En un informe publicado el 6 de octubre de 2026, SOCRadar situó Claude Code en una de las capas de la cadena de herramientas que atribuye a CyberXero. La empresa describió dos líneas de actividad —una automatizada y global, otra dirigida a entidades ucranianas— y detalló la extracción de datos de un proveedor de calefacción de Járkov. (SOCRadar) La cobertura previa de NeoTeo sobre la relación entre Claude Code y la campaña de CyberXero ofrece el contexto inicial.
El papel de Claude Code en la operación
SOCRadar afirmó que el operador tenía hasta 51 agentes especializados de Claude Code en su estación de trabajo principal, destinados a tareas como reconocimiento, encadenamiento de exploits y actividades posteriores a la intrusión. La compañía describió por separado otra capa: PentAGI conectado a un servidor de Cobalt Strike mediante la API de un proveedor de inteligencia artificial. A esa integración atribuyó la generación de cargas maliciosas y la ejecución de pruebas de penetración.
Los registros de sesión que SOCRadar dijo haber recuperado incluían solicitudes reformuladas y aperturas de nuevas sesiones después de algunas negativas. También registraban rechazos que se mantuvieron ante peticiones relacionadas con instalar una puerta trasera, desactivar un cortafuegos, moverse lateralmente y desplegar una web shell. Claude Code aparece así como una pieza dentro de una cadena más amplia de herramientas.
Dos líneas de actividad con objetivos distintos
SOCRadar describió un flujo automatizado dirigido a escala global contra sitios WordPress y plataformas de comercio electrónico, junto a otro de reconocimiento selectivo y explotación manual contra entidades ucranianas de energía y servicios públicos.
| Línea de actividad | Objetivos | Método descrito por SOCRadar |
| Automatizada y global | Sitios WordPress y plataformas de comercio electrónico | Escaneo automatizado y acceso a paneles de administración de WordPress |
| Dirigida a Ucrania | Entidades de energía y servicios públicos | Reconocimiento selectivo y explotación manual |
En una ejecución del flujo automatizado, SOCRadar contabilizó 4.708 objetivos escaneados, acceso a 429 paneles de administración de WordPress y el despliegue de 32 web shells en una ventana de 61 segundos. Son medidas de una ejecución concreta. En la actividad dirigida a Ucrania, la empresa distinguió cuatro organizaciones con exfiltración de archivos que describió como confirmada y otras siete entidades bajo reconocimiento.
Los datos del proveedor de calefacción de Járkov
Para un proveedor de calefacción de distrito cuyo nombre no se publicó, SOCRadar describió dos conjuntos de datos separados: 564.073 registros de abonados, con datos personales, domicilios y números de cuenta, y 213.340 entradas de registros de acceso, con marcas de tiempo y direcciones IP.
Según la empresa, una credencial codificada en un script del operador permitió el acceso directo y un extractor multihilo obtuvo los datos. La distinción entre ambos conjuntos importa: uno reunía información de abonados y el otro, registros de actividad de acceso.
Qué elementos vincula SOCRadar con CyberXero
SOCRadar dijo que encontró un directorio abierto con archivos de trabajo, registros de sesión y datos de víctimas. El directorio contenía más de 90.000 archivos distribuidos en 3.000 subdirectorios. Entre los indicios que la empresa relacionó con CyberXero citó un archivo de cuenta, registros de sesión que remitían a una publicación del foro Dread bajo ese alias, la verificación externa de esa publicación y rastros de infraestructura y suscripciones.
La atribución se refiere al alias CyberXero: SOCRadar afirmó que su análisis de identidad abarcó cinco plataformas, sin publicar el nombre de una persona. La empresa situó la primera observación de infraestructura asociada al alias en julio de 2026 y dijo que la operación seguía activa cuando publicó el informe, el 6 de octubre.
Indicadores de WordPress asociados a la campaña
SOCRadar relacionó con la actividad descrita dos patrones que los administradores pueden revisar en sus instalaciones: nombres de usuario de administrador con el prefijo wp2_ seguido de ocho caracteres hexadecimales, y rutas de plugin con esta forma: /wp-content/plugins/wp2shell_[0-9a-f]{8}/. La presencia de estos patrones es una señal para investigar la instalación, no una atribución automática del ataque.
