Em relatório publicado em 6 de outubro de 2026, a SOCRadar atribuiu ao CyberXero dados relativos a mais de 628 mil pessoas ucranianas e exfiltração confirmada em quatro organizações. O levantamento descreve o Claude Code como uma das ferramentas usadas pelo operador, dentro de uma cadeia que também incluía uma integração separada de PentAGI e Cobalt Strike. Leia o relatório da SOCRadar.
A análise descreve duas frentes: ataques automatizados a sites WordPress e plataformas de comércio eletrônico no mundo todo; e reconhecimento seletivo e exploração manual de organizações ucranianas de energia e serviços públicos. A SOCRadar identificou CyberXero como um operador de acesso inicial motivado financeiramente e falante de russo.
O que os números sobre as vítimas ucranianas representam
A SOCRadar relatou exfiltração de arquivos confirmada em quatro organizações ucranianas. Separadamente, identificou sete entidades de energia e serviços públicos sob reconhecimento — atividade de levantamento de alvos que não equivale, por si só, a uma exfiltração confirmada.
Para um fornecedor de aquecimento distrital em Kharkiv, a SOCRadar descreveu 564.073 registros de assinantes, com dados pessoais, endereços e números de conta, além de 213.340 entradas de registros de acesso, com horários e endereços IP. São categorias de dados diferentes; o total de entradas de acesso não representa uma contagem de pessoas.
Claude Code foi uma camada de uma cadeia maior
Segundo a SOCRadar, até 51 agentes especializados de Claude Code operavam na estação de trabalho principal do operador. A análise associa esses agentes a tarefas de reconhecimento, encadeamento de exploits — técnicas para combinar vulnerabilidades — e pós-exploração. O relatório descreve uma integração separada: PentAGI conectado a um servidor de equipe do Cobalt Strike por meio da API de um provedor de IA.
| Camada de ferramentas | Onde aparecia na operação | Função atribuída pela SOCRadar |
| Claude Code | Estação de trabalho principal do operador | Até 51 agentes especializados para reconhecimento, encadeamento de exploits e tarefas de pós-exploração |
| PentAGI e Cobalt Strike | Integração com um servidor de equipe do Cobalt Strike por API de provedor de IA | Geração de cargas maliciosas e execução de testes de intrusão |
Para um contexto distinto sobre usos maliciosos do Claude, a NeoTeo já abordou um relatório da Anthropic sobre projetos militares e vigilância ligados à China em outra matéria.
O que uma execução automatizada fez
Em uma execução, a SOCRadar relatou a varredura de 4.708 alvos, acesso confirmado a 429 painéis administrativos do WordPress e implantação de 32 web shells em 61 segundos. Web shells são scripts usados para acessar e controlar um servidor comprometido. O número de painéis acessados mede acesso a essas interfaces; a exfiltração confirmada foi relatada separadamente para quatro organizações ucranianas.
O relatório foi baseado em arquivos encontrados em um diretório exposto, entre eles registros de sessões de IA, scripts, configurações de agentes e resultados de reconhecimento. Na publicação de 6 de outubro, a SOCRadar avaliava que a campanha continuava ativa.
