Qué hacer
esta semana 16 de octubre de 2026
alta · global

Bróker de accesos uso enjambres de Claude Code para escalar intrusiones

SOCRadar documentó a CyberXero, un presunto bróker de acceso inicial de habla rusa que habría orquestado hasta 51 agentes de Claude Code especializados en reconocimiento, explotación y post-explotación; en una sola corrida registrada de 61 segundos escaneó 4.708 objetivos, confirmó acceso a 429 paneles de administración de WordPress y desplegó 32 web shells.

Esta semana — prioridad 1

Parchear el plugin Support Board de WordPress y confirmar contra el aviso del proveedor la exposición a CVE-2026-4815 esfuerzo bajo · attack M1051 · cis 7.1 · iso27001 A.8.8
Retirar toda instancia Redis de exposición pública o forzar autenticación y binding a interfaz interna esfuerzo medio · attack M1030 · cis 4.4 · iso27001 A.8.20
Auditar cuentas administradoras de WordPress y remover las no reconocidas, con foco en el patrón wp2_ esfuerzo bajo · attack M1018 · cis 5.2 · iso27001 A.8.2

Este mes — prioridad 2

Desplegar reglas de limitación de tasa en el WAF sobre /wp-json/ para frenar escaneo masivo automatizado esfuerzo medio · attack M1037 · cis 13.3 · iso27001 A.8.23
Atar el uso de asistentes de codificación con IA a identidad corporativa con logging centralizado y monitoreo de rechazos repetidos esfuerzo medio · attack M1047 · cis 8.2 · iso27001 A.8.16

Indicadores a bloquear

Tipo	Indicador
ip	46.21.250[.]135
cve	CVE-2026-4815
cve	CVE-2026-63030
cve	CVE-2026-60137
patron	cuentas administradoras con prefijo wp2_
patron	directorios con prefijo wp2shell_
malware	web shell familia WSO

Qué necesitas tener logueado

Logs de acceso del servidor web (Apache/Nginx) o del WAF/proxy inverso que publica el sitio WordPress
Módulo de monitoreo de integridad de archivos (FIM) con whodata sobre el directorio wp-content
Logs de autenticación y creación de usuarios de WordPress (tabla wp_users o plugin de auditoría)
Logs de Redis y reglas de firewall perimetral para exposición a internet del puerto de servicio

Las reglas de detección de este análisis están listas para descargar en https://www.vantis.cl/noticias/cyberxero-enjambres-claude-code-access-broker/reglas.txt — incluyen la versión Sigma canónica y las traducciones a los motores que apliquen.