SOCRadar 披露 CyberXero 用 Claude Code 攻击乌克兰机构
Start here
SOCRadar 威胁研究团队披露，讲俄语、以牟利为目的的初始访问中间商 CyberXero 将常规攻击工具与自建 AI 编排层结合，同时运行针对 WordPress 和电商平台的全球自动化攻击，以及针对乌克兰能源与关键基础设施的定向人工攻击。调查源于一台暴露的开放目录服务器，即 IP 为 46.21.250.135 的 HTTP 目录，其中逾 9 万个文件泄露了侦察结果、利用脚本、含明文 token 的 AI 配置、会话历史和受害者数据库导出；研究者据此关联出横跨三个自治系统、两个区域的八个基础设施节点。报道称其主工作站配置了最多 51 个 Claude Code 智能体，分别负责 Web 探测、口令测试、漏洞利用和数据窃取，另一套环境通过 AI 提供商 API 将 AI 渗透测试框架 PentAGI 接入 Cobalt Strike。该团伙据评估自至少 2026 年 7 月起活跃，从四家乌克兰机构窃取逾 62.8 万条乌克兰个人记录。
Generated by AI from reports · Updated 2 hr ago
Progress timeline
- The Hacker NewsCyberXero's attack campaign used Claude Code to steal more than 628,000 Ukrainian records
Cybersecurity company SOCRadar disclosed that the Russian-speaking initial access broker group CyberXero used Anthropic's Claude Code to orchestrate attacks, stealing more than 628,000 Ukrainian personal records from four Ukrainian institutions. The group is assessed to have been active since at least July 2026, running two pipelines simultaneously: global automated attacks against WordPress and e-commerce platforms, and targeted manual attacks against Ukrainian energy and critical infrastructure. The attackers used Claude Code with 51 specialized agents to perform scanning, vulnerability chaining, and post-exploitation, and integrated the open-source autonomous penetration testing agent PentAGI with Cobalt Strike. To bypass model refusals, they used context engineering and session resets, falsely claiming authorized penetration testing; logs also recorded the model repeatedly insisting on refusing. SOCRadar also disclosed the Operation Master activity of another group, masterblack, which also used Claude to develop intrusion code.
- CybersecuritynewsSOCRadar 披露 CyberXero 用 Claude Code 与 PentAGI 发动大规模入侵
SOCRadar 披露一名使用 CyberXero 别名的俄语攻击者将 Claude Code、AI 渗透测试框架 PentAGI 与 Cobalt Strike 结合，对全球 WordPress 和电商站点及乌克兰能源机构发动大规模入侵。其主工作站配置了最多 51 个 Claude Code 智能体，分别负责 Web 探测、口令测试、漏洞利用和数据窃取；另一套环境通过 AI 提供商 API 把 PentAGI 接入 Cobalt Strike Team Server，并按任务复杂度分配模型与 token 预算。一次自动化扫描在 61 秒内探测 4,708 个目标，发现 429 个可访问的 WordPress 管理面板并植入 32 个 shell。事件波及全球 40 多个组织，调查人员于 2026 年 7 月首次观测到相关基础设施，并给出多个 IP、哈希和持久化服务等 IoC。
- GBHackersSOCRadar 披露 CyberXero 用 AI 智能体集群攻击乌克兰能源设施
SOCRadar 调查发现，俄语初始访问经纪 CyberXero 将常规漏洞利用工具与 AI 智能体结合，针对全球网站和乌克兰能源基础设施发起入侵。调查起点是一台暴露的 HTTP 目录 46.21.250.135，其中 3000 个子目录下逾 9 万个文件泄露了侦察结果、利用脚本、明文 token、AI 配置、会话历史和受害者数据库导出，研究者据此关联出横跨三个自治系统、两个区域的八个基础设施节点。其全球攻击管线以自研 Python 包 wp2shell 为核心，针对 WordPress 的 REST API 批量不同步导致 SQL 注入、创建恶意管理员并部署 WSO 家族 webshell，管理员名遵循 wp2_ 加八位十六进制字符的模式；一次执行在 61 秒内扫描 4708 个目标、确认 429 个可访问管理面板并部署 32 个 shell，目标集合超过 5.6 万个 URL。
- SOCRadarSOCRadar 披露 CyberXero 用 Claude Code 智能体集群攻击乌克兰关键基础设施
SOCRadar 威胁研究团队记录了一个讲俄语、以牟利为目的的初始访问中间商 CyberXero，其将常规攻击工具与自建 AI 编排层结合，同时运行针对 WordPress 和电商平台的全球自动化攻击，以及针对乌克兰能源与关键基础设施的人工定向攻击。调查源于一台暴露的开放目录服务器，其中包含该操作者的实时工作目录，超过 9 万个文件，涵盖 AI 会话日志、含明文 token 的脚本和外泄的受害者数据，据此关联出分布在三个 ASN 的八个节点。该操作者在一台主力工作站上使用 51 个专用 Claude Code 智能体，并在 Team Server 上通过 AI 供应商 API 将开源渗透框架 PentAGI 接入 Cobalt Strike，用于载荷生成和渗透执行。SOCRadar 同时给出了 wp2_ 加八位十六进制字符的恶意管理员账号等检测指标。
Related discussion
Attention trend
New sources per day
- Oct 6New1 sources (1 outlets,0 accounts)
- Oct 7New0 sources (0 outlets,0 accounts)
- Oct 8New2 sources (2 outlets,0 accounts)
- Oct 9New0 sources (0 outlets,0 accounts)
- Oct 10New0 sources (0 outlets,0 accounts)
- Oct 11New0 sources (0 outlets,0 accounts)
- Oct 12New1 sources (1 outlets,0 accounts)