Der Akteur ist nach Einschätzung von SOCRadar mindestens seit Juli 2026 aktiv. „Die Operation betreibt zwei Pipelines gleichzeitig: eine globale, automatisierte Kampagne gegen WordPress- und E-Commerce-Plattformen und eine kuratierte, manuelle Kampagne gegen ukrainische Energie- und kritische Infrastruktur", heißt es in einem vergangene Woche veröffentlichten Bericht des Unternehmens. Die Kampagne läuft weiter.

Die globale Schiene zielt auf bekannte Sicherheitslücken, um die Kontrolle über WordPress-Installationen zu übernehmen:

Neben den vier ukrainischen Organisationen gibt es bestätigte Kompromittierungen in Polen, China und den Niederlanden. Die opportunistische Linie ist auf Zugänge und Zahlungsdaten ausgerichtet, die zweite, deutlich gezieltere Linie auf tiefe Aufklärung und manuelle Ausnutzung bei ukrainischen Energie- und Versorgungsunternehmen, darunter ein Wärmeversorger in Charkiw.

Aufgefallen ist die Operation SOCRadar durch ein offenes Verzeichnis unter der IP-Adresse 46.21.250[.]135, das das aktive Arbeitsverzeichnis einer Linux-Workstation des Angreifers preisgab: KI-Sitzungsprotokolle, Skripte mit Tokens im Klartext, Exploit-Werkzeugkästen, Aufklärungsergebnisse, Konfigurationen der KI-Agenten sowie bereits abgeflossene Opferdaten.

Die Auswertung dieses Verzeichnisses zeigt die Geschwindigkeit der Automatisierung: Ein einzelner automatisierter Durchlauf scannte 4.708 Ziele, bestätigte den Zugriff auf 429 WordPress-Administrationsoberflächen und setzte anschließend innerhalb von 61 Sekunden 32 Webshells ab. Die Angriffsarchitektur stützt sich auf acht unterschiedliche Knoten, darunter die Linux-Workstation des Täters, einen Provisionierungsserver, Monetarisierungsinfrastruktur, Server zum Bereitstellen von Payloads und einen Scanner zur Identifikation lohnender Ziele.

KI kommt in zwei voneinander unabhängigen Phasen des Angriffslebenszyklus zum Einsatz. Zum einen nutzt CyberXero Claude Code mit einem Verbund aus 51 spezialisierten Agenten für Scanning, das Verketten von Exploits, Aufklärung und Post-Exploitation; dieser Teil läuft auf der primären Workstation des Angreifers. Zum anderen ist PentAGI (Penetration testing Artificial General Intelligence), ein quelloffener, selbst gehosteter KI-Agent für vollautomatische Penetrationstests, über eine API eines KI-Anbieters mit Cobalt Strike verbunden und erzeugt Payloads und führt Pentest-Schritte aus. Diese Komponente läuft auf einem Cobalt Strike Team Server.

Um Verweigerungen des Modells zu umgehen, setzte der Akteur auf Context-Engineering und Sitzungs-Resets und gab an, einen „autorisierten Penetrationstest auf meiner eigenen Infrastruktur" durchzuführen. „Sicherheitskontrollen des Modells wirken auf den Kontext einer Sitzung, nicht auf die Modellgewichte, eine Verweigerung in einer Sitzung überträgt sich also nicht auf die nächste", erklärte SOCRadar. „Wenn ein Agent eine Aufgabe verweigerte, öffnete der Akteur eine frische Sitzung mit vorgeladener Autorisierungs-Rahmung und versuchte es erneut."

Nicht alle Versuche gelangen: „Die Protokolle verzeichnen auch echte Verweigerungen, die Bestand hatten: In vier Durchläufen lehnte das Modell es ab, eine Hintertür zu installieren, eine Firewall abzuschalten, sich lateral zu bewegen und eine Webshell abzulegen, und in einer separaten Episode verweigerte es einen Scan viermal hintereinander und wies ein gefälschtes Eigentümer-Token korrekt zurück."

Über WordPress und E-Commerce hinaus nutzt die Kampagne exponierte Redis-Server aus, was zur Kompromittierung von zwei chinesischen Einrichtungen führte. Organisationen, die WordPress, Magento oder PrestaShop betreiben oder Redis ins Internet exponieren, sollten laut SOCRadar auf unbekannte WordPress-Administratorkonten, WSO-Webshells und unerwartete Einträge in ~/.ssh/authorized_keys auf Redis-Hosts prüfen.

„Die opportunistische Pipeline ist global und automatisiert und jagt Zugriffsvolumen über E-Commerce und WordPress hinweg, mit direkter Monetarisierung über Zugangsverkäufe oder den Diebstahl von Zahlungsdaten", so SOCRadar. „Die gelenkte Pipeline ist selektiv und geografisch konzentriert und zielt auf tiefe Aufklärung und manuelle Ausnutzung bei ukrainischer kritischer Infrastruktur, ohne offensichtliche direkte Monetarisierungserklärung."

