كشف باحثون في الأمن السيبراني عن حملة اختراق أولي معززة بالذكاء الاصطناعي تستهدف مواقع ووردبريس ومنصات التجارة الإلكترونية ومنشآت البنية التحتية الحيوية في أوكرانيا، وذلك عبر مسارين متوازيين يجمعان بين أدوات هجومية جاهزة مثل Cobalt Strike وطبقة تنسيق مدعومة بالذكاء الاصطناعي تعمل بمحرك Claude Code من شركة Anthropic. وتُنسب هذه النشاطات إلى وسيط وصول أولي ناطق بالروسية ومدفوع بدوافع مالية يُعرف بالاسم الرمزي CyberXero، ويُقدر أنه نشط منذ يوليو 2026 على الأقل.
وأوضحت شركة SOCRadar في تقريرها الصادر الأسبوع الماضي أن العملية تشغّل خطي إنتاج في الوقت نفسه، أحدهما حملة عالمية آلية تستهدف ووردبريس ومنصات التجارة الإلكترونية، والآخر حملة منتقاة يدوية تستهدف قطاع الطاقة والبنية التحتية الحيوية الأوكرانية. وتركز الحملة العالمية تحديداً على ثغرات أمنية معروفة مثل wp2shell المعروفة بالمعرّفين CVE-2026-63030 وCVE-2026-60137، والثغرة CVE-2026-4815 وهي ثغرة حقن SQL تؤثر على إضافة Support Board الخاصة بووردبريس، وذلك للسيطرة على مواقع ووردبريس.
تسريب دليل رقمي يكشف بنية الهجوم
ويُقدر أن الحملة أسفرت عن تسريب مؤكد من أربع منظمات أوكرانية، ما أدى إلى حصاد أكثر من 628 ألف سجل مرتبط بأفراد أوكرانيين، مع تأكيد اختراقات أخرى في بولندا والصين وهولندا. وقالت SOCRadar إنها اكتشفت العملية بعد تحديد مجلد مفتوح مكشوف مستضاف على العنوان 46.21.250[.]135، كشف دليل العمل الحي الخاص بفاعل التهديد والمرتبط بمحطة عمل تعمل بنظام لينكس، بما في ذلك سجلات جلسات الذكاء الاصطناعي، ونصوص برمجية تحتوي على رموز وصول بنص صريح، ومجموعات أدوات استغلال، ومخرجات استطلاع، وإعدادات وكلاء الذكاء الاصطناعي، وبيانات ضحايا مسربة. ولا تزال الحملة مستمرة حتى الآن.
وصُممت الحملة الانتهازية الموجهة نحو ووردبريس ومنصات التجارة الإلكترونية للحصول على بيانات الوصول والدفع، بينما تستهدف الحملة الثانية أهدافاً أكثر تحديداً وتتجه نحو استطلاع عميق واستغلال يدوي ضد قطاع الطاقة والمرافق الأوكرانية، بما في ذلك مزود تدفئة في مدينة خاركيف. ويُظهر تحليل المجلد المكشوف أن تنفيذاً آلياً واحداً مسح 4,708 أهداف، وأكد الوصول إلى 429 لوحة إدارة ووردبريس، تلاه نشر 32 صدفة ويب في نافذة زمنية مدتها 61 ثانية.
ويستند معمار الهجوم إلى مجموعة من ثماني عُقد متمايزة، تشمل محطة عمل فاعل التهديد العاملة بلينكس، وخادم تجهيز، وبنية تحقيق الربح، وخوادم تجهيز الحمولات، وماسح ضوئي مسؤول عن تحديد الأهداف ذات الاهتمام. ويُقال إن CyberXero نشر الذكاء الاصطناعي في مرحلتين مستقلتين من دورة حياة الهجوم، الأولى استخدام Claude Code مع مجموعة من 51 وكيلاً متخصصاً للمسح وربط الاستغلال والاستطلاع وما بعد الاستغلال على محطة العمل الأساسية للمهاجم، والثانية ربط PentAGI وهو وكيل ذكاء اصطناعي عام مفتوح المصدر للاختبار الاختراقي ذاتي الاستضافة، بـ Cobalt Strike عبر واجهة برمجة مزود ذكاء اصطناعي لتوليد الحمولات وتنفيذ الاختبارات على خادم فريق Cobalt Strike.
