Dans son rapport publié le 6 octobre 2026, SOCRadar attribue à CyberXero une campagne menée sur deux fronts et situe Claude Code dans une chaîne d’outils plus vaste. Selon l’entreprise, jusqu’à 51 agents spécialisés auraient fonctionné sur le poste principal de l’opérateur. Un premier compte rendu en français revient sur les grandes lignes de cette alerte.
Le rôle attribué à Claude Code
SOCRadar décrit Claude Code comme une couche d’orchestration, utilisée sur le poste principal pour des tâches de reconnaissance, d’enchaînement d’exploits et de post-exploitation. L’entreprise distingue de cette installation une autre couche : PentAGI était relié à un serveur Team Server de Cobalt Strike par l’API d’un fournisseur d’IA. SOCRadar attribue à cette intégration la génération de charges utiles et l’exécution de tests d’intrusion.
Deux volets aux cibles différentes
SOCRadar décrit une opération automatisée visant des sites WordPress et de commerce en ligne à l’échelle mondiale, ainsi qu’un volet dirigé vers les acteurs ukrainiens de l’énergie et des services publics.
| Volet décrit par SOCRadar | Cibles | Approche rapportée |
| Campagne automatisée mondiale | Sites WordPress et de commerce en ligne | Reconnaissance et attaques automatisées |
| Campagne dirigée en Ukraine | Organisations de l’énergie et des services publics | Reconnaissance ciblée et exploitation manuelle |
Dans une exécution automatisée, SOCRadar rapporte le balayage de 4 708 cibles, un accès confirmé à 429 interfaces d’administration WordPress et le déploiement de 32 webshells en 61 secondes. Ces chiffres décrivent une seule exécution. Pour le volet ukrainien, l’entreprise fait état d’une exfiltration de fichiers confirmée dans quatre organisations et de sept autres entités de l’énergie et des services publics en phase de reconnaissance.
Les données du fournisseur de chauffage de Kharkiv
Pour un fournisseur de chauffage urbain non nommé à Kharkiv, SOCRadar décrit deux ensembles distincts : 564 073 dossiers d’abonnés contenant des données personnelles, des adresses de domicile et des numéros de compte, puis 213 340 entrées de journaux d’accès comprenant des horodatages et des adresses IP.
Selon le rapport, un identifiant codé en dur dans un script de l’opérateur a permis l’accès direct au fournisseur ; un extracteur multithread a ensuite récupéré les données. Les dossiers d’abonnés et les entrées de journaux d’accès sont deux catégories différentes, avec des contenus distincts.
Les éléments reliant l’activité à CyberXero
SOCRadar fonde son attribution sur plusieurs types d’indices : un fichier de compte trouvé dans un répertoire exposé, des journaux de session faisant référence à une publication sur le forum Dread sous l’alias CyberXero, la vérification externe de cette publication, ainsi que des traces d’infrastructure et d’abonnements. L’entreprise dit avoir rapproché des éléments sur cinq plateformes ; son rapport ne nomme pas l’opérateur.
Les indicateurs WordPress associés à la campagne
SOCRadar relève deux motifs à examiner lors d’une investigation : un nom d’administrateur commençant par wp2_ et suivi de huit caractères hexadécimaux, et le chemin de greffon /wp-content/plugins/wp2shell_[0-9a-f]{8}/. L’entreprise les associe à l’activité décrite dans son rapport.