Operation Master: Einbruch, Datenverkauf und Rechnungsbetrug

Parallel hat SOCRadar eine durchgängige Cybercrime-Operation namens Operation Master beschrieben. Dabei werden Unternehmensnetze kompromittiert, Kunden- und Abrechnungsdatenbanken gestohlen, ein Teil der Daten in Untergrundforen zum Verkauf angeboten und die Daten anschließend für eine automatisierte, mandantenfähige Plattform für Rechnungsbetrug weiterverwendet. Der Akteur tritt in einschlägigen Foren unter dem Alias „masterblack" auf und war zwischen April und Mitte September 2026 mit mehreren Kampagnen aktiv:

  • Massenhaftes Scannen nach GlobalProtect-Gateways von Palo Alto Networks PAN-OS und Ausnutzung von CVE-2026-0257
  • Sondieren von SonicWall SMA VPN, Fortinet, Keycloak, Microsoft Exchange und Next.js-auf-IIS-Endpunkten
  • API-Aufklärung durch Sammeln öffentlicher Entwicklerdokumentation und Softwarepakete, darunter brasilianische Banking-API-Spezifikationen, ein OpenAPI-Schema aus dem Energiesektor, ein 3CX-Webclient-Bundle und Pakete zur Kontoerstellung
  • Automatisierte SQL-Injection-Kampagnen gegen brasilianische SaaS-, CRM-, Support-, Bildungs- und Finanzwebanwendungen zum Diebstahl sensibler Daten
  • Sondieren von ASP.NET-Anwendungen per __VIEWSTATE-SQL-Injection gegen 21 Finanzorganisationen
  • Ausnutzung von CVE-2022-28368, einer Schwachstelle zur Codeausführung aus der Ferne in Dompdf
  • Device-Code-Phishing und Password Spraying gegen Microsoft-365-Tenants von Unternehmen
  • Ausnutzung von CVE-2023-7028, einer Schwachstelle zur Kontoübernahme in GitLab, gegen GitLab-Instanzen eines Energieunternehmens
  • Brute-Force-Angriffe auf WordPress-Anmeldeseiten japanischer Unternehmen mit einem Wörterbuch aus vier Benutzernamen und 66 Passwörtern
  • Einsatz von GodPotato, Kerberoast, AS-REProast und Evil-WinRM sowie der Exploits CVE-2021-4034 (PwnKit), CVE-2024-1086 und CVE-2020-1938 (Ghostcat) zur Rechteausweitung, gefolgt von lateraler Bewegung
  • Datenabfluss über DNS-Tunneling, rclone und SFTP
  • Installation von AdaptixC2 zur Command-and-Control-Steuerung

Die Betrugsmaschinerie erzeugte mehr als 2,4 Millionen E-Mail-, SMS- und WhatsApp-Nachrichten sowie 622.666 personalisierte Rechnungslinks, die sich gegen brasilianische Verbraucher und Unternehmen richteten, bevor sie Mitte September offline ging. Ziel war, Empfänger zu Pix-Zahlungen zu verleiten. Die Plattform zeichnete 169.906 Interaktionen von Zielpersonen auf, was auf betrügerische Rechnungen im Wert von bis zu 38,9 Millionen R$ hindeutet; der kumulierte Rechnungswert aller klickverfolgten Kurzlinks lag bei 150,4 Millionen R$.

„Der Akteur agierte über mehrere Länder hinweg, kompromittierte kritische Netzwerkinfrastruktur, darunter VPN-Gateways über eine Authentifizierungsumgehung in GlobalProtect (CVE-2026-0257), und führte gleichzeitig fortgeschrittene Webanwendungs-Exploits aus, setzte das AdaptixC2-Framework ein und nutzte einen KI-gestützten Entwicklungsworkflow", so SOCRadar. Die Operation zeige „eine gefährliche Konvergenz in der modernen Bedrohungslandschaft: Perimeter-Exploits, die lange mit Cyberspionage und Ransomware verbunden waren, werden nun systematisch industrialisiert, um automatisierte, lokalisierte Ökosysteme für Finanzbetrug zu befeuern."

Wie CyberXero stützte sich auch masterblack stark auf Claude-basierte KI-Agenten, um Einbruchscode und Exfiltrationsskripte zu entwickeln, während der Betreiber selbst den Code des Betrugspanels und eigene AdaptixC2-Erweiterungen gestaltete. „Wiederhergestellte Transkripte von Verweigerungen zeigen, dass der Betreiber offensive Entwicklungsanfragen wiederholt als autorisierte Bug-Bounty- oder Penetrationstest-Tätigkeit darstellte, während er Funktionen anforderte, die zu anderweitig in der Operation beobachteten Aktivitäten passen", erklärte SOCRadar.