Am 6. Oktober 2026 veröffentlichte SOCRadar einen Bericht, der Claude Code als einen Baustein in der CyberXero zugeschriebenen Toolchain beschreibt. Zugleich unterschied das Unternehmen zwischen einer automatisierten, weltweit ausgerichteten Kampagne gegen WordPress- und E-Commerce-Ziele und gezielten Aktivitäten gegen ukrainische Energie- und Versorgungsunternehmen. SOCRadar stufte die Operation am Tag der Veröffentlichung als aktiv ein. Der Bericht von SOCRadar ordnet CyberXero als russischsprachigen, finanziell motivierten Initial-Access-Broker ein. Eine frühere NeoTeo-Zusammenfassung des SOCRadar-Berichts bietet den Überblick zur ursprünglichen Meldung.
Welche Rolle Claude Code laut SOCRadar spielte
Auf dem Hauptrechner des Betreibers liefen dem Bericht zufolge bis zu 51 spezialisierte Claude-Code-Agenten. SOCRadar nennt Aufklärung, das Verknüpfen von Exploits und Aufgaben nach einem erfolgreichen Zugriff als Einsatzbereiche.
Daneben beschreibt SOCRadar eine separate Ebene: PentAGI sei über eine API eines KI-Anbieters mit einem Cobalt Strike Team Server verbunden gewesen. Diese Komponente habe der Erzeugung von Schadcode und der Ausführung von Penetrationstests gedient. Der Bericht ordnet Claude Code damit in eine größere Werkzeugkette mit getrennten Komponenten ein.
SOCRadar zufolge dokumentierten Sitzungsprotokolle auch Ablehnungen des Modells: Es verweigerte Anfragen zur Installation einer Backdoor, zum Abschalten einer Firewall, zur lateralen Bewegung im Netzwerk und zum Einsatz einer Webshell. In einer anderen Sequenz lehnte es einen Scan viermal ab und wies ein gefälschtes Berechtigungstoken zurück. Die Protokolle hielten zugleich Versuche fest, Anfragen neu zu formulieren oder nach einer Ablehnung eine neue Sitzung zu öffnen.
Zwei Kampagnenstränge mit unterschiedlichen Zielen
SOCRadar beschreibt zwei parallel verlaufende Stränge:
| Berichteter Strang | Ziel | Vorgehen laut SOCRadar |
| Automatisierte Kampagne | WordPress- und E-Commerce-Ziele weltweit | Automatisiertes Vorgehen |
| Gezielte Kampagne | Energie- und Versorgungsunternehmen in der Ukraine | Gezielte Aufklärung und manuelle Ausnutzung von Schwachstellen |
Bei einem einzelnen automatisierten Durchlauf wurden laut SOCRadar 4.708 Ziele gescannt und der Zugriff auf 429 WordPress-Administrationsoberflächen bestätigt. Innerhalb eines Zeitfensters von 61 Sekunden seien 32 Webshells installiert worden. Die Zahlen beschreiben unterschiedliche Schritte dieses Durchlaufs: gescannte Ziele, zugängliche Admin-Oberflächen und installierte Webshells.
Für die ukrainischen Aktivitäten meldete SOCRadar vier Organisationen mit dateibestätigter Datenexfiltration. Bei sieben weiteren Energie- und Versorgungsunternehmen habe der Akteur gezielte Aufklärung betrieben. Außerdem seien Daten zu mehr als 628.000 ukrainischen Personen in seinem Besitz gewesen.
Datenzugriff bei einem Versorger in Charkiw
Für einen nicht namentlich genannten Fernwärmeversorger in Charkiw beschreibt SOCRadar zwei getrennte Datensätze: 564.073 Kundendatensätze mit persönlichen Angaben, Wohnadressen und Kontonummern sowie 213.340 Einträge aus Zugriffsprotokollen mit Zeitstempeln und IP-Adressen.
Ein im Skript des Akteurs fest hinterlegtes Zugangsmittel habe den direkten Zugriff ermöglicht. Anschließend habe ein mehrthreadiger Datenextraktor die Datensätze abgerufen. Die beiden Zahlen beziehen sich auf unterschiedliche Arten von Informationen: auf Kundendatensätze einerseits und Protokolleinträge andererseits.
Welche Hinweise SOCRadar CyberXero zuordnet
SOCRadar begründet die Zuordnung zum Alias CyberXero mit mehreren zusammenlaufenden Spuren: einer Kontodatei in einem offen erreichbaren Verzeichnis, Sitzungsprotokollen mit Verweisen auf einen Dread-Forumbeitrag unter dem Alias CyberXero, einer externen Prüfung dieses Beitrags sowie Infrastruktur- und Abonnementspuren.
Für WordPress nennt SOCRadar zwei Muster, die mit der Kampagne verbunden seien: Administratornamen mit dem Präfix wp2_, auf das acht hexadezimale Zeichen folgen, sowie Plugin-Verzeichnisse nach dem Muster /wp-content/plugins/wp2shell_[0-9a-f]{8}/.
