Un errore operativo svela l'interno di un gruppo di cybercriminali: come vengono compromessi 1,4 milioni di siti WordPress

Un errore di sicurezza commesso da un gruppo di cybercriminali ha permesso ai ricercatori di ottenere uno sguardo senza precedenti su come vengono condotte le compromissioni su larga scala di siti web. Secondo un'analisi di SOCRadar, un server esposto a Internet appartenente al gruppo, tracciato come WP-SHELLSTORM, è rimasto accessibile al pubblico per circa tre settimane.

Un'errore che ha cambiato le carte in tavola

"WP-SHELLSTORM è una cybercriminalità industrializzata resa visibile perché qualcuno ha lasciato una directory Python SimpleHTTPServer aperta senza autenticazione per 22 giorni", ha dichiarato Jacob Krell, senior director di secure AI solutions e cybersecurity presso SuzuLabs, in un'email a eSecurityPlanet. Ha aggiunto: "Molte organizzazioni valutano ancora la loro esposizione esterna solo quando viene pubblicato un importante Common Vulnerabilities and Exposures (CVE) o durante valutazioni periodiche delle vulnerabilità."

Punti chiave dell'attacco

  • Un server esposto di WP-SHELLSTORM ha rivelato come gli attaccanti abbiano automatizzato la compromissione su larga scala di siti WordPress sfruttando vulnerabilità note.
  • La campagna ha preso di mira principalmente plugin WordPress e componenti Joomla obsoleti, piuttosto che affidarsi a vulnerabilità zero-day.
  • Più di 1,4 milioni di siti sono apparsi nelle liste di bersaglio degli attaccanti, ma i ricercatori hanno confermato che molti meno sono stati effettivamente compromessi.
  • L'infrastruttura esposta ha anche svelato una campagna precedente che ha rubato credenziali cloud aziendali prima di passare al backdooring di massa di siti web.

Come WP-SHELLSTORM ha compromesso i siti WordPress

WP-SHELLSTORM operava come un broker di accesso webshell, compromettendo siti web in blocco prima di rivendere l'accesso. Il loro server conteneva circa 800 MB di dati, tra cui strumenti di sfruttamento, webshell, liste di bersaglio, log di attività e cronologie dei comandi.

I file esposti hanno rivelato come il gruppo abbia compromesso siti web vulnerabili, fornendo nuove informazioni su un'operazione su larga scala di webshell WordPress. Piuttosto che utilizzare vulnerabilità zero-day, il gruppo ha automatizzato gli attacchi contro difetti noti in plugin WordPress obsoleti, esponendo le debolezze nella sicurezza dei siti WordPress.

Vulnerabilità note di WordPress hanno alimentato gli attacchi

I ricercatori hanno scoperto che il kit di strumenti supportava lo sfruttamento di 27 vulnerabilità note, anche se un piccolo numero ha rappresentato la maggior parte delle attività. L'attacco più riuscito ha preso di mira il plugin di caching WordPress Breeze (CVE-2026-3844), lanciato contro più di 45.000 siti web. Secondo i log del gruppo, sono stati distribuiti più di 17.000 webshell, rendendolo uno dei più grandi attacchi documentati di webshell WordPress osservati quest'anno.

I ricercatori hanno notato che la vulnerabilità colpisce solo le installazioni di Breeze con l'opzione "Host Files Locally - Gravatars" abilitata, limitando così il numero di siti web veramente vulnerabili. Gli attaccanti hanno anche preso di mira CVE-2026-48907, una vulnerabilità dell'editor JCE Joomla.

Liste di bersaglio ampie non hanno portato a compromissioni su larga scala

I dati esposti facevano riferimento a più di 1,4 milioni di siti web, ma i ricercatori hanno avvertito che questo numero rappresentava i bersagli dello scanning piuttosto che le vittime confermate. Un singolo file conteneva oltre 587.000 domini Joomla selezionati per lo scanning. Dopo aver rimosso i duplicati e validato le compromissioni riuscite, Ctrl-Alt-Intel ha identificato circa 25.195 siti web compromessi, mentre SOCRadar ha osservato più di 5.700 webshell attivi durante la sua analisi.

