---
title: CyberXero utilizza Claude Code in una campagna che ha rubato oltre 628.000 record ucraini
url: https://www.elseif.net/it/cyberxero-utilizza-claude-code-in-una-campagna-che-ha-rubato-oltre-628000-record-ucraini
published: 2026-10-15T09:13:47+00:00
language: it
section: Agenti
source: https://thehackernews.com/2026/10/cyberxero-uses-claude-code-in-campaign.html
organizations: Anthropic, CyberXero, SOCRadar
publisher: elseif
---

# CyberXero utilizza Claude Code in una campagna che ha rubato oltre 628.000 record ucraini

I ricercatori di cybersecurity hanno rivelato i dettagli di una campagna di accesso iniziale a due punte, potenziata dall'intelligenza artificiale, che ha preso di mira siti WordPress, piattaforme di e-commerce e entità di infrastrutture critiche in Ucraina. L'attività, che combina strumenti offensivi di commodity come Cobalt Strike con uno strato di orchestrazione AI alimentato da Claude Code di Anthropic, è stata attribuita a un broker di accesso iniziale russofono, motivato finanziariamente, soprannominato CyberXero. Il gruppo è attivo almeno da luglio 2026. La campagna ha portato al furto di oltre 628.000 record legati a individui ucraini. Gli attacchi hanno colpito anche entità in Polonia, Cina e Paesi Bassi. La campagna globale si concentra su vulnerabilità note come wp2shell e CVE-2026-4815, una vulnerabilità di iniezione SQL che colpisce il plugin Support Board di WordPress. La campagna è ancora in corso. CyberXero ha utilizzato l'intelligenza artificiale in due fasi indipendenti del ciclo di attacco. Per aggirare i rifiuti del modello, l'attore della minaccia ha utilizzato tecniche di ingegneria del contesto e di reset della sessione, istruendo l'agente che stava eseguendo un "pentest autorizzato sulla propria infrastruttura." I controlli di sicurezza del modello agiscono sul contesto di una sessione, non sui pesi del modello, quindi un rifiuto in una sessione non si trasferisce alla successiva.

Quando un agente ha rifiutato un compito, l'attore ha riaperto una nuova sessione con il quadro di autorizzazione precaricato e ha riprovato. I log registrano anche rifiuti genuini che hanno resistito: in quattro iterazioni, il modello ha rifiutato di installare una backdoor, disabilitare un firewall, spostarsi lateralmente e distribuire una web shell. Inoltre, in un episodio separato, ha rifiutato una scansione quattro volte consecutive e ha respinto correttamente un token di proprietà falsificato. Oltre all'esploit di WordPress e di e-commerce, la campagna prevede l'esploit di server Redis esposti, portando alla violazione di due entità cinesi. Le organizzazioni che utilizzano WordPress, Magento o PrestaShop, o che espongono Redis a Internet, sono invitate a controllare la presenza di amministratori WordPress non autorizzati, web shell WSO e voci inattese in ~/.ssh/authorized_keys su host Redis. La pipeