# CyberXero атакував WordPress: слід кампанії — логіни wp2_ > CyberXero за один запуск отримав доступ до 429 адмінпанелей WordPress. Індикатор кампанії — логіни адміністраторів із wp2_ та вісьмома шістнадцятковими символами. - Опубліковано: 13 жовтня 2026 р. (2026-10-13T12:46:09.003483+00:00) - Розділ: Безпека AI - На основі публікації: [Speka](https://speka.ua/news/xaker-iz-si-agentami-vikrav-dani-628-tisyac-ukrayinciv-yak-ce-stalosya-porwn5) - Видання: AiiN (https://aiin.news) - URL: https://aiin.news/article?slug=cyberxero-%D0%B0%D1%82%D0%B0%D0%BA%D1%83%D0%B2%D0%B0%D0%B2-wordpress-%D1%81%D0%BB%D1%96%D0%B4-%D0%BA%D0%B0%D0%BC%D0%BF%D0%B0%D0%BD%D1%96%D1%97-%D0%BB%D0%BE%D0%B3%D1%96%D0%BD%D0%B8-wp2 --- CyberXero за один автоматичний запуск перевірив 4 708 цілей, підтвердив доступ до 429 адмінпанелей WordPress і розгорнув 32 вебшели за 61 секунду, [за даними SOCRadar](https://socradar.io/blog/cyberxero-ai-iab-ukraine-critical-infrastructure/). Інструмент wp2shell створює адміністратора з логіном, що складається з префікса wp2_ і восьми шістнадцяткових символів після нього. SOCRadar називає цей шаблон найкориснішим індикатором кампанії. За оцінкою дослідників, зловмисник також має дані понад 628 тисяч українців, а його ШІ-інфраструктура включала до 51 спеціалізованого агента Claude Code. ## Що ШІ додав до операції CyberXero? ШІ допоміг CyberXero збільшити масштаб кампаній проти WordPress і атак із SQL-ін’єкціями, за висновком SOCRadar. CyberXero — російськомовний брокер початкового доступу: такий зловмисник зламує організації, щоб продавати доступ іншим злочинцям. Оператор додав ШІ-оркестрацію до наявних інструментів на власній інфраструктурі. На основній робочій станції працювали агенти Claude Code від Anthropic. Інструмент PentAGI був підключений до Cobalt Strike Team Server через API провайдера ШІ: ця зв’язка генерувала пейлоади — код для виконання атаки — і проводила тести на проникнення. SOCRadar пов’язує початок другої фази операції зі створенням ШІ-акаунта. До цього оператор уже проводив розвідку й використовував вразливості — ці дії дослідники знайшли в історіях команд bash. ## Чи обходив CyberXero запобіжники моделей? CyberXero обходив відмови моделей, змінюючи контекст і скидаючи сесії, повідомляє SOCRadar. Дослідники знайшли записи відмов і цих прийомів у сесійних логах безпосередньо на інфраструктурі оператора. Це свідчить про спроби обійти запобіжники під час використання ШІ в атаках. Однак описані докази не встановлюють окремої програмної вразливості Claude Code чи збою систем Anthropic: дослідники зафіксували поведінку оператора та відповіді моделей у його сесіях. ## Як працює wp2shell і який слід залишає? wp2shell використовує розсинхронізацію в batch-ендпоїнті WordPress REST API, щоб виконати SQL-ін’єкцію, створити адміністратора й розгорнути вебшел сімейства WSO як активний плагін. Вебшел — це скрипт, через який зловмисник може виконувати команди на сервері. Сам wp2shell — Python-пакет, розроблений оператором. Кожен успішний злам запускав сповіщення в Telegram-бота, тож оператор міг стежити за результатами без відкритого терміналу. Загальний набір цілей перевищував 56 000 URL. Паралельно оператор атакував Magento та інші платформи електронної комерції. SQL-ін’єкцію на основі часових затримок у Support Board (CVE-2026-4815) він використав для атаки протягом 30 днів після розкриття вразливості. ## Кого зачепила кампанія в Україні? CyberXero проводив цілеспрямовану розвідку щодо семи українських підприємств енергетики та комунального сектору. SOCRadar описує серед цілей національного оператора системи передачі та найбільший приватний енергетичний холдинг країни. Лише для цих двох організацій оператор склав список із 95 субдоменів, які охоплювали поштову інфраструктуру, VPN, системи диспетчерського керування мережею й платформи даних. SOCRadar зазначає, що такої глибини розвідки не було в його операціях проти електронної комерції. Дослідники підтвердили викрадення даних у чотирьох українських організаціях, але не підтвердили успішний злам усіх семи цілей, [за даними DOU](https://dou.ua/lenta/news/yberxero-ai-attacks-ukraine/), яке переказує результати SOCRadar. SOCRadar у доступному фрагменті звіту описує дві енергетичні цілі без назв. «Укренерго», ДТЕК і харківські енергетичні компанії фігурують серед постраждалих [за даними Speka](https://speka.ua/news/xaker-iz-si-agentami-vikrav-dani-628-tisyac-ukrayinciv-yak-ce-stalosya-porwn5), яка посилається на звіт дослідників. SOCRadar не знайшла доказів продажу чи публікації викрадених даних — цей висновок дослідників передають Speka та DOU. Дослідники припускають, що доступ до українських енергетичних підприємств могли готувати для продажу іншим злочинцям. ## Як SOCRadar виявила операцію? SOCRadar виявила операцію через відкритий HTTP-каталог без контролю доступу на сервері 46.21.250.135. Він відкривав доступ до робочого каталогу Linux-станції: понад 90 000 файлів у 3 000 підкаталогах, зокрема сесійних логів ШІ, скриптів із токенами у відкритому вигляді та вивантажених даних жертв. Ця помилка дала дослідникам змогу простежити решту інфраструктури. CyberXero залишався активним протягом розслідування й на момент публікації звіту. ## Що перевірити адміністраторам WordPress? Адміністратори WordPress можуть перевірити облікові записи й активні плагіни на сліди, які SOCRadar описала для wp2shell. - У переліку адміністраторів шукайте логін із префіксом wp2_ та рівно вісьмома шістнадцятковими символами після нього: цифрами 0–9 або літерами a–f. Такий шаблон використовував wp2shell у дослідженій кампанії. - Перевірте активні плагіни на наявність вебшела WSO: wp2shell реєстрував цей скрипт як активний плагін. Наведені джерела описують індикатори кампанії, але не містять команд для перевірки через WP-CLI чи базу даних, ознак для пошуку WSO у файлах плагінів або процедури реагування після знахідки. --- Теги: AI, кібербезпека, ClaudeCode, WordPress, SOCRadar Джерело: AiiN — https://aiin.news/article?slug=cyberxero-%D0%B0%D1%82%D0%B0%D0%BA%D1%83%D0%B2%D0%B0%D0%B2-wordpress-%D1%81%D0%BB%D1%96%D0%B4-%D0%BA%D0%B0%D0%BC%D0%BF%D0%B0%D0%BD%D1%96%D1%97-%D0%BB%D0%BE%D0%B3%D1%96%D0%BD%D0%B8-wp2. Цитуючи, посилайтесь на канонічний URL.