CyberXero-campagne: SOCRadar over Claude Code

SOCRadar plaatste Claude Code in zijn op 6 oktober 2026 gepubliceerde verslag over CyberXero als één onderdeel van een bredere toolketen. Het beschreef twee campagneonderdelen: geautomatiseerde aanvallen op WordPress- en webwinkelsites wereldwijd, en gerichte verkenning en handmatige exploitatie bij Oekraïense energie- en nutsbedrijven. SOCRadar meldde dat de operatie op de publicatiedatum actief was. Het rapport van SOCRadar vormt ook de basis voor de aanvullende details hieronder. Wie de eerdere Nederlandstalige samenvatting van de CyberXero-campagne las, vindt hier meer over de gerapporteerde attributiesporen, de gegevens uit Charkiv en de WordPress-indicatoren.

Claude Code was één laag in de toolketen

SOCRadar meldde maximaal 51 gespecialiseerde Claude Code-agents op de hoofdwerkplek van de operator. De agents zouden zijn ingezet voor onder meer verkenning, het combineren van kwetsbaarheden en activiteiten na een inbraak. Het verslag beschrijft Claude Code als een onderdeel van de aanpak, niet als de volledige toolketen.

SOCRadar beschreef daarnaast een afzonderlijke integratie: PentAGI was via een API van een AI-aanbieder verbonden met een Cobalt Strike Team Server. Die laag zou zijn gebruikt voor het genereren van payloads en het uitvoeren van penetratietests.

De logs die SOCRadar naar eigen zeggen terugvond, registreerden ook weigeringen van Claude Code. In sommige gevallen probeerde de operator volgens het bedrijf verzoeken anders te formuleren of een nieuwe sessie te starten; andere weigeringen hielden stand. Het verslag schrijft de gerapporteerde inbraak en gegevensonttrekking dus toe aan een bredere operatie met meerdere onderdelen.

Twee campagneonderdelen met verschillende doelen

Gerapporteerd onderdeel	Doel	Aanpak volgens SOCRadar
Wereldwijde stroom	WordPress-sites en webwinkels	Geautomatiseerde aanvallen
Oekraïense stroom	Energie- en nutsbedrijven	Gerichte verkenning en handmatige exploitatie

Voor één uitvoering van de geautomatiseerde WordPress-stroom meldde SOCRadar 4.708 gescande doelen, toegang tot 429 WordPress-beheerderspanelen en de inzet van 32 webshells binnen 61 seconden. Die aantallen beschrijven verschillende stappen van die uitvoering.

Voor het Oekraïense spoor noemde SOCRadar vier organisaties waarvoor het exfiltratie van gegevens door bestanden bevestigd zei te hebben. Daarnaast stonden zeven andere energie- en nutsentiteiten onder gerichte verkenning. Het gaat om afzonderlijke gerapporteerde categorieën: verkenning is geen melding van bevestigde exfiltratie.

Twee gegevenscategorieën bij een verwarmingsbedrijf in Charkiv

Bij een niet nader genoemd districtverwarmingsbedrijf in Charkiv beschreef SOCRadar 564.073 abonneerecords met persoonsgegevens, woonadressen en rekeningnummers. Daarnaast meldde het 213.340 afzonderlijke toegangslogboekvermeldingen met tijdstippen en IP-adressen.

Volgens SOCRadar gaf een in een script vastgelegd inloggegeven de operator directe toegang tot het bedrijf. Een extractor die meerdere taken tegelijk uitvoerde, haalde vervolgens de gegevens op. De twee aantallen slaan op verschillende soorten bestanden, niet op één verzameling identieke records.

Welke sporen SOCRadar aan CyberXero koppelde

SOCRadar typeerde CyberXero als een Russischtalige, financieel gemotiveerde broker voor initiële toegang: een actor die zich richt op het verkrijgen van eerste toegang tot systemen. Voor de toeschrijving aan de alias noemde het bedrijf verschillende sporen: een accountbestand in een blootgestelde directory, sessielogs met verwijzingen naar een Dread-forumbericht onder de naam CyberXero, externe verificatie van dat bericht en sporen in infrastructuur en abonnementen. SOCRadar zei dat de identiteitsherleiding vijf platforms omvatte.