CyberXero styrte angrep med 51 Claude Code-agenter og hentet data om 628 000 ukrainere

Sikkerhetsselskapet SOCRadar publiserte 6. oktober en rapport om CyberXero, en russisktalende og økonomisk motivert initial access broker med infrastruktur observert fra juli 2026. Aktøren kjører to løp samtidig: en automatisert kampanje mot WordPress og nettbutikker over hele verden, og en håndplukket kampanje mot sju ukrainske energi- og forsyningsselskaper. Hos fire ukrainske organisasjoner er datatyveriet bekreftet, blant dem et fjernvarmeselskap i Kharkiv der aktøren hentet ut 564 073 abonnentposter med adresser og kontonumre.

Operasjonen ble avslørt fordi aktøren lot arbeidskatalogen sin ligge åpen på en HTTP-server, med over 90 000 filer og KI-øktlogger. Loggene viser en sverm på 51 spesialiserte Claude Code-agenter med roller som exploit-chainer og scada-attacker, pluss PentAGI koblet til Cobalt Strike. Én automatisert kjøring skannet 4 708 mål, bekreftet tilgang til 429 WordPress-adminpaneler og la inn 32 web shells på 61 sekunder.

Når modellen nektet, åpnet aktøren en ny økt med en ferdig innlagt fortelling om en «authorized pentest on my own infrastructure» og prøvde igjen. Noen avslag holdt likevel: modellen nektet å installere en bakdør, slå av en brannmur og legge inn en web shell.

«Sikkerhetskontrollene i modellen virker på konteksten i en økt, ikke på modellvektene, så et avslag i én økt følger ikke med til den neste.» — SOCRadar Threat Research Unit

SOCRadar anbefaler derfor at øktlogger fra KI-agenter med tilgang til terminal eller nettverk behandles like strengt som logger med påloggingsdata. Kjører du Claude Code mot egne servere, inneholder loggene alt agenten planla, leste og fikk nei til.

Hva bør du gjøre?

1. Søk etter WordPress-administratorer med brukernavn som matcher wp2_ fulgt av åtte heksadesimale tegn, og etter plugin-mapper som starter med wp2shell_.
2. Sjekk ~/.ssh/authorized_keys for ukjente nøkler på Redis-servere som er eksponert mot internett.
3. Lagre agentenes øktlogger kryptert og med begrenset tilgang, og server aldri en arbeidskatalog fra en åpen HTTP-katalog.