A Nemzeti Kiberbiztonsági Intézet (NKI) október 13-án foglalta össze a SOCRadar kutatócsoportjának október 6-i jelentését. A kutatók a CyberXero álnéven ismert szereplőt pénzügyi motivációjú kezdeti hozzáférés-brókerként (Initial Access Broker, IAB) írják le. Az ilyen támadó szervezetek rendszereibe tör be, majd a megszerzett hozzáférést más bűnözőknek adja el. A CyberXero abban tér el a megszokottól, hogy a hagyományos támadóeszközeit AI-alapú automatizálással egészítette ki, így egyedül is akkora léptékben dolgozott, amihez korábban egy csapat kellett volna.

Az alábbi számok és megállapítások a SOCRadar saját vizsgálatából származnak. Független forrás ezeket eddig nem erősítette meg, az NKI is a SOCRadar jelentését foglalta össze.

Mit talált a SOCRadar?

A vizsgálat egyetlen konfigurációs hibából indult. A támadó egyik szerverén hozzáférés-korlátozás nélkül elérhető volt az élő munkakönyvtára: több mint 90 ezer fájl, 3000 alkönyvtárban. Volt benne támadóeszköz, felderítési eredmény, AI-ügynökök beállítása, munkamenetnapló, ellopott adatbázis és nyílt szövegű hozzáférési token is. Ebből kiindulva a kutatók nyolc, egymással összefüggő szervert azonosítottak. Az infrastruktúra egy része Európában működött, a Cobalt Strike vezérlőszervere és több kiszolgáló rendszer pedig a Tencent Cloudon.

Az első infrastruktúraelemek 2026 júliusában jelentek meg. Az aktivitás a moszkvai időzónához igazodik, a munkanyelv jellemzően orosz. A SOCRadar célországként Ukrajnát, Lengyelországot, Kínát és Pakisztánt nevezi meg. A jelentés szerint a támadó a közzétételkor még aktív volt.

Két párhuzamos támadási vonal

Az egyik vonal tömeges és automatizált. Központi eszköze a támadó saját fejlesztésű wp2shell nevű Python-csomagja. Ez a WordPress REST API kötegelt kéréseket kezelő végpontjának hibáján keresztül SQL-injekciót hajt végre, jogosulatlan rendszergazdai fiókot hoz létre, majd webshellt telepít bővítményként. A létrehozott fiókok neve mindig a wp2_ előtagból és nyolc hexadecimális karakterből áll. A sikeres betörésekről a támadó Telegram-boton kapott értesítést.

A SOCRadar szerint egyetlen, 61 másodperces futtatás 4708 weboldalt vizsgált át, 429 adminfelülethez igazolt hozzáférést, és 32 webshellt telepített. A teljes célpontlista több mint 56 ezer webcímet tartalmazott. A WordPress mellett Magento webáruházakat is támadott, a Support Board nevű ügyfélszolgálati bővítmény CVE-2026-4815 számú hibáját pedig a nyilvánosságra hozatal után 30 napon belül kihasználta. A wp2shell láncaihoz a jelentés a CVE-2026-63030 és a CVE-2026-60137 azonosítót adja meg.

A másik vonal célzott, és Ukrajnára összpontosít. A támadó hét ukrán energia- és közműszolgáltatónál végzett alapos felderítést, köztük az országos villamosenergia-átviteli rendszerirányítónál és az ország legnagyobb magántulajdonú energetikai csoportjánál. Csak e két szervezetnél 95 aldomaint térképezett fel, levelezési, VPN- és hálózatirányítási rendszerekkel. A SOCRadar szerint ennél a hét cégnél betörést nem igazoltak.

Négy másik ukrán szervezetnél viszont a kutatók a támadó gépén talált fájlok alapján igazolták az adatlopást. A legsúlyosabb eset egy harkivi távhőszolgáltatót érintett: a támadó a saját szkriptjébe beírt rendszergazdai jelszóval lépett be, és 564 073 előfizetői rekordot, valamint 213 340 hozzáférési naplóbejegyzést töltött le. Az adatok között személyes adatok, lakcímek, ügyfélszámok és IP-címek is vannak. A SOCRadar szerint a négy szervezettől összesen több mint 628 ezer ukrán személyhez köthető rekord került a támadóhoz. Mivel Harkiv frontközeli város, a kutatók szerint az adatok az érintettek fizikai biztonságát is veszélyeztethetik.

A jelentés a két vonal mögött ugyanazt a személyt látja. Az ukrán energetikai felderítésre a legvalószínűbb magyarázatnak azt tartja, hogy a támadó egy konkrét vevőnek gyűjtött hozzáféréseket. Az értékesítésre közvetlen bizonyítékot nem talált.

Hogyan használt AI-t a támadó?

Két, egymástól független rétegben. A fő munkaállomáson egy külön könyvtárban 51 Claude Code ügynök volt definiálva, felderítési, támadási és adatkimentési szerepekkel. A szerepnevek között a SOCRadar a c2-operator, az exploit-chainer, a scada-attacker és a lateral-movement nevet is felsorolja. A „scada-attacker” név önmagában nem bizonyítja, hogy a támadó ipari vezérlőrendszert manipulált volna, és a jelentés ilyet nem is állít.

