Il rapporto pubblicato da SOCRadar il 6 ottobre 2026 attribuisce a CyberXero una campagna informatica in cui l’operatore aveva dati relativi a oltre 628.000 persone ucraine. SOCRadar riferisce inoltre l’esfiltrazione di file da quattro organizzazioni ucraine.
SOCRadar descrive CyberXero come un broker di accesso iniziale russofono e motivato da finalità finanziarie. Secondo il rapporto, la campagna comprendeva attacchi automatizzati a livello globale contro siti WordPress e piattaforme di commercio elettronico, oltre a ricognizione selettiva e sfruttamento manuale contro organizzazioni ucraine del settore energetico e dei servizi pubblici. Per un contesto più ampio ma distinto sugli usi malevoli attribuiti a Claude, NeoTeo ha già raccontato un rapporto di Anthropic.
I numeri sulle organizzazioni e sui dati ucraini
SOCRadar distingue le quattro organizzazioni con esfiltrazione confermata da sette entità ucraine dell’energia e dei servizi pubblici sottoposte a ricognizione. Per un fornitore di teleriscaldamento di Kharkiv, il rapporto indica 564.073 record di abbonati, contenenti dati personali, indirizzi e numeri di conto, e 213.340 voci di log di accesso con orari e indirizzi IP.
Claude Code era uno strato della catena operativa
SOCRadar riferisce che sulla postazione principale dell’operatore erano presenti fino a 51 agenti specializzati di Claude Code, impiegati per ricognizione, concatenamento di exploit e attività successive alla compromissione. Il rapporto descrive separatamente PentAGI, collegato a un server Cobalt Strike tramite l’API di un fornitore di IA.
| Livello di strumenti | Dove si trovava | Ruolo descritto da SOCRadar |
| Claude Code | Postazione principale dell’operatore | Fino a 51 agenti per ricognizione, concatenamento di exploit e attività successive alla compromissione |
| PentAGI e Cobalt Strike | PentAGI collegato a un server Cobalt Strike tramite un’API di un fornitore di IA | Generazione di payload ed esecuzione di attività di penetration testing |
La campagna era attribuita a CyberXero, con strumenti e compiti automatizzati inseriti nel flusso operativo dell’attore. SOCRadar riferisce che, dopo alcuni rifiuti del modello, l’operatore apriva nuove sessioni con indicazioni di autorizzazione già predisposte. Il rapporto registra anche rifiuti a richieste di installare una backdoor, disattivare un firewall, spostarsi lateralmente nella rete e distribuire una web shell; in un altro episodio, il modello respinse quattro scansioni consecutive e un token di proprietà falsificato.
Che cosa misurano i dati sull’automazione
In una singola esecuzione automatizzata, SOCRadar riferisce che furono scansionati 4.708 obiettivi, venne confermato l’accesso a 429 pannelli amministrativi WordPress e furono distribuite 32 web shell in 61 secondi. L’accesso ai pannelli è il dato relativo ai 429 accessi; le quattro organizzazioni ucraine con esfiltrazione confermata costituiscono un conteggio distinto.
Nel rapporto del 6 ottobre 2026, SOCRadar descriveva la campagna come ancora attiva.
