SOCRadar meldde op 6 oktober 2026 dat CyberXero data over meer dan 628.000 Oekraïense personen in handen had en dat uit vier Oekraïense organisaties gegevens waren geëxfiltreerd. Claude Code was volgens het rapport één onderdeel van een bredere, door de operator aangestuurde toolketen (SOCRadar).
SOCRadar typeerde CyberXero als een Russischtalige, financieel gemotiveerde initial-access broker: een tussenpersoon die toegang tot gehackte systemen te koop aanbiedt. De onderzoekers kwamen de activiteit op het spoor via een blootgestelde directory met onder meer sessielogs, scripts, configuraties, verkenningsresultaten en gegevens van slachtoffers. Daarmee bracht SOCRadar acht infrastructuurknooppunten in kaart. De organisatie zei de infrastructuur voor het eerst in juli 2026 te hebben waargenomen; volgens de tijdlijn werd de AI-laag later die maand toegevoegd.
Wat de Oekraïense cijfers tellen
Naast de vier organisaties met bevestigde data-exfiltratie beschreef SOCRadar zeven Oekraïense energie- en nutsbedrijven die gericht werden verkend. Het rapport noemt voor één leverancier van stadsverwarming in Charkiv 564.073 abonneeregistraties met persoonsgegevens, adressen en rekeningnummers, plus 213.340 vermeldingen in toegangslogboeken met tijdstippen en IP-adressen.
Claude Code vormde één laag van de toolketen
| Tool-laag | Gerapporteerde locatie | Gerapporteerde functie |
| Claude Code | De computer van de operator | Maximaal 51 gespecialiseerde agents voor verkenning, het combineren van exploits en taken na binnendringen |
| PentAGI en Cobalt Strike | PentAGI gekoppeld aan een Cobalt Strike Team Server via een API van een AI-aanbieder | Genereren van aanvalscode en uitvoeren van penetratietests |
SOCRadar beschreef de Claude Code-agents en de PentAGI-koppeling als aparte onderdelen. De campagne als geheel bleef onder controle van de operator. Een eerdere, afzonderlijke zaak over Claude bij Chinese militaire en surveillanceactiviteiten kwam aan bod in NeoTeo’s berichtgeving.
Automatisering op WordPress-doelen
In één geautomatiseerde uitvoering werden volgens SOCRadar 4.708 doelen gescand, toegang verkregen tot 429 WordPress-beheerderspanelen en 32 webshells geplaatst in 61 seconden. Die panelen hoorden bij het wereldwijde WordPress-spoor; de vier organisaties met bevestigde data-exfiltratie waren Oekraïense organisaties.
SOCRadar beschreef twee aanvalssporen: wereldwijde, geautomatiseerde aanvallen op WordPress- en e-commerceplatforms, en selectieve verkenning en handmatige exploitatie van Oekraïense energie- en nutsbedrijven. In het rapport van 6 oktober 2026 meldde SOCRadar dat de campagne op dat moment actief was.
De sessielogs bevatten ook weigeringen
Volgens SOCRadar opende de operator na sommige modelweigeringen een nieuwe sessie met vooraf ingevulde autorisatiecontext. In andere gevallen weigerde Claude verzoeken om een achterdeur te installeren, een firewall uit te schakelen, zich lateraal door een netwerk te bewegen of een webshell te plaatsen. Het model wees ook een scanverzoek vier keer achter elkaar af en verwierp een vervalst eigendomstoken.