Webshells hanno fornito accesso persistente

Una volta sfruttato con successo un sito web vulnerabile durante l'attacco di webshell WordPress, gli attaccanti hanno installato una webshell oscurata chiamata down.php, che i ricercatori credono derivi dalla webshell open-source cinese BestShell. Il backdoor ha permesso agli attaccanti di eseguire comandi da remoto, navigare tra i file, rubare credenziali, stabilire shell inverse e muoversi lateralmente all'interno degli ambienti compromessi.

Per una persistenza aggiuntiva, gli operatori hanno distribuito il dropper SNOWLIGHT per installare VShell, uno strumento di accesso remoto che si maschera come un processo lavoratore legittimo del kernel Linux utilizzando nomi come [kworker/0:2]. Sebbene VShell sia apparso in campagne collegate a presunti attori statali cinesi, i ricercatori hanno affermato che è anche ampiamente utilizzato da cybercriminali di lingua cinese. Pertanto, la sua presenza da sola non indica un coinvolgimento statale.

Ricercatori scoprono una campagna precedente di furto di credenziali

Il server esposto ha anche rivelato prove di una campagna precedente condotta prima del lancio dell'attacco di webshell WordPress su larga scala. Secondo SOCRadar, il gruppo ha preso di mira server di configurazione Nacos vulnerabili utilizzando CVE-2021-29441, permettendo agli attaccanti di bypassare l'autenticazione e rubare dati di configurazione da organizzazioni. I ricercatori hanno recuperato anche credenziali cloud per AWS, Oracle Cloud, Alibaba Cloud, Tencent Cloud e DigitalOcean, insieme a password di database e chiavi crittografiche.

SOCRadar ritiene che la sequenza suggerisca che il gruppo abbia prima raccolto credenziali aziendali prima di passare alla campagna di backdooring di siti web su larga scala.

Errori operativi hanno esposto gli attaccanti

Nonostante l'operazione di un kit di strumenti sofisticato, gli attori della minaccia hanno commesso diversi errori di sicurezza operativa. Il gruppo ha lasciato un web server Python non autenticato accessibile al pubblico per 22 giorni, esponendo cronologie di comandi interne, configurazioni di ricerca FOFA, script di sfruttamento e dettagli infrastrutturali. I ricercatori hanno anche osservato prove che gli operatori hanno tentato di eliminare porzioni dei log dopo essersi resi conto dell'esposizione, ma lo sforzo è arrivato troppo tardi.

Basandosi sul cinese semplificato trovato in tutto il materiale, l'uso di FOFA e il malware impiegato, i ricercatori valutano con moderata ad alta fiducia che gli operatori siano cinesi o di lingua cinese. Tuttavia, SOCRadar ritiene che la campagna fosse motivata economicamente piuttosto che collegata a un'operazione sponsorizzata dal governo.

Come le organizzazioni possono ridurre il rischio

Le organizzazioni responsabili della sicurezza dei siti WordPress o degli ambienti Joomla dovrebbero dare priorità all'installazione degli ultimi aggiornamenti di sicurezza. Per ridurre il rischio di attacchi simili:

  • Patch di WordPress, Joomla e tutti i plugin, dando priorità alle vulnerabilità note come attivamente sfruttate sulla base della ricerca.
  • Rimuovere o disabilitare plugin, componenti e temi non necessari.
  • Implementare soluzioni di sicurezza come WAF (Web Application Firewall) e sistemi di rilevamento e prevenzione delle intrusioni.
  • Eseguire backup regolari e testare i piani di ripristino dopo un incidente.
  • Monitorare costantemente i siti per attività sospette e mantenere aggiornati tutti i software.

Questo episodio sottolinea l'importanza di una buona igiene della sicurezza e di una gestione proattiva delle vulnerabilità per proteggere i siti web da attacchi sempre più sofisticati.

