Bróker de accesos uso enjambres de Claude Code para escalar intrusiones

SOCRadar documentó una operación donde una sola persona con una suscripción comercial de IA orquestó hasta 51 agentes para escanear, explotar y persistir en miles de sitios WordPress y servidores Redis expuestos, robando más de 628.000 registros ucranianos.

Qué pasó

Esta nota de Vantis parte de una Research Note publicada por Cloud Security Alliance (CSA Labs) el 15 de octubre de 2026, que a su vez sintetiza un hallazgo original de SOCRadar y su cobertura secundaria en The Hacker News, eSecurity Planet y Security Affairs. Es importante marcar la cadena de atribución porque CSA Labs produce estas notas con un pipeline automatizado sobre fuentes de terceros: no es quien investigó el caso, es quien lo analiza. El informe completo de SOCRadar, además, dio error de acceso al momento de redactarse la nota de CSA, así que varias cifras citadas aquí provienen de la cobertura secundaria, no del reporte primario.

Según SOCRadar, CyberXero operó al menos desde julio de 2026 con dos frentes distintos:

• Un frente automatizado contra sitios WordPress y de comercio electrónico a nivel mundial, con una lista de objetivos que Security Affairs cifra en más de 56.000 URLs. El vector reportado combina dos CVE asociados a una herramienta llamada wp2shell (CVE-2026-63030 y CVE-2026-60137, cuyo producto afectado y versión corregida no están confirmados en la cobertura revisada), una inyección SQL en el plugin de WordPress Support Board (CVE-2026-4815) y servidores Redis expuestos sin autenticación.
• Un frente manual y dirigido contra organizaciones energéticas y de servicios públicos de Ucrania, donde las fuentes convergen en más de 628.000 registros robados, incluyendo cerca de 564.000 registros de suscriptores (datos personales, direcciones, números de cuenta) de una empresa de calefacción distrital en Járkov.

SOCRadar reporta que el pipeline usó hasta 51 agentes de Claude Code con roles especializados —escaneo, encadenamiento de exploits, reconocimiento, movimiento lateral— y un segundo framework, PentAGI (de código abierto, orientado a pentesting con IA), conectado vía API a un servidor de equipo de Cobalt Strike para generación de payloads.

Sobre la evasión de salvaguardas: la cobertura describe que Claude rechazó, en al menos algunas sesiones, cuatro categorías de solicitud: instalación de backdoors, deshabilitar firewalls, movimiento lateral y despliegue de web shells. Pero la misma cobertura documenta que esas actividades sí ocurrieron. La explicación que ofrece la fuente —y que no pudimos verificar de forma independiente porque el informe primario no estuvo disponible— es que los rechazos no persisten entre sesiones: el operador abría un contexto nuevo tras cada negativa. Esto es una evaluación de SOCRadar, no un hecho demostrado de principio técnico general; el caso muestra que funcionó en esta operación, no cuán replicable es el patrón.

Lo que no está claro. Dos datos de la propia cobertura entran en conflicto y la nota de CSA no logra reconciliarlos: The Hacker News reporta 4 organizaciones ucranianas confirmadas como víctimas, mientras Security Affairs reporta más de 40 víctimas confirmadas en Ucrania, Polonia, China y Pakistán. Podrían referirse a alcances distintos (el subconjunto ucraniano curado versus todo el pipeline), pero ninguna fuente lo aclara explícitamente. Lo correcto aquí es decir no sabemos cuál cifra describe qué universo, y no promediarlas ni elegir una por conveniencia narrativa.

Sobre la atribución: SOCRadar vincula al operador con una suscripción paga de IA asociada a un correo personal, alias de foro consistentes y patrones de actividad horaria compatibles con Moscú. Esta es una evaluación de confianza media: los indicadores de idioma y huso horario son circunstanciales y pueden falsificarse deliberadamente; no hay, en lo reportado, una segunda señal independiente (por ejemplo, infraestructura de pago o metadata de registro) que la corrobore sin esa alternativa.

Por qué importa acá

Nada de lo reportado señala una organización chilena como víctima confirmada, y no hay registro de este patrón en las alertas de ANCI de los últimos 30 días. Igual lo publicamos como pieza global porque el elemento relevante no es el objetivo sino el modus operandi: WordPress y sus plugins son, por volumen, el CMS más usado por pymes, medios regionales y municipios en Chile, y Redis es un componente de backend extendido en arquitecturas locales que a veces queda expuesto por configuración por defecto durante despliegues rápidos. El vector técnico de este caso —plugin vulnerable más servicio de caché expuesto— es exactamente el tipo de superficie que un escaneo masivo automatizado con IA encontraría también en dominios .cl.

