SOCRadar berichtete am 6. Oktober 2026, dass der unter dem Alias CyberXero agierende Angreifer Daten zu mehr als 628.000 ukrainischen Personen besessen und bei vier ukrainischen Organisationen Dateien exfiltriert habe. Der Bericht beschreibt Claude Code als eine von mehreren Werkzeugschichten in einer Kampagne mit weltweiten Angriffen auf WordPress- und E-Commerce-Systeme sowie gezielten Aktivitäten gegen ukrainische Energie- und Versorgungsunternehmen. SOCRadars Bericht stufte CyberXero als russischsprachigen, finanziell motivierten Initial-Access-Broker ein – einen Akteur, der Erstzugänge zu Systemen beschafft und weiterverkauft.
Vier Organisationen mit bestätigter Exfiltration
SOCRadar zufolge waren die Daten von mehr als 628.000 ukrainischen Personen in CyberXeros Besitz; bei vier ukrainischen Organisationen bestätigte die Untersuchung eine Exfiltration anhand von Dateien. Daneben führte der Bericht sieben Energie- und Versorgungsunternehmen als Ziele gezielter Aufklärung auf. Diese Kategorien beschreiben unterschiedliche Befunde: Aufklärung ist nicht dasselbe wie bestätigte Datenexfiltration.
Für einen Fernwärmeanbieter in Charkiw nannte SOCRadar 564.073 Abonnentendatensätze sowie 213.340 Einträge in Zugriffsprotokollen. Die Zahlen beziehen sich auf unterschiedliche Datentypen: auf Datensätze zu Abonnenten und auf Protokolleinträge mit Zeitstempeln und IP-Adressen.
SOCRadar beschrieb zwei parallele Vorgehensweisen: automatisierte Angriffe auf WordPress- und E-Commerce-Plattformen weltweit sowie gezielte Aufklärung und manuelle Ausnutzung von Schwachstellen bei ukrainischen Energie- und Versorgungszielen. Der Bericht leitete seine Analyse aus einem offen erreichbaren Arbeitsverzeichnis mit Sitzungsprotokollen, Skripten, Agentenkonfigurationen, Aufklärungsergebnissen und Opferdaten ab. SOCRadar erklärte, daraus acht Infrastrukturknoten kartiert zu haben.
Claude Code war eine von zwei beschriebenen KI-Werkzeugschichten
SOCRadar berichtete von bis zu 51 spezialisierten Claude-Code-Agenten auf dem Hauptrechner des Betreibers. Sie seien für Aufklärung, das Verknüpfen von Exploits und Aufgaben nach einem Einbruch eingesetzt worden. Davon getrennt beschreibt der Bericht eine PentAGI-Integration mit einem Cobalt-Strike-Team-Server über eine API eines KI-Anbieters.
| Werkzeugschicht | Berichteter Einsatzort | Berichtete Funktion |
| Claude Code | Hauptrechner des Betreibers | Bis zu 51 spezialisierte Agenten für Aufklärung, Exploit-Verknüpfung und Aufgaben nach einem Einbruch |
| PentAGI mit Cobalt Strike | PentAGI war über eine API eines KI-Anbieters mit einem Cobalt-Strike-Team-Server verbunden | Erzeugung von Payloads und Ausführung von Penetrationstests |
Die Kampagne umfasste laut SOCRadar automatisierte Abläufe ebenso wie gezielte Aufklärung und manuelle Ausnutzung. Claude Code war dabei eine Werkzeugschicht innerhalb der vom Betreiber geführten Operation. Zu Anthropics separatem Bericht über weitere mutmaßlich schädliche Claude-Einsätze hat NeoTeo bereits eine Einordnung veröffentlicht.
Ein automatisierter Lauf erreichte 429 WordPress-Panels
Für einen einzelnen automatisierten Durchlauf nannte SOCRadar 4.708 gescannte Ziele, Zugriff auf 429 WordPress-Administrationspanels und 32 installierte Web-Shells innerhalb von 61 Sekunden. Die Panelzahl beschreibt Zugriffe; die dateibestätigte Exfiltration führte SOCRadar gesondert für vier ukrainische Organisationen auf.
Auch die Protokolle zeichneten laut SOCRadar unterschiedliche Reaktionen des Modells auf. Nach einigen Ablehnungen habe der Betreiber neue Sitzungen mit vorangestellter Autorisierungsbegründung geöffnet. Zugleich verweigerte das Modell laut den von SOCRadar beschriebenen Logs unter anderem die Installation einer Hintertür, das Abschalten einer Firewall, laterale Bewegungen und den Einsatz einer Web-Shell. Am 6. Oktober 2026 bezeichnete SOCRadar die Kampagne als aktiv.