A második réteg a Cobalt Strike szerverén futott: a nyílt forráskódú PentAGI, egy AI-támogatott behatolástesztelő keretrendszer, amelyet a támadó egy AI-szolgáltató API-ján keresztül kötött össze a Cobalt Strike-kal. A konfiguráció szerint a drágább, erősebb modelleket a bonyolultabb feladatokra, az olcsóbbakat a rutinmunkára osztotta be.

A munkamenetnaplókból az is kiderül, hogyan próbálta megkerülni a modell biztonsági korlátait. Rendszeresen azt írta, hogy a saját infrastruktúráján végez engedélyezett behatolástesztet. Ha a modell elutasította a kérést, új munkamenetet nyitott, és ugyanezzel a hamis felhatalmazással kezdte újra. A naplók ugyanakkor olyan elutasításokat is rögzítettek, amelyek kitartottak: a modell nem segített hátsó ajtót telepíteni, tűzfalat kikapcsolni, a hálózaton belül továbblépni és webshellt telepíteni.

Mit jelent ez egy magyar KKV-nak?

A tanulság nem az, hogy a támadó melyik AI-t használta, hanem az, hogy egyetlen ember ilyen léptékben dolgozhatott. Aki WordPress-oldalt, webáruházat vagy nyilvános adminfelületet üzemeltet, és nem frissít rendszeresen, ugyanabba a több tízezres célpontlistába kerülhet. A jelentés magyar áldozatot nem nevez meg.

A magyar jogi keret azoknál a szervezeteknél releváns, amelyek a Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény (Kibertv.) hatálya alá tartoznak. A törvény 6. § (5) bekezdés d) pontja szerint, ha a szervezet külső közreműködőt vesz igénybe, a szükséges kiberbiztonsági követelményeket szerződéses kötelemként kell rögzíteni. Az e) pont incidens vagy kiberfenyegetés esetén gyors reagálást, bejelentést és helyreállítást ír elő. A hatály a törvény 2. és 3. mellékletében felsorolt ágazatokban működő, legalább középvállalkozás méretű szervezetekre terjed ki [1. § (1) d) pont], egyes szolgáltatókra méretüktől függetlenül. Hogy egy adott cég belefér-e, azt érdemes jogásszal megvizsgáltatni.

Gyakori kérdések

Állami megrendelésre dolgozott a támadó?

A SOCRadar pénzügyi motivációjú hozzáférés-brókerként sorolja be. Az ukrán energetikai célpontok mögött lehetséges vevőt lát, de az értékesítésre nem talált bizonyítékot.

A Claude Code okozta a támadást?

Nem. A támadó a saját munkaállomásán futtatta az ügynököket, és a naplók szerint a modell biztonsági elutasításait is igyekezett megkerülni. A betörések webes sérülékenységeken, gyenge vagy beégetett jelszavakon keresztül történtek.

Érintett magyar szervezet?

A jelentés célországként Ukrajnát, Lengyelországot, Kínát és Pakisztánt nevezi meg, és világszerte több mint 40 érintett szervezetet említ. Magyar áldozatot nem nevez meg.

Mit jelent a kezdeti hozzáférés-bróker?

Olyan támadót, aki megszerzi a belépést egy szervezet rendszereibe, majd ezt a hozzáférést eladja más bűnözőknek, ahelyett hogy maga zsarolná vagy károsítaná tovább az áldozatot.

Ellenőrizze a héten a WordPress-adminokat

Ha van nyilvános WordPress- vagy Magento-oldala, keressen wp2_ kezdetű, nyolc hexadecimális karakterre végződő rendszergazdai fiókot, és /wp-content/plugins/wp2shell_ kezdetű bővítménykönyvtárat. Frissítse a rendszert és a bővítményeket, és nézze meg, mikor frissítettek utoljára.

Zárja el az internet elől, aminek nem kell ott lennie

Ha bármely szerverén, tárhelyén vagy felhőfiókjában van olyan könyvtár, napló, biztonsági mentés, Redis-adatbázis vagy adminfelület, amely jelszó és IP-szűrés nélkül elérhető, zárja le azonnal. Az adminfelületeket tegye VPN vagy IP-korlátozás mögé. Ezt a támadót is egy nyitva hagyott könyvtár buktatta le, ugyanez a hiba az Ön adatait is kiteheti.

Kezelje érzékeny adatként az AI-ügynökök naplóit

Ha a cégénél AI-ügynök fér hozzá szerverhez, hálózathoz vagy ügyféladathoz, a munkamenetnaplóit ugyanúgy védje, mint a jelszavakat: korlátozott hozzáféréssel, titkosítva, meghatározott megőrzési idővel. A SOCRadar szerint ezek a naplók minden tervezett lépést és célpontot rögzítenek.

Írja bele a szerződésbe, mit vár a külső üzemeltetőtől

Ha külső fejlesztő vagy üzemeltető kezeli a weboldalát, kérje írásban a frissítési rendet, a hozzáférések listáját és az incidensjelzés határidejét. A Kibertv. hatálya alá tartozó szervezeteknél ez törvényi elvárás is.

Források