SOCRadar umieścił Claude Code w jednej z warstw zestawu narzędzi przypisywanego CyberXero. W raporcie opublikowanym 6 października 2026 r. firma opisała też dwa równoległe strumienie działań: zautomatyzowany, wymierzony w serwisy WordPress i platformy e-commerce oraz ukierunkowany na ukraińskie podmioty energetyczne i infrastrukturę krytyczną. Według raportu SOCRadar do 51 wyspecjalizowanych agentów Claude Code działało na głównej stacji roboczej operatora.
Claude Code nie był jedynym elementem opisanego zestawu. SOCRadar osobno wskazał PentAGI połączone przez API dostawcy AI z serwerem Cobalt Strike; tej warstwie przypisał generowanie ładunków i wykonywanie testów penetracyjnych. W raporcie firma określiła operację jako aktywną w dniu jego publikacji.
Dwa strumienie działań CyberXero
SOCRadar rozdzielił globalne, zautomatyzowane działania od rozpoznania i ręcznego wykorzystywania systemów ukraińskich podmiotów. W jednym wykonaniu automatycznego strumienia zeskanowano 4 708 celów, potwierdzono dostęp do 429 paneli administracyjnych WordPress i wdrożono 32 web shelle w ciągu 61 sekund.
| Zgłoszony strumień | Cel | Opisane podejście |
| Globalny, zautomatyzowany | Serwisy WordPress i platformy e-commerce | Zautomatyzowane działania wymierzone w cele internetowe |
| Ukierunkowany na Ukrainę | Podmioty energetyczne i infrastruktura krytyczna | Selektywne rozpoznanie i ręczne wykorzystywanie systemów |
SOCRadar podał, że w czterech ukraińskich organizacjach potwierdził eksfiltrację plików, a siedem kolejnych podmiotów energetycznych i komunalnych objęto rozpoznaniem. To odrębne ustalenia dotyczące różnych etapów działań. W szerszym bilansie firmy dane ponad 628 tys. osób z Ukrainy miały znaleźć się w posiadaniu operatora.
Dane dostawcy ciepła z Charkowa
W przypadku nienazwanego dostawcy ciepła w Charkowie SOCRadar opisał dwie osobne kategorie danych: 564 073 rekordy abonentów zawierające dane osobowe, adresy domowe i numery kont oraz 213 340 wpisów logów dostępu z oznaczeniami czasu i adresami IP.
Według SOCRadar zapisane na stałe w skrypcie operatora poświadczenie umożliwiło bezpośredni dostęp, a wielowątkowy ekstraktor pobrał dane. Raport wiąże zatem opisane rekordy i logi z jednym dostawcą, ale zachowuje je jako odrębne zbiory.
Jak SOCRadar przypisał działania aliasowi CyberXero
SOCRadar wskazał kilka elementów, na których oparł atrybucję: plik konta znaleziony w ujawnionym katalogu roboczym, logi sesji z odniesieniem do wpisu na forum Dread opublikowanego pod aliasem CyberXero, zewnętrzną weryfikację tego wpisu oraz ślady infrastruktury i subskrypcji. Firma podała, że powiązania analizowała na pięciu platformach. Raport przypisuje aktywność aliasowi CyberXero, nie wskazując nazwiska operatora.
Wskaźniki WordPress wymienione w raporcie
SOCRadar powiązał z kampanią dwa wzorce, które administratorzy mogą sprawdzić podczas analizy instalacji WordPress:
- Nazwa nieautoryzowanego konta administratora zaczynająca się od
wp2_, po której następuje osiem znaków szesnastkowych. - Ścieżka katalogu wtyczki:
/wp-content/plugins/wp2shell_[0-9a-f]{8}/.
Firma przedstawia te wzorce jako wskaźniki związane z opisaną aktywnością. Wcześniejsze omówienie raportu SOCRadar po polsku zawiera szerszy kontekst kampanii.