تجاوز ضوابط السلامة عبر هندسة السياق
وللتغلب على رفض النماذج، رُصد فاعل التهديد يستخدم تقنيات هندسة السياق وإعادة تعيين الجلسات، إذ كان يخبر الوكيل بأنه يجري اختبار اختراق مصرحاً به على بنيته التحتية الخاصة. وشرحت SOCRadar أن ضوابط سلامة النموذج تعمل على سياق الجلسة وليس على أوزان النموذج، لذا فإن الرفض في جلسة واحدة لا ينتقل إلى الجلسة التالية، وعندما يرفض الوكيل مهمة ما، يعيد الفاعل فتح جلسة جديدة مع تحميل إطار التصريح مسبقاً ويحاول مرة أخرى.
وسجلت السجلات حالات رفض حقيقية صمدت، إذ رفض النموذج عبر أربع تكرارات تثبيت باب خلفي وتعطيل جدار حماية والتحرك الجانبي ونشر صدفة ويب، وفي واقعة منفصلة رفض عملية مسح أربع مرات متتالية ورفض بشكل صحيح رمز ملكية مزوراً. وإلى جانب استغلال ووردبريس والتجارة الإلكترونية، تتضمن الحملة استغلال خوادم Redis المكشوفة، ما أدى إلى اختراق كيانين صينيين. وتُنصح المنظمات التي تشغّل ووردبريس أو Magento أو PrestaShop، أو التي تكشف Redis على الإنترنت، بالتحقق من وجود مسؤولين غير شرعيين في ووردبريس، وصدفات ويب من نوع WSO، ومدخلات غير متوقعة في ملف authorized_keys على مضيفات Redis.
وقالت SOCRadar إن خط الإنتاج الانتهازي عالمي وآلي ويسعى إلى حجم الوصول عبر التجارة الإلكترونية وووردبريس مع تحقيق ربح مباشر عبر بيع الوصول أو سرقة بيانات الدفع، بينما خط الإنتاج الموجه انتقائي ومركز جغرافياً ويهدف إلى استطلاع عميق واستغلال يدوي في البنية التحتية الحيوية الأوكرانية دون تفسير واضح لتحقيق ربح مباشر.
عملية Master تستهدف بوابات Palo Alto وشبكات المؤسسات
يأتي هذا الكشف في وقت وثقت فيه SOCRadar أيضاً عملية إجرامية سيبرانية شاملة تُدعى Operation Master تتمحور حول اختراق شبكات المؤسسات وسرقة قواعد بيانات العملاء والفواتير وعرض جزء من البيانات للبيع في منتديات سرية وإعادة توظيفها في منصة آلية متعددة المستأجرين للاحتيال على الفواتير. وبين أبريل ومنتصف سبتمبر 2026، رُصد المهاجم الذي يستخدم الاسم المستعار masterblack على منتديات الجريمة السيبرانية وهو ينسق حملات هجومية متعددة.
