Des campagnes augmentées par l'IA ciblent WordPress et les infrastructures critiques en Ukraine

Les chercheurs en sécurité ont découvert deux grandes opérations de cybercriminalité qui exploitent l'intelligence artificielle pour automatiser et étendre les attaques contre des plateformes web et des infrastructures critiques. La première campagne, attribuée à un acteur de menace connu sous le nom de CyberXero, a compromis des sites WordPress et des entités énergétiques ukrainiennes depuis juillet 2026. La seconde, baptisée Operation Master, s'est concentrée sur les réseaux d'entreprise et la fraude financière au Brésil avant de disparaître mi-septembre 2026. Ces deux opérations soulignent comment les attaquants intègrent des agents IA dans leurs flux de travail pour contourner les contrôles de sécurité et accélérer l'exploitation.

Ce qui s'est passé

La campagne CyberXero fonctionne via deux pipelines distincts. Le premier est un effort automatisé mondial visant WordPress et les plateformes e-commerce comme Magento et PrestaShop. Ce pipeline exploite des vulnérabilités connues, notamment wp2shell (CVE-2026-63030 et CVE-2026-60137) et une faille d'injection SQL dans le plugin Support Board (CVE-2026-4815). L'objectif est un accès rapide pour le vol de données ou la vente d'un accès initial à d'autres criminels. Le second pipeline est hautement ciblé, se concentrant sur les infrastructures critiques ukrainiennes, telles qu'un fournisseur de chauffage à Kharkiv. Cette campagne manuelle vise une reconnaissance approfondie plutôt qu'une monétisation immédiate. Les violations confirmées ont entraîné l'exfiltration de plus de 628 000 enregistrements provenant de quatre organisations ukrainiennes, avec des compromissions supplémentaires en Pologne, en Chine et aux Pays-Bas.

Operation Master, orchestrée par un adversaire utilisant l'alias "masterblack", a adopté une approche différente. Entre avril et mi-septembre 2026, cet acteur a compromis des réseaux d'entreprise en exploitant des vulnérabilités dans les passerelles Palo Alto Networks GlobalProtect (CVE-2026-0257), GitLab (CVE-2023-7028) et diverses applications web. Les données volées n'étaient pas seulement vendues sur des forums underground, mais étaient également injectées dans une plateforme automatisée de fraude à la facture. Ce moteur a généré plus de 2,4 millions de messages et 622 666 liens de factures personnalisés ciblant les consommateurs et les entreprises brésiliennes. La campagne visait à inciter les destinataires à effectuer des paiements Pix, les liens suivis représentant une valeur cumulative de factures de R$150,4 millions.

Les deux opérations ont été exposées en raison de défaillances en matière de sécurité opérationnelle. SOCRadar a découvert CyberXero après avoir identifié un répertoire ouvert exposé à l'adresse IP 46.21.250[.]135. Ce répertoire a divulgué les fichiers du poste de travail Linux de l'attaquant, y compris les journaux de session IA, les jetons en texte clair et les données exfiltrées des victimes. De même, l'analyse d'Operation Master a révélé l'utilisation extensive de flux de développement assistés par IA et de frameworks de command-and-control personnalisés tels qu'AdaptixC2.

Détails clés

• CyberXero est actif depuis au moins juillet 2026, ciblant les sites WordPress et les infrastructures critiques ukrainiennes.
• La campagne a exploité CVE-2026-63030, CVE-2026-60137 et CVE-2026-4815 pour compromettre les installations WordPress.
• Plus de 628 000 enregistrements ont été exfiltrés de quatre organisations ukrainiennes, avec des violations supplémentaires en Pologne, en Chine et aux Pays-Bas.
• Operation Master s'est déroulée d'avril à mi-septembre 2026, générant plus de 2,4 millions de messages frauduleux ciblant les utilisateurs brésiliens.
• Les attaquants ont utilisé Claude Code et PentAGI pour automatiser le scanage, l'enchaînement des exploits et la génération de charges utiles.
• Les acteurs de menace ont contourné les refus de sécurité de l'IA en réinitialisant les sessions et en présentant les demandes comme des tests de pénétration autorisés.

