Een cybercrimegroep liet drie weken lang een van haar eigen servers onbeveiligd op het internet staan, waardoor onderzoekers inzicht kregen in de werkwijze van hun massale hackoperatie. De blootgestelde server bevatte hackingtools, activiteitlogs en doelwitlijsten met meer dan 1,4 miljoen websites, waarvan een aanzienlijk aantal WordPress-sites. Hoewel veel minder sites daadwerkelijk werden gehackt, toonden de gegevens hoe de operatie intern functioneert.

De operatie, bekend onder de naam WP-SHELLSTORM, wordt door SOCRadar omschreven als een webshell-toegangshandel: een groep die op grote schaal websites infiltreert, een verborgen achterdeur (webshell) plaatst en deze toegang vervolgens doorverkoopt. Vooral WordPress-sites met verouderde plugins werden getroffen. Voor WordPress en Joomla waren de kwetsbaarheden in de Breeze caching plugin en de JCE editor van Joomla het meest exploiteerbaar.

De blootgestelde server, gehost in de Verenigde Staten op IP 137.175.93[.]126, werd op 11 juni 2026 ontdekt door SOCRadar. De server bevatte ongeveer 800MB aan data verdeeld over 434 bestanden, waaronder webshells, exploit-scripts, scanresultaten en command logs. Ook het team van Ctrl-Alt-Intel analyseerde dezelfde data, nadat zij deze vonden via Hunt.io, en publiceerden hun bevindingen eerder dan SOCRadar.

De blootstelling was het gevolg van een simpele fout: de operator startte een Python-webserver om bestanden te verplaatsen en liet deze 22 dagen draaien zonder wachtwoordbeveiliging. De groep gebruikte bekende kwetsbaarheden in website-plugins, vooral voor WordPress, en zette geautomatiseerde scanners in om exploits te richten op grote lijsten met doelwitten, verzameld via FOFA, een Chinese zoekmachine voor internetverbonden systemen vergelijkbaar met Shodan. Bij een kwetsbare site kon de exploit een webshell uploaden, waarmee de aanvaller commando’s op de server kan uitvoeren, bestanden kan lezen, wachtwoorden kan stelen en dieper in het netwerk kan doordringen.

In totaal werden 27 bekende kwetsbaarheden gebruikt, maar een beperkt aantal was verantwoordelijk voor het merendeel van de hacks. De meest succesvolle exploit betrof een bug in de Breeze caching plugin (CVE-2026-3844), die op meer dan 45.000 sites werd ingezet en volgens de eigen telling op meer dan 17.000 sites een backdoor plaatste. Deze exploit werkt alleen als een specifieke niet-standaard instelling is ingeschakeld, waardoor veel Breeze-installaties niet kwetsbaar waren.

De genoemde 1,4 miljoen domeinen betreft het aantal doelwitten op de lijsten, niet het aantal daadwerkelijk gehackte sites. De grootste lijst bevatte 587.034 Joomla-doelwitten. Het aantal bevestigde compromitteringen ligt veel lager: Ctrl-Alt-Intel telde 25.195 sites met bewijs van hacken, terwijl SOCRadar 5.700 actieve webshells vond. Zo werd een Joomla-kwetsbaarheid op meer dan 560.000 sites geprobeerd, maar slechts 77 sites werden daadwerkelijk geïnfiltreerd. Dit benadrukt dat op een scanlijst staan niet hetzelfde is als gehackt zijn.

De belangrijkste backdoor, een bestand genaamd down.php, was sterk geobfusceerd en gebaseerd op de open-source Chinese webshell BestShell. Deze backdoor kon bestanden beheren, commando’s uitvoeren, reverse shells openen, het netwerk scannen en controleren welke beveiligingssoftware actief was. Voor eigen toegang gebruikte de groep een SNOWLIGHT dropper om VShell te installeren, een stealthy backdoor die zich vermomt als een kernelthreadproces. Deze tools zijn eerder in verband gebracht met Chinese dreigingsactoren, zoals beschreven door Sysdig.