Um grupo suspeito de cibercriminosos de língua chinesa explorou vulnerabilidades no WordPress para invadir pelo menos 49 organizações em 29 países, resultando no roubo de 18.566 registros governamentais e senhas em texto plano. A campanha revelou como um site comprometido pode servir como ponto de partida para roubo de banco de dados, abuso de credenciais e intrusão mais ampla na rede.
Cadeia de Exploração wp2shell
Os atacantes exploraram a cadeia de falhas wp2shell, rastreada como CVE-2026-63030 e CVE-2026-60137, contra instalações vulneráveis do WordPress. Após obter acesso, eles plantaram um webshell, criaram uma conta de administrador oculta, buscaram arquivos legíveis por credenciais e avançaram para sistemas internos. A GreyNoise identificou a atividade enquanto monitorava infraestrutura de atacantes e sistemas isca.
Intrusão em Governo Ocidental
Um governo ocidental sofreu a intrusão mais grave, com 18.566 registros baixados de um banco de dados SQL backend. O material roubado incluiu contas, senhas em texto simples e informações pessoais identificáveis vinculadas a agências policiais e governamentais. A GreyNoise também observou o mesmo ator mirando outras tecnologias, incluindo switches ZyXEL GS1900, onde 996 dispositivos em 48 países foram comprometidos.
Linha do Tempo do Incidente
A intrusão no WordPress começou em 22 de julho de 2026, quando o ator usou a cadeia de exploits para implantar um webshell personalizado. Os atacantes então despejaram a tabela de usuários do WordPress, roubando 13 contas de administrador, e adicionaram uma conta projetada para se assemelhar a um endereço legítimo no domínio da vítima. Um plugin personalizado ajudou a enumerar a instalação, enquanto o webshell suportava reconhecimento e execução de comandos.
Remediação e Prevenção
Organizações devem corrigir o núcleo do WordPress, temas e plugins, remover contas de administrador desconhecidas, girar senhas e segredos de banco de dados, e invalidar sessões ativas. É crucial inspecionar diretórios web em busca de arquivos PHP inesperados, revisar logs de processo e autenticação, e isolar servidores afetados antes de restaurá-los de backups confiáveis.