Изследователите подозират, че хакерът е използвал големи езикови модели (LLM) за разработване на персонализирани инструменти.
Китайскоезичен атакуващ провежда хакерска кампания най-малко от юни насам, свързана с кражбата на хиляди документи от най-малко едно западно правителство, според публикация от понеделник в блога на компанията за разузнаване на заплахи GreyNoise.
Хакерът е насочил действията си към критични уязвимости в множество технологии, включително WordPress, Zyxel и Ubiquiti, и е заподозрян в използването на голям езиков модел за разработване на персонализирани инструменти, използвани в атаките.
Изследователите все още се опитват да установят конкретните подбуди на противника извън събирането на големи количества информация.
„Атакуващият е фокусиран върху осигуряване на достъп и кражба на данни“, заяви Андрю Томпсън, старши вицепрезидент по операции срещу противници в GreyNoise Intelligence, пред Cybersecurity Dive. „Крайният облагодетелстван все още не е известен.“
Целенасочени критични уязвимости
Според GreyNoise, авторът на заплахата е атакувал няколко уязвимости през последните месеци.
На 12 юни хакерът се е опитал да експлоатира верига от уязвимости в Ubiquiti с цел постигане на отдалечено изпълнение на код (RCE). Уязвимостите включват CVE-2026-34908, CVE-2026-34909 и CVE-2026-34910. Тези уязвимости бяха добавени към каталога с известни експлоатирани уязвимости на Агенцията за киберсигурност и инфраструктурна сигурност (CISA) на 23 юни.
На 20 юли атакуващият е насочил действията си към верига от експлоати в WordPress, наречена wp2shell, която включва CVE-2026-63030 и CVE-2026-60137. Хакерите са получили достъп до 49 организации в 29 държави, засягайки предимно правителствени агенции и малки предприятия.
Наскоро хакерът е атакувал смарт управляеми суичове Zyxel GS1900, използвайки нов експлойт за CVE-2026-7273, заявяват от GreyNoise. Засегнати са 996 суича в 48 държави, според изследователите.
Изследователите предупредиха, че противникът използва и 17 различни скрипта за заобикаляне на Microsoft Antimalware Scan Interface (AMSI). Атакуващият ескалира привилегии чрез фалшифициране на токени (token impersonation) и създава локален администраторски акаунт.
Заподозреният хакер има съвпадения с противник, известен като Red Heron. По-рано този месец изследователи от Acronis проследиха как Red Heron експлоатира CVE-2026-60004 — критична уязвимост в Gitea, платформа за управление на изходен код на собствен сървър.