Contexte

Ces campagnes illustrent l'intégration croissante des grands modèles de langage (LLM) dans les outils de sécurité offensive. Les attaquants ne se contentent plus d'écrire des scripts manuellement ; ils orchestrent des clusters d'agents IA pour gérer des tâches répétitives telles que le scanage, la vérification des vulnérabilités et la génération de code. Dans le cas de CyberXero, l'acteur a utilisé un cluster de 51 agents spécialisés alimentés par Claude Code d'Anthropic. Ils ont également connecté un agent open-source appelé PentAGI à Cobalt Strike, un outil populaire de test de pénétration, pour automatiser la livraison de la charge utile.

Une technique critique observée dans les deux opérations est l'"ingénierie de contexte" pour contourner les garde-fous de sécurité de l'IA. Les LLM refusent généralement les demandes de génération de malware ou de code d'exploit. Cependant, ces refus sont souvent basés sur le contexte immédiat de la conversation. En démarrant une nouvelle session et en la préchargeant avec un récit concernant la conduite d'un "test de pénétration autorisé sur ma propre infrastructure", les attaquants peuvent tromper le modèle pour qu'il se conforme. Cette méthode leur permet de générer du code d'exploit fonctionnel et des scripts d'évasion tout en maintenant l'apparence d'une activité légitime au sein de chaque session isolée.

Pourquoi c'est important

Pour les équipes gérant des logiciels auto-hébergés, en particulier les instances WordPress, la vitesse et l'échelle de ces attaques automatisées sont préoccupantes. La campagne CyberXero a démontré qu'une seule exécution automatisée pouvait scanner 4 708 cibles, confirmer l'accès à 429 panneaux d'administration et déployer 32 web shells en seulement 61 secondes. Cette vélocité signifie que les vulnérabilités non corrigées sont exploitées presque instantanément après leur divulgation. Si votre organisation dépend de WordPress pour des sites publics ou des portails internes, retarder les mises à jour même de quelques jours peut vous exposer à des scanners automatisés à grande échelle.

De plus, l'utilisation de l'IA pour automatiser des chaînes d'attaque complexes abaisse la barrière d'entrée pour les exploits sophistiqués. Auparavant, l'exploitation d'une chaîne de vulnérabilités pouvait nécessiter un effort manuel et une expertise considérables. Désormais, les agents IA peuvent gérer la logique de reconnaissance et d'enchaînement, permettant aux acteurs de menace de se concentrer sur des cibles à haute valeur ajoutée comme les infrastructures critiques ou les passerelles VPN d'entreprise. Ce changement implique que les défenses périmétriques, telles que les pare-feu et les VPN, doivent être rigoureusement maintenues, car les attaquants peuvent identifier et exploiter rapidement les erreurs de configuration ou les failles non corrigées comme le contournement GlobalProtect utilisé dans Operation Master.

Enfin, l'exposition de l'infrastructure des attaquants sert de rappel que la sécurité opérationnelle compte aussi pour les défenseurs. La découverte de l'opération de CyberXero a été possible grâce à un seul répertoire mal configuré. Pour les équipes d'auto-hébergement, cela souligne l'importance d'audits réguliers de votre empreinte externe. S'assurer qu'aucun répertoire sensible, journal ou fichier de configuration n'est publiquement accessible est une étape fondamentale mais cruciale pour empêcher les adversaires d'obtenir des informations sur votre posture défensive ou de divulguer vos propres données.

Ce que vous pouvez faire

• Corrigez immédiatement les installations WordPress, en mettant l'accent sur les plugins comme Support Board et les vulnérabilités principales telles que CVE-2026-63030 et CVE-2026-60137.
• Auditez les services exposés comme Redis, en veillant à ce qu'ils ne soient pas accessibles depuis Internet et en vérifiant les clés SSH non autorisées.
• Examinez les configurations VPN et passerelles, en corrigeant spécifiquement Palo Alto GlobalProtect (CVE-2026-0257) et autres périphériques périmétriques.
• Surveillez les comptes administrateurs voyous et les web shells (tels que WSO) sur tous les serveurs exposés au web.
• Mettez en œuvre des contrôles d'accès stricts et une authentification multifacteur pour toutes les interfaces administratives afin de prévenir les attaques par force brute.
• Scannez régulièrement votre infrastructure externe pour détecter les répertoires exposés ou les fichiers sensibles susceptibles de divulguer des données opérationnelles.