Dans son rapport publié le 6 octobre 2026, SOCRadar décrit une campagne de CyberXero comprenant des données concernant plus de 628 000 personnes ukrainiennes en possession de l’acteur et une exfiltration confirmée dans quatre organisations ukrainiennes. SOCRadar présente CyberXero comme un courtier d’accès initial russophone motivé par le gain financier. Claude Code faisait partie d’une chaîne d’outils plus vaste, utilisée dans une opération pilotée par l’opérateur.
Ce que recouvrent les chiffres ukrainiens
Les quatre organisations ayant subi une exfiltration confirmée ne sont pas les sept entités ukrainiennes de l’énergie et des services publics que SOCRadar décrit comme faisant l’objet de reconnaissance. Le repérage d’une cible ne signifie donc pas que ses données ont été exfiltrées.
Pour un fournisseur de chauffage urbain de Kharkiv, SOCRadar rapporte 564 073 dossiers d’abonnés contenant des données personnelles, des adresses et des numéros de compte. Le rapport mentionne séparément 213 340 entrées de journaux d’accès, avec des horodatages et des adresses IP. Ce sont deux catégories distinctes : elles ne constituent pas un décompte de personnes uniques.
NeoTeo avait déjà couvert un autre rapport d’Anthropic sur des usages de Claude liés à des opérations militaires et de surveillance associées à la Chine. Il s’agit d’un dossier distinct de la campagne CyberXero.
Claude Code, une couche parmi plusieurs outils
SOCRadar situe jusqu’à 51 agents spécialisés Claude Code sur le poste principal de l’opérateur. Le rapport distingue cette configuration d’une intégration séparée de PentAGI à un serveur d’équipe Cobalt Strike, via l’API d’un fournisseur d’IA.
| Couche d’outils | Configuration rapportée | Rôle rapporté |
| Claude Code | Jusqu’à 51 agents spécialisés sur le poste principal de l’opérateur | Reconnaissance, enchaînement d’exploits et tâches après l’exploitation |
| PentAGI et Cobalt Strike | PentAGI relié à un serveur d’équipe Cobalt Strike via l’API d’un fournisseur d’IA | Génération de charges utiles et exécution de tâches de test d’intrusion |
Cette séparation compte : les chiffres d’automatisation décrivent une exécution de la campagne, pas une action attribuée à Claude Code seul. SOCRadar rapporte que l’opérateur relançait certaines sessions après un refus, avec une justification d’autorisation préchargée. Le rapport décrit aussi des refus maintenus pour des demandes visant notamment à installer une porte dérobée, désactiver un pare-feu, se déplacer latéralement dans un réseau ou déployer un webshell.
Deux voies d’attaque, une exécution chiffrée
SOCRadar décrit d’un côté une campagne mondiale automatisée contre des sites WordPress et des plateformes de commerce en ligne, et de l’autre une reconnaissance sélective suivie d’exploitation manuelle visant des organisations ukrainiennes de l’énergie et des services publics. Pour le volet mondial, l’objectif rapporté était d’obtenir des accès à grande échelle, susceptibles d’être vendus ou utilisés pour dérober des données de paiement.
Une exécution automatisée a scanné 4 708 cibles, accédé à 429 panneaux d’administration WordPress et déployé 32 webshells en 61 secondes, selon SOCRadar. L’accès à un panneau ne signifie pas qu’une exfiltration de données a été confirmée pour chacune de ces cibles.
SOCRadar dit avoir découvert un répertoire exposé contenant des journaux de session, des scripts, des configurations, des résultats de reconnaissance et des données de victimes. Son rapport indique que cette analyse lui a permis de cartographier huit nœuds d’infrastructure. Il situait la campagne en activité au moment de sa publication, le 6 octobre 2026.
