Un actor de amenazas vinculado al grupo Red Heron ha explotado vulnerabilidades en WordPress y switches ZyXEL, afectando a casi 1,000 dispositivos y robando más de 18,500 registros sensibles. Los ataques, detectados por GreyNoise, impactaron a organizaciones gubernamentales en diversos países, incluyendo una entidad occidental y una rusa. El atacante utilizó múltiples exploits conocidos y técnicas avanzadas para evadir la seguridad y extraer datos personales y credenciales.

Un actor de amenazas de habla china ha estado explotando vulnerabilidades en los switches gestionados inteligentes ZyXEL GS1900 y en WordPress para robar datos sensibles de 996 dispositivos y más de 18.500 registros almacenados en bases de datos backend.

El adversario se dirigió a múltiples tecnologías, incluyendo PAN-OS Global Protect, FlowiseAI, Nuclio, Proxmox y Ubiquity, con exploits para problemas de seguridad conocidos.

Los escaneos y ataques atribuidos al adversario se originan desde la misma dirección IP y han sido registrados desde principios de junio de 2026, y han sido atribuidos a un actor de amenazas relacionado con el grupo Red Heron, vinculado a la explotación de un fallo crítico en el servicio Git autoalojado Gitea.

La actividad fue detectada por la empresa de inteligencia de amenazas GreyNoise a través de su red de sensores Global Observation Grid (GOG).

Según los investigadores, el actor de amenazas aprovechó las vulnerabilidades wp2shell (CVE-2026-63030 y CVE-2026-60137) en el componente Core de WordPress para vulnerar al menos 49 organizaciones en 29 países.

Los exploits públicos para wp2shell estuvieron disponibles a mediados de julio, y se observó una explotación activa pocos días después. La campaña observada por GreyNoise comenzó aproximadamente al mismo tiempo, dirigiéndose a entidades de alto valor.

Si bien muchos objetivos se encontraban en los sectores de pequeñas empresas y gubernamentales, destaca una intrusión en una organización gubernamental occidental no identificada.

El atacante utilizó un exploit wp2shell personalizado y realizó un extenso reconocimiento de seguridad y de Windows, comprobando Microsoft Defender, AMSI, servicios disponibles, puertos de escucha, cuentas locales, restricciones de aplicaciones y configuración de bases de datos.

Durante 36 minutos, el actor de amenazas probó 17 scripts para evadir AMSI, escalar privilegios mediante la suplantación o robo de tokens, crear un administrador local y extraer datos del registro, afirma GreyNoise.

Tras localizar credenciales para una base de datos SQL backend, los atacantes las utilizaron en un ataque de password-spraying que les dio acceso a un servidor SQL interno, desde el cual robaron al menos 18.566 registros.

Según los investigadores, los datos contenían cuentas, contraseñas en texto plano e información de identificación personal (PII) conectada a agencias gubernamentales y de aplicación de la ley.

cronología del ataque wp2shell

Fuente: GreyNoise

El mismo atacante vulneró una organización estatal rusa en la Ucrania ocupada, lo que los investigadores describieron como un compromiso “red-on-red”.

Explotando múltiples fallos

El 17 de agosto, el actor de amenazas comenzó a explotar un fallo de alta gravedad (CVE-2026-7273) en los switches gestionados inteligentes ZyXEL GS1900 y comprometió 996 dispositivos en 48 países para extraer configuraciones de dispositivos, información de red y credenciales de nivel root hasheadas.

Cronología de la actividad de explotación
Fuente: GreyNoise

Además, los hackers intentaron encadenar las vulnerabilidades de Ubiquiti UniFi OS rastreadas como CVE-2026-34908, CVE-2026-34909 y CVE-2026-34910 para obtener la ejecución remota de código a nivel de root.

CISA ha señalado los tres fallos de Ubiquiti como activamente explotados desde finales de junio de 2026.

GreyNoise también confirmó el ataque a PAN-OS GlobalProtect, FlowiseAI (CVE-2026-56271), el fallo Dirty Pipe del kernel de Linux (CVE-2022-0847), Gitea (CVE-2026-60004), Nuclio (CVE-2026-79756), SENAITE LIMS (CVE-2026-54569) y Proxmox VE (CVE-2023-54391).

Los investigadores destacan que no todos los problemas de seguridad aprovechados en los ataques vinculados a este grupo de amenazas han sido añadidos al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA.

GreyNoise ha proporcionado un conjunto de indicadores de compromiso (IoCs) conectados con la actividad observada, que incluyen hashes para backdoors e infraestructura de comando y control (C2).

Fuente:
BleepingComputer