Хакери CyberXero викрали 628 000 записів українців за допомогою Claude Code

Автор ·

Кіберзлочинне угруповання CyberXero використало ШІ-інструменти, зокрема Claude Code від Anthropic, для масштабування атак на українські об'єкти. В результаті було викрадено понад 628 000 персональних записів українців, а також атаковано критичну інфраструктуру, зокрема теплопостачання в Харкові.

Двовекторна тактика атак

Згідно з даними SOCRadar, зловмисники реалізували дві основні стратегії:

  • Глобальна автоматизована кампанія: Масове сканування та злом сайтів на WordPress і e-commerce платформах з використанням вразливостей (CVE-2026-63030, CVE-2026-60137, CVE-2026—4815). Процеси впровадження веб-шелів займали лічені секунди.
  • Цілеспрямовані атаки: Глибоке розвідування та експлуатація мереж українських енергетичних підприємств.

Підтверджено факт викрадення даних з чотирьох організацій, а також компрометацію ресурсів у Польщі, Китаї та Нідерландах.

Використання Claude Code для обходу захисту

Хакери інтегрували ШІ в свої кібероперації, використовуючи:

  • Кластер з 51 агента на базі Claude Code для автоматичного сканування та розвідки.
  • Автономну систему PentAGI, підключену до Cobalt Strike для створення коду та виконання атак.

Зловмисники обходили захист ШІ, використовуючи інженерію контексту та скидання сесій, переконуючи систему, що проводять «авторизоване тестування». Проте інструменти безпеки ШІ в кількох випадках успішно блокували шкідливі дії.

Викриття операції

Операцію викрили після виявлення незахищеної директорії на сервері зловмисників, де були робочі логи ШІ-сесій та викрадені дані. SOCRadar також повідомила про іншу операцію — Operation Master, де зловмисники використовували вразливості VPN для фінансового шахрайства в Латинській Америці та Японії.

Джерело: dev.ua (https://dev.ua/news/rosiiski-khakery-otrymaly-dostup-do-628-000-zapysiv-ukraintsiv-za-dopomohoiu-claude-code-1791806115)