El 6 de octubre de 2026, SOCRadar publicó un informe que atribuye a CyberXero datos relativos a más de 628.000 personas ucranianas y exfiltración confirmada en cuatro organizaciones. La operación, según la firma, combinó ataques globales automatizados contra WordPress y plataformas de comercio electrónico con reconocimiento selectivo de entidades ucranianas de energía y servicios públicos. El informe de SOCRadar sitúa Claude Code dentro de una cadena de herramientas más amplia, gestionada por el operador.
Qué dicen las cifras sobre las organizaciones y los datos
SOCRadar afirma que sus archivos confirmaban la exfiltración de datos de cuatro organizaciones ucranianas. Por separado, el informe sitúa otras siete entidades de energía y servicios públicos bajo reconocimiento, es decir, recopilación de información sobre posibles objetivos.
Para una empresa de calefacción urbana de Járkov, SOCRadar detalla 564.073 registros de abonados, con datos personales, direcciones y números de cuenta, además de 213.340 entradas de registros de acceso con marcas de tiempo y direcciones IP. Son dos categorías distintas de datos descritas para esa entidad.
Claude Code era una parte de la cadena de herramientas
SOCRadar describe hasta 51 agentes especializados de Claude Code en el equipo principal del operador. También identifica una integración separada de PentAGI con un servidor de equipo de Cobalt Strike, conectada mediante la API de un proveedor de IA.
| Capa de herramientas | Ubicación descrita por SOCRadar | Función descrita por SOCRadar |
| Claude Code | Equipo principal del operador | Hasta 51 agentes para reconocimiento, encadenamiento de exploits y tareas posteriores a la explotación |
| PentAGI y Cobalt Strike | PentAGI conectada a un servidor de equipo de Cobalt Strike mediante una API de un proveedor de IA | Generación de cargas útiles y ejecución de pruebas de penetración |
La arquitectura descrita combina herramientas y tareas automatizadas dentro de una operación gestionada por el operador. Como contexto relacionado, NeoTeo ya abordó el informe general de Anthropic sobre usos maliciosos de Claude; SOCRadar atribuye la campaña CyberXero a un actor distinto y describe este episodio concreto.
Dos frentes y una ejecución automatizada
SOCRadar distingue un frente global automatizado contra sitios de WordPress y comercio electrónico de otro selectivo, dirigido a entidades ucranianas de energía y servicios públicos mediante reconocimiento y explotación manual.
En una ejecución automatizada, el informe contabiliza 4.708 objetivos escaneados, acceso a 429 paneles de administración de WordPress y el despliegue de 32 shells en 61 segundos. La cifra de paneles describe accesos a esos paneles; la exfiltración confirmada corresponde a las cuatro organizaciones mencionadas por separado.
SOCRadar también describe intentos del operador de reabrir sesiones con instrucciones de autorización después de algunas negativas del modelo. En otros registros, el modelo rechazó solicitudes para instalar una puerta trasera, desactivar un cortafuegos, desplazarse lateralmente por una red y desplegar una web shell. El informe de SOCRadar describió la campaña como activa en la fecha de su publicación, el 6 de octubre de 2026.