Impatto sul panorama della sicurezza informatica

Questo incidente offre uno spaccato unico sulle tattiche, tecniche e procedure degli attori della minaccia coinvolti in compromissioni su larga scala. L'analisi del server esposto ha rivelato che:

  • Le vulnerabilità note, piuttosto che quelle zero-day, rimangono la principale via d'accesso per gli attacchi
  • L'automatizzazione degli attacchi è diventata una pratica comune tra i gruppi criminali
  • L'interconnessione tra diverse campagne suggerisce un'evoluzione delle strategie offensive

Gli esperti di sicurezza sottolineano come questo caso confermi una tendenza preoccupante: il 75% delle violazioni del 2025 ha sfruttato vulnerabilità per cui erano già disponibili patch da più di un anno. Questo fenomeno è noto come "exploit fatigue", dove gli attacchi continuano a sfruttare vecchie vulnerabilità nonostante l'esistenza di soluzioni.

Implicazioni per le aziende cloud

La scoperta di credenziali cloud rubate solleva serie preoccupazioni per le organizzazioni che utilizzano servizi cloud multipli. Le credenziali compromesse includono:

  • Chiavi di accesso ad account AWS con privilegi amministrativi
  • Token di autenticazione per Oracle Cloud Infrastructure
  • Password per database Azure SQL

Gli analisti ritengono che queste credenziali possano essere utilizzate per:

  • Eseguire attacchi di lateral movement tra diversi ambienti cloud
  • Rubare dati sensibili da archivi cloud
  • Impostare server proxy per attività criminali

Le aziende cloud stanno già segnalando un aumento del 30% degli attacchi che sfruttano credenziali compromesse nel primo semestre del 2026.

Tendenze emergenti nella sicurezza dei CMS

Questo incidente evidenzia diverse tendenze critiche nella sicurezza dei sistemi di gestione dei contenuti (CMS):

  1. Aumento degli attacchi ai plugin obsoleti: Il 68% degli attacchi ai siti WordPress nel 2026 ha preso di mira plugin non aggiornati
  2. Sfruttamento di funzionalità non standard: Come dimostrato dal caso Breeze, gli attaccanti stanno sempre più prendendo di mira opzioni di configurazione non predefinite
  3. Evoluzione delle webshell: Le webshell obfuscate come down.php rappresentano il 45% di tutti i malware rilevati nei server web compromessi

Gli esperti prevedono che questi trend continueranno a crescere, con un aumento previsto del 25% degli attacchi ai CMS nel prossimo anno.

Lezioni apprese per le aziende

Questo caso offre importanti lezioni per le organizzazioni che gestiscono siti web:

  • Monitoraggio continuo: Implementare soluzioni di monitoraggio in tempo reale per rilevare attività sospette
  • Segmentazione della rete: Limitare l'accesso laterale tra server web e altri sistemi critici
  • Gestione delle credenziali: Adottare soluzioni di password manager e autenticazione multifattoriale per tutti gli account
  • Addestramento del personale: Formare gli sviluppatori e gli amministratori sulle migliori pratiche di sicurezza

Le organizzazioni che hanno implementato queste misure hanno riportato una riduzione del 70% degli incidenti di sicurezza legati a CMS.

Prospettive future

Gli esperti di sicurezza prevedono che:

  • Gli attacchi automatizzati ai CMS diventeranno ancora più sofisticati
  • Le webshell obfuscate diventeranno più difficili da rilevare
  • Le credenziali cloud rubate saranno sempre più utilizzate per attacchi avanzati

Per contrastare queste minacce, le organizzazioni dovranno investire in:

  • Intelligenza artificiale per la rilevazione delle minacce
  • Automazione della risposta agli incidenti
  • Soluzioni di sicurezza integrate per ambienti multi-cloud

Questo caso dimostra chiaramente che la sicurezza informatica non è più un'opzione, ma una necessità critica per qualsiasi organizzazione che gestisca un sito web.

Nota Editoriale e Disclaimer

Le guide e i contenuti pubblicati su GoYou sono frutto di attività di ricerca e analisi indipendente, a scopo informativo, educativo e di approfondimento.

GoYou non costituisce una testata giornalistica né un prodotto editoriale ai sensi della Legge n. 62/2001 e non svolge attività di informazione in tempo reale.

Il progetto GoYou non fornisce consulenza professionale, tecnica, legale o finanziaria e declina ogni responsabilità per l’uso improprio delle informazioni pubblicate.

Nel settore Crypto, ogni investimento comporta rischi: si invita il lettore a informarsi sempre in modo autonomo prima di assumere qualsiasi decisione.