Nel rapporto pubblicato il 6 ottobre 2026, SOCRadar ha collocato Claude Code in uno strato di una catena di strumenti più ampia attribuita a CyberXero e ha descritto due filoni operativi: uno automatizzato contro siti WordPress e di commercio elettronico, l’altro diretto verso infrastrutture ucraine. La società riferiva che l’operazione era attiva al momento della pubblicazione. Il rapporto di SOCRadar descrive anche i dati attribuiti a un fornitore di teleriscaldamento di Kharkiv e gli indicatori WordPress associati alla campagna.
Il ruolo attribuito a Claude Code
SOCRadar riferisce che sulla workstation principale dell’operatore erano configurati fino a 51 agenti specializzati di Claude Code, per attività che includevano ricognizione, concatenazione di exploit e operazioni successive all’accesso. Descrive separatamente PentAGI collegato a un server Cobalt Strike Team Server tramite l’API di un fornitore di IA; a questo livello attribuisce la generazione di payload e l’esecuzione di test di penetrazione.
Nei log delle sessioni, SOCRadar riferisce sia rifiuti a richieste che coinvolgevano l’installazione di backdoor, la disattivazione di firewall, il movimento laterale e la distribuzione di web shell, sia tentativi di riformulare le richieste o avviare nuove sessioni.
Due filoni, bersagli diversi
| Filone descritto | Bersagli | Approccio riferito da SOCRadar |
| Attività automatizzata globale | Siti WordPress e piattaforme di commercio elettronico | Scansione automatizzata e sfruttamento delle vulnerabilità |
| Attività diretta in Ucraina | Entità del settore energetico e delle infrastrutture critiche | Ricognizione mirata e sfruttamento manuale |
In una singola esecuzione automatizzata, SOCRadar ha contato 4.708 bersagli scansionati, accessi a 429 pannelli amministrativi WordPress e 32 web shell distribuite nell’arco di 61 secondi. Sono misure riferite a quella specifica esecuzione. Separatamente, nel filone ucraino la società riferisce esfiltrazione confermata tramite file presso quattro organizzazioni e attività di ricognizione su altre sette entità del settore energetico e dei servizi pubblici.
La precedente sintesi italiana di NeoTeo sulla campagna offre il contesto iniziale del caso.
I dati del fornitore di teleriscaldamento di Kharkiv
Per un fornitore non nominato di Kharkiv, SOCRadar descrive 564.073 record di abbonati, con dati personali, indirizzi di casa e numeri di conto. A questi affianca una categoria distinta: 213.340 voci di log di accesso, contenenti orari e indirizzi IP.
Secondo SOCRadar, una credenziale codificata direttamente in uno script dell’operatore avrebbe consentito l’accesso diretto al fornitore; un estrattore multithread avrebbe poi prelevato i dati. Il rapporto attribuisce queste operazioni alla campagna nel suo complesso, senza assegnarle a Claude Code come strumento autonomo.
Gli elementi che SOCRadar collega a CyberXero
SOCRadar descrive l’attribuzione all’alias CyberXero come il risultato dell’incrocio di più elementi: un file dell’account nella directory esposta, log di sessione che rimandavano a un post sul forum Dread pubblicato con quell’alias, la verifica esterna del post e tracce infrastrutturali e di abbonamento. La società riferisce inoltre di aver incrociato informazioni provenienti da cinque piattaforme.
SOCRadar descrive CyberXero come un broker di accesso iniziale russofono e motivato da ragioni finanziarie. Riferisce di aver osservato per la prima volta l’infrastruttura nel luglio 2026.
Gli indicatori WordPress associati alla campagna
SOCRadar indica due schemi da investigare nei siti WordPress: un nome utente amministratore che inizia con wp2_ seguito da otto caratteri esadecimali e il percorso /wp-content/plugins/wp2shell_[0-9a-f]{8}/. La corrispondenza con uno schema è un indizio da esaminare nel contesto del sito, non un’attribuzione automatica della compromissione.