وتشمل هذه الحملات المسح الجماعي لبوابات Palo Alto Networks PAN OS GlobalProtect واستغلال الثغرة CVE-2026-0257، وفحص نقاط SonicWall SMA VPN وFortinet وKeycloak وMicrosoft Exchange وNext.js-on-IIS، وجمع وثائق المطورين العامة وحزم البرمجيات بما فيها مواصفات واجهات البنوك البرازيلية ومخطط OpenAPI لقطاع الطاقة وحزمة عميل ويب 3CX وحزم إنشاء الحسابات في إطار جهود استطلاع واجهات البرمجة، وتنفيذ حملات حقن SQL آلية تستهدف تطبيقات SaaS البرازيلية وإدارة علاقات العملاء والدعم والتعليم والتطبيقات المالية لسرقة بيانات حساسة، وفحص تطبيقات ASP.NET عبر حقن SQL في VIEWSTATE لاستهداف 21 مؤسسة مالية، واستغلال الثغرة CVE-2022-28368 وهي ثغرة تنفيذ شيفرة عن بعد تؤثر على Dompdf، واستهداف مستأجري Microsoft 365 في المؤسسات عبر تصيد رمز الجهاز وهجمات رش كلمات المرور، واستغلال الثغرة CVE-2023-7028 وهي ثغرة استيلاء على الحساب في GitLab لاستهداف نسخ شركة طاقة، وتخمين صفحات تسجيل الدخول لووردبريس المرتبطة بمؤسسات يابانية باستخدام قاموس يضم أربعة أسماء مستخدمين و66 كلمة مرور.
وشملت العملية أيضاً نشر أدوات مثل GodPotato وKerberoast وAS-REProast وEvil-WinRM واستغلال ثغرات مثل CVE-2021-4034 المعروفة بـ PwnKit وCVE-2024-1086 وCVE-2020-1938 المعروفة بـ Ghostcat لرفع الصلاحيات ثم التحرك الجانبي إلى الأنظمة المجاورة، واستخدام أنفاق DNS وrclone وSFTP لتسريب البيانات من الأنظمة المخترقة، وتثبيت AdaptixC2 للتحكم والقيادة. كما شغّل فاعل التهديد محرك احتيال فواتير أنتج أكثر من 2.4 مليون رسالة بريد إلكتروني ورسالة نصية وواتساب و622,666 رابط فاتورة مخصصة تستهدف مستهلكين وشركات برازيلية قبل أن يتوقف عن العمل في منتصف سبتمبر، بهدف دفع المستهدفين إلى إجراء مدفوعات عبر نظام Pix.
تحويل الاختراقات إلى منظومة احتيال آلية
ومن بين هذه الرسائل، سجلت المنصة 169,906 تفاعلاً مع الأهداف، ما قد يؤدي إلى فواتير احتيالية بقيمة 38.9 مليون ريال برازيلي، فيما بلغت القيمة التراكمية للروابط القصيرة المتتبعة 150.4 مليون ريال برازيلي. وقالت SOCRadar إن فاعل التهديد يعمل عبر دول متعددة واخترق بنية تحتية شبكية حيوية تشمل بوابات VPN عبر تجاوز مصادقة GlobalProtect، مع تنفيذ استغلالات متقدمة لتطبيقات الويب ونشر إطار AdaptixC2 والاعتماد على سير عمل تطويري مدعوم بالذكاء الاصطناعي.
وأضافت أن Operation Master تسلط الضوء على تقارب خطير في مشهد التهديدات الحديث، إذ إن ثغرات المحيط التي ارتبطت طويلاً بالتجسس السيبراني وبرامج الفدية باتت تُصنَّع بشكل منهجي لتغذية منظومات احتيال مالي آلية ومحلية. وكما في حالة CyberXero، يُعتقد أن masterblack اعتمد بشكل كبير على وكلاء ذكاء اصطناعي مدعومين بـ Claude لتطوير شيفرة الاختراق ونصوص التسريب، بينما ركز المشغل على تصميم شيفرة لوحة الاحتيال وملحقات AdaptixC2 المخصصة. وأظهرت نصوص الرفض المستعادة أن المشغل كان يكرر صياغة طلبات التطوير الهجومية على أنها أنشطة اختبار اختراق أو مكافآت ثغرات مصرح بها، مع طلب وظائف تتوافق مع النشاط المرصود في أجزاء أخرى من العملية.