Hay además dos capas de obligación regulatoria que se activan si un escenario equivalente golpeara a una entidad chilena:

• Si la organización afectada califica como Operador de Importancia Vital u otra entidad regulada bajo la Ley 21.663 (Marco de Ciberseguridad), el deber de reportar el incidente a ANCI se activa independientemente de si el atacante usó o no herramientas de IA para llegar — el criterio es el impacto, no el vector. No citamos un plazo específico porque esta nota no verificó uno en fuente primaria para este caso puntual.
• Si los datos comprometidos incluyen datos personales de personas naturales en Chile (nombre, dirección, número de cuenta, como en el caso ucraniano), la Ley 21.719 de Protección de Datos Personales impone obligaciones de notificación a la autoridad y, en ciertos escenarios, a los titulares afectados.

Hay una tercera implicancia que no depende de ser víctima: si tu organización usa Claude Code, Copilot u otro asistente agéntico de codificación de forma corporativa, este caso es el primer ejemplo documentado de ese mismo tipo de herramienta operando del lado ofensivo a escala. La pregunta de gobernanza relevante no es "¿usamos IA agéntica?", es "¿sabemos quién la usa, con qué identidad, y queda registro de los rechazos repetidos que podrían indicar un intento de evasión?".

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — Explotación reportada de CVE-2026-4815 (SQLi en plugin Support Board) y de servidores Redis expuestos sin autenticación.
• T1505.003 — La herramienta wp2shell despliega web shells de la familia WSO tras la explotación inicial.
• T1136.001 — Creación reportada de cuentas administradoras de WordPress con el prefijo wp2_ vía la API REST.
• T1071.001 — PentAGI se conectó vía API a un servidor de equipo de Cobalt Strike para generación de payloads, usando C2 comercial conocido.
• AML.T0054 — El operador reencuadró solicitudes maliciosas como pentesting autorizado y abrió sesiones nuevas tras cada rechazo del modelo, evitando la persistencia del rechazo entre contextos.
• MAESTRO-L7 — Hasta 51 agentes especializados (escaneo, explotación, movimiento lateral, post-explotación) orquestados por un único operador, evidenciando que el riesgo de un ecosistema de agentes no se limita al defensor: puede ser la infraestructura del atacante.

46.21.250[.]135
CVE-2026-4815
CVE-2026-63030
CVE-2026-60137
cuentas administradoras con prefijo wp2_
directorios con prefijo wp2shell_
web shell familia WSO

title: Posible despliegue de web shell wp2shell vía REST API de WordPress
id: b3e4a1f0-9d2c-4b7e-8a61-5f0c3e9d2a71
status: experimental
description: Detecta solicitudes POST al endpoint REST de WordPress combinadas con indicadores de creación de cuentas administradoras con el prefijo wp2_, patrón reportado en la campaña CyberXero.
references:
  - https://labs.cloudsecurityalliance.org/research/csa-research-note-cyberxero-agent-swarm-iab-20261015-csa-sty/
logsource:
  category: webserver
detection:
  rest_api:
    cs-uri-stem|contains: '/wp-json/'
    cs-method: 'POST'
  rogue_admin:
    cs-uri-query|contains: 'wp2_'
  condition: rest_api and rogue_admin
falsepositives:
  - Plugins legítimos que automatizan la creación de usuarios vía REST API
  - Pruebas internas de desarrollo con nomenclatura similar
level: high

CommonSecurityLog
| where RequestURL has "/wp-json/"
| summarize ReqCount = count(), DistinctPaths = dcount(RequestURL) by SourceIP, bin(TimeGenerated, 1m)
| where ReqCount > 50
| order by ReqCount desc

<rule id="100210" level="12">
  <if_sid>550</if_sid>
  <field name="file" type="pcre2">(?i)wp-content/(uploads|plugins)/.*wp2shell.*\.php$|(?i)wp-content/(uploads|plugins)/.*\.php$</field>
  <description>Posible web shell (patron wp2shell/WSO) creado en directorio de WordPress</description>
  <mitre>
    <id>T1505.003</id>
  </mitre>
</rule>

Fuentes

• Cloud Security Alliance (CSA Labs)CSA Research Note: CyberXero — Claude Code Agent Swarms in an Access Broker Operation · 2026-10-15
• SOCRadarCyberXero: AI-Powered IAB Targeting Ukraine Critical Infrastructure · 2026-10-01
• The Hacker NewsCyberXero Uses Claude Code in Campaign · 2026-10-01
• eSecurity PlanetCyberXero Uses Claude Code in Theft of 628,000+ Ukrainian Records · 2026-10-01
• Security AffairsCyberXero Used 51 AI Agents to Steal 628,000 Ukrainian Records · 2026-10-01

Relacionado