Raport SOCRadar z 6 października 2026 r. opisuje kampanię CyberXero i podaje, że w posiadaniu operatora znajdowały się dane dotyczące ponad 628 000 Ukraińców. SOCRadar przypisał też czterem ukraińskim organizacjom potwierdzoną eksfiltrację danych. W kampanii wykorzystywano Claude Code jako jedną z warstw narzędzi, obok odrębnej integracji PentAGI i Cobalt Strike. SOCRadar
Co oznaczają liczby dotyczące ukraińskich organizacji
SOCRadar opisał cztery organizacje, z których dane zostały potwierdzone jako wykradzione, oraz siedem ukraińskich podmiotów z sektora energetycznego i usług komunalnych objętych rekonesansem. Rekonesans to rozpoznawanie celu przed próbą ataku; samo jego prowadzenie nie oznacza potwierdzonej eksfiltracji.
W przypadku dostawcy ciepła w Charkowie raport wymienia 564 073 rekordy abonentów zawierające dane osobowe, adresy i numery kont oraz 213 340 wpisów w logach dostępu, obejmujących znaczniki czasu i adresy IP. To dwa różne rodzaje danych. SOCRadar
SOCRadar określił CyberXero jako rosyjskojęzycznego, motywowanego finansowo brokera dostępu początkowego — przestępcę, który zdobywa dostęp do systemów, by go dalej wykorzystać lub sprzedać. Raport opisuje dwie ścieżki działania: zautomatyzowane ataki na platformy WordPress i e-commerce na całym świecie oraz selektywny rekonesans i ręczne wykorzystywanie podatności w ukraińskich organizacjach energetycznych i komunalnych. SOCRadar
Claude Code działał jako jedna z warstw narzędzi
Według SOCRadar na głównej stacji roboczej operatora działało do 51 wyspecjalizowanych agentów Claude Code. Raport przypisuje im zadania związane z rekonesansem, łączeniem etapów wykorzystania podatności oraz działaniami po uzyskaniu dostępu. Osobno opisuje PentAGI połączone przez API dostawcy AI z serwerem Cobalt Strike Team Server.
| Warstwa narzędzi | Raportowane miejsce działania | Opisane zastosowanie |
| Claude Code | Główna stacja robocza operatora | Do 51 wyspecjalizowanych agentów do rekonesansu, łączenia etapów wykorzystania podatności i działań po uzyskaniu dostępu |
| PentAGI i Cobalt Strike | PentAGI połączone przez API dostawcy AI z Cobalt Strike Team Server | Generowanie ładunków i wykonywanie zadań związanych z testami penetracyjnymi |
Wcześniej NeoTeo opisywało doniesienia o wykorzystaniu Claude’a przez podmioty powiązane z Chinami w projektach wojskowych i nadzorze. W kampanii CyberXero raport SOCRadar przedstawia Claude Code jako część zestawu narzędzi operatora, a nie jako samodzielnego sprawcę całej operacji.
Jedna zautomatyzowana operacja objęła 4 708 celów
W pojedynczym zautomatyzowanym uruchomieniu opisanym przez SOCRadar zeskanowano 4 708 celów, uzyskano dostęp do 429 paneli administracyjnych WordPress i wdrożono 32 webshell-e w ciągu 61 sekund. Webshell to skrypt dający napastnikowi zdalny dostęp do zaatakowanego serwera. Raportowane uzyskanie dostępu do paneli nie jest równoznaczne z potwierdzoną eksfiltracją danych z 429 organizacji. SOCRadar
SOCRadar wskazał także jako wskaźniki związane z opisanym narzędziem WordPress nazwy kont administratorów w formacie wp2_ i ośmiu znaków szesnastkowych oraz ścieżki wtyczek pasujące do wzorca /wp-content/plugins/wp2shell_[0-9a-f]{8}/. W dniu publikacji raportu, 6 października 2026 r., SOCRadar oceniał kampanię jako aktywną.
