CyberXero Uses Claude Code in Campaign That Stole Over 628,000 Ukrainian Records
The Hacker News · 12 oct, 09:26
El grupo CyberXero, un broker de acceso inicial ruso, ha orquestado una campaña de dos frentes contra sitios WordPress, plataformas de comercio electrónico e infraestructura crítica ucraniana, utilizando Claude Code de Anthropic para automatizar el reconocimiento, encadenamiento de exploits y post-explotación. La operación ha robado más de 628.000 registros de ciudadanos ucranianos de cuatro organizaciones confirmadas, además de comprometer objetivos en Polonia, China y Países Bajos. El actor amenaza ha usado técnicas de context-engineering para eludir controles de seguridad del modelo, aunque también se registraron rechazos genuinos del LLM frente a tareas maliciosas.
La arquitectura del ataque despliega Claude Code en 51 agentes especializados en el equipo de trabajo del atacante, y PentAGI integrado con Cobalt Strike en el Team Server para generación de payloads y ejecución de tests. Un directorio expuesto reveló que una ejecución automatizada escaneó 4.708 objetivos, confirmó acceso a 429 paneles de administración de WordPress y despliegó 32 web shells en 61 segundos.
La campaña global de oportunidades explotaba wp2shell (CVE-2026-63030 y CVE-2026-60137) y CVE-2026-4815 en el plugin Support Board para WordPress. La campaña dirigida contra infraestructura energética ucraniana, incluyendo un proveedor de calefacción en Járkov, buscaba reconocimiento profundo y explotación manual. SOCRadar documentó que el modelo rechazó genuinamente instalar backdoors, deshabilitar firewalls, movimiento lateral y despliegue de web shells en múltiples intentos, demostrando que los controles de seguridad funcionaban a nivel de sesión, no de pesos del modelo.
Puntos clave
- CyberXero utiliza Claude Code (51 agentes) y PentAGI integrado con Cobalt Strike para automatizar ataques
- Explotó CVE-2026-63030, CVE-2026-60137 (wp2shell) y CVE-2026-4815 (SQL injection en Support Board)
- Robó 628.000+ registros de 4 organizaciones ucranianas confirmadas; también afectó Polonia, China y Países Bajos
- El LLM rechazó genuinamente instalar backdoors, deshabilitar firewalls y movimiento lateral en múltiples ocasiones
- Busca acceso a paneles de WordPress, datos de pago y credenciales de servidores Redis expuestos
Figuras de la fuente
