Em relatório publicado em 6 de outubro de 2026, a SOCRadar atribuiu ao operador que identifica pelo alias CyberXero uma operação em duas frentes e situou o Claude Code em uma das camadas da cadeia de ferramentas, com até 51 agentes especializados na estação de trabalho principal. A empresa detalhou suas descobertas no relatório sobre a campanha.
O papel do Claude Code na operação
Segundo a SOCRadar, os agentes do Claude Code eram usados para reconhecimento, encadeamento de exploits e tarefas de pós-exploração. O relatório também descreve uma camada separada: o PentAGI conectado a um servidor de equipe do Cobalt Strike por meio da API de um provedor de IA. A SOCRadar atribui a essa integração a geração de cargas maliciosas e a execução de tarefas de teste de invasão.
A empresa apresenta o Claude Code como parte de uma estrutura com várias ferramentas. A cobertura anterior da NeoTeo em português traz o panorama inicial da campanha.
Duas frentes, alvos diferentes
A SOCRadar descreveu uma operação automatizada contra sites de WordPress e comércio eletrônico em escala global, além de uma frente direcionada a organizações de energia e serviços públicos da Ucrânia.
| Frente relatada | Alvos | Abordagem descrita pela SOCRadar |
| Operação global | Sites de WordPress e comércio eletrônico | Ataques automatizados |
| Frente ucraniana | Organizações de energia e serviços públicos | Reconhecimento direcionado e exploração manual |
A SOCRadar relatou exfiltração de dados confirmada por arquivos em quatro organizações ucranianas. Outras sete entidades do setor de energia e serviços públicos estavam sob reconhecimento direcionado. No balanço geral, a empresa afirmou que dados de mais de 628 mil indivíduos ucranianos estavam em posse do operador.
Os dados extraídos de uma empresa em Kharkiv
Para uma empresa de aquecimento urbano de Kharkiv, a SOCRadar descreveu duas categorias distintas: 564.073 registros de assinantes, com dados pessoais, endereços residenciais e números de conta, e 213.340 entradas de logs de acesso, com horários e endereços IP.
Segundo a empresa, uma credencial gravada diretamente em um script do operador permitiu o acesso, e um extrator multithread coletou os dados. Os registros de assinantes e os logs de acesso são conjuntos separados, com conteúdos diferentes.
Como a SOCRadar atribuiu a atividade a CyberXero
A atribuição ao alias CyberXero, segundo a SOCRadar, reúne diferentes elementos: um arquivo de conta encontrado no diretório exposto, logs de sessão que mencionavam uma publicação no fórum Dread sob esse alias, a verificação externa da publicação e rastros de infraestrutura e assinaturas. A empresa relata que a resolução de identidade envolveu cinco plataformas.
Indicadores de WordPress associados à campanha
A SOCRadar relacionou à atividade nomes de administradores que começam com wp2_ e têm, em seguida, oito caracteres hexadecimais. Também apontou o caminho de plugin /wp-content/plugins/wp2shell_[0-9a-f]{8}/ como indicador técnico associado à campanha.
