Chiến dịch tấn công dùng AI nhắm vào WordPress và hạ tầng Ukraine
"Researchers reported a two-pronged AI-assisted intrusion campaign attributed to CyberXero that targeted WordPress, e-commerce platforms, and Ukrainian critical infrastructure. The operation leveraged Claude Code and PentAGI alongside tools like Cobalt Strike to automate scanning, exploitation, reconnaissance, and post-exploitation, resulting in confirmed exfiltration from four Ukrainian organizations and more than 628,000 stolen records; the article cites exploitation of CVE-2026-63030, CVE-2026-60137, CVE-2026-4815, and exposed Redis servers, with no patch or fix described in the report."
Tác động bảo mật ở mức rất cao: rò rỉ dữ liệu quy mô lớn, xâm nhập đa quốc gia, và tự động hóa tấn công bằng AI làm tăng tốc độ khai thác.
Ảnh hưởng vận hành đáng kể: nguy cơ gián đoạn dịch vụ, mất dữ liệu khách hàng và chi phí ứng phó sự cố tăng mạnh, đặc biệt với WordPress, e-commerce và Redis lộ Internet.
Các nhà nghiên cứu an ninh cho biết một chiến dịch xâm nhập ban đầu có hỗ trợ AI đã nhắm vào WordPress, nền tảng e-commerce và một số đơn vị hạ tầng trọng yếu tại Ukraine. Hoạt động này được gán cho tác nhân nói tiếng Nga, có động cơ tài chính, với tên mã CyberXero, và được cho là hoạt động từ ít nhất tháng 7/2026.
Theo báo cáo, chiến dịch kết hợp Claude Code, PentAGI và công cụ như Cobalt Strike để tự động hóa quét mục tiêu, khai thác, trinh sát và hậu khai thác. Nhánh tấn công toàn cầu tập trung vào các lỗ hổng CVE-2026-63030, CVE-2026-60137, CVE-2026-4815 và các Redis server bị lộ ra Internet. Nhánh còn lại được thực hiện thủ công, nhắm sâu hơn vào các tổ chức năng lượng và tiện ích ở Ukraine.
SOCRadar cho biết đã ghi nhận dữ liệu bị rò rỉ từ 4 tổ chức Ukraine, với hơn 628.000 bản ghi bị đánh cắp; ngoài ra còn có các vụ xâm nhập được xác nhận tại Ba Lan, Trung Quốc và Hà Lan. Từ góc độ phòng thủ, các tổ chức nên rà soát quản trị viên WordPress bất thường, web shell WSO, mục ~/.ssh/authorized_keys trên máy chủ Redis, đồng thời kiểm tra nhật ký truy cập và cô lập hệ thống nghi bị xâm nhập.