa o nome “masterblack” em fóruns de cibercrime, teria organizado várias campanhas de ataque:
- Varreduras em massa de gateways GlobalProtect do PAN-OS, da Palo Alto Networks, seguidas da exploração da
CVE-2026-0257
.
- Investigação de serviços SonicWall SMA VPN, Fortinet, Keycloak, Microsoft Exchange e endpoints Next.js em IIS.
- Coleta de documentação pública para desenvolvedores e pacotes de software, incluindo especificações de API de bancos brasileiros, um esquema OpenAPI do setor de energia, um pacote do cliente web 3CX e pacotes de criação de contas, como parte de atividades de reconhecimento de API.
- Campanhas automatizadas de injeção de SQL contra aplicações web brasileiras de SaaS, CRM, suporte, educação e serviços financeiros, com o objetivo de roubar dados sigilosos.
- Investigação de aplicações ASP.NET por meio de injeção de SQL no parâmetro __VIEWSTATE, com 21 organizações financeiras na mira.
- Exploração da
CVE-2022-28368
, uma vulnerabilidade de execução remota de código no Dompdf.
- Ataques a ambientes corporativos do Microsoft 365 com phishing por código de dispositivo e tentativas de senhas em massa.
- Exploração da
CVE-2023-7028
, uma vulnerabilidade de tomada de contas no GitLab, contra instâncias do serviço pertencentes a uma empresa de energia.
- Tentativas de força bruta contra páginas de login do WordPress associadas a empresas japonesas, usando uma lista com quatro nomes de usuário e 66 senhas.
- Uso de ferramentas como GodPotato, Kerberoast, AS-REProast e Evil-WinRM, além de exploits como
CVE-2021-4034
, também conhecida como PwnKit,
CVE-2024-1086
e
CVE-2020-1938
, conhecida como Ghostcat, para elevar privilégios e avançar para sistemas próximos.
- Uso de tunelamento DNS, rclone e SFTP para exfiltrar dados de sistemas invadidos.
- Instalação do AdaptixC2 para comando e controle (C2).
O agente de ameaça também operou um mecanismo de fraude com faturas que gerou mais de 2,4 milhões de mensagens por e-mail, SMS e WhatsApp, além de 622.666 links personalizados para faturas, direcionados a consumidores e empresas brasileiras. O serviço saiu do ar em meados de setembro. O objetivo da campanha era induzir as vítimas a fazer pagamentos via Pix.
A plataforma registrou 169.906 interações de potenciais vítimas, que poderiam corresponder a faturas fraudulentas no valor de R$ 38,9 milhões. Somadas, as faturas associadas aos links curtos com monitoramento de cliques alcançavam R$ 150,4 milhões.
“Atuando em diversos países, o agente de ameaça comprometeu componentes críticos da infraestrutura de rede, incluindo gateways de VPN por meio de uma falha de autenticação no GlobalProtect (
CVE-2026-0257
). Ao mesmo tempo, executou exploits avançados contra aplicações web, implantou o framework AdaptixC2 e recorreu a um fluxo de desenvolvimento assistido por IA”, afirmou a SOCRadar.
“A Operação Master evidencia uma convergência preocupante no cenário atual de ameaças: exploits de perímetro, historicamente associados à espionagem cibernética e ao ransomware, estão sendo industrializados de forma sistemática para alimentar ecossistemas automatizados de fraude financeira local.”
Assim como no caso do CyberXero, acredita-se que masterblack tenha recorrido amplamente a agentes de IA baseados no Claude para desenvolver o código de exploração e os scripts de exfiltração. O operador, por sua vez, teria se concentrado na criação do código do painel de fraude e de extensões personalizadas para o AdaptixC2.
“Transcrições recuperadas de recusas mostram que o operador apresentou repetidamente pedidos de desenvolvimento ofensivo como atividades autorizadas de bug bounty ou testes de intrusão, enquanto solicitava recursos compatíveis com ações observadas em outras partes da operação”, afirmou a SOCRadar.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...