Група за киберпрестъпления остави един от собствените си сървъри напълно достъпен в интернет в продължение на три седмици, разкривайки вътрешните механизми на операцията си: хакерски инструменти, логове за активност и списъци с цели, съдържащи над 1,4 милиона уебсайта.

Въпреки че много по-малко сайтове са били действително компрометирани, разкритите файлове показаха на изследователите как функционира една масова операция за хакване на сайтове отвътре.

Операцията, проследявана под името WP-SHELLSTORM, е това, което SOCRadar нарича брокерство на достъп до уебшелове (webshell access brokerage) – група, която компрометира мащабно сайтове, инсталира скрит бекдор („уебшел“) на всеки от тях и подготвя този достъп за препродажба.

Най-сериозната активност е засегнала сайтове с WordPress, работещи с остарели плъгини. Най-значимите две уязвимости са в плъгина за кеширане Breeze и редактора JCE за Joomla.

Два екипа са проучили една и съща изложена папка. Екипът за анализ на заплахи на SOCRadar я забелязва на 11 юни 2026 г. на нает сървър в САЩ с адрес 137.175.93[.]126 без никаква парола. Вътре е имало около 800MB данни в 434 файла: уебшелове, експлойт скриптове, резултати от сканиране, история на командите на оператора и настройки за командване и контрол.

Ctrl-Alt-Intel също са анализирали същата директория, намирайки я в платформата за отворени директории Hunt.io, и са публикували доклад на 22 юни, седмици преди собствения доклад на SOCRadar от 9 юли. Компрометирането се дължи на проста грешка: операторът е стартирал обикновен Python уеб сървър за прехвърляне на файлове и го е оставил да работи 22 дни.

Групата е използвала публично известни уязвимости в плъгини за уебсайтове (главно за WordPress) и е изградила автоматизирани скенери, за да насочи тези експлойти към огромни списъци с цели, извлечени от FOFA (китайска търсачка за свързани с интернет системи, подобна на Shodan).

Когато сайтът е работил с уязвима версия, експлойтът е можел да качи уебшел – малък скрипт, който позволява на атакуващия да изпълнява команди на сървъра от всякъде, да чете файлове, да краде пароли и да се придвижва по-дълбоко в мрежата.

Наборът от инструменти е покривал 27 известни уязвимости, въпреки че няколко от тях са свършили основната работа. Най-резултатна е била уязвимост в плъгина за кеширане Breeze (CVE-2026-3844), която е била насочена към над 45 000 цели, като според собствените данни на групата са компрометирани над 17 000 от тях. Тази уязвимост обаче работи само когато е включена специфична настройка ("Host Files Locally – Gravatars"), така че повечето инсталации на Breeze не са били застрашени.

Броят от 1,4 милиона представлява домейните в списъците с цели, а не действително компрометираните сайтове. Тези списъци обхващат WordPress, Joomla и други платформи. Най-големият файл е бил списък с 587 034 цели на Joomla. Действително компрометираните сайтове са много по-малко: Ctrl-Alt-Intel установява 25 195 сайта с потвърдени доказателства за компрометиране, докато SOCRadar оценява активните уебшелове на над 5700.

Основният бекдор, файл с име down.php, е бил силно обфускиран на четири нива и изглежда е базиран на китайския уебшел с отворен код BestShell. За отдалечен достъп екипът е използвал SNOWLIGHT дропер за инсталиране на VShell – скрит бекдор, който маскира името на процеса си като [kworker/0:2], за да се слее с нишките на ядрото на Linux.

През април 2025 г. Sysdig свърза веригата SNOWLIGHT-VShell с предполагаемата китайска държавна група UNC5174. Въпреки това VShell е често срещан инструмент в китайскоговорящите криминални среди.

Сървърът съдържа следи и от по-ранна кампания в началото на май 2026 г. срещу корпоративни Java системи. Извлечени са били 613 конфигурационни файла от 11 системи в 9 компании от сферата на финтех, електронна търговия, логистика и др. Нападението е разчитало на стара уязвимост в Nacos (CVE-2021-29441), позволяваща заобикаляне на оторизацията. Анализаторите предполагат, че операторът е китайскоговорящ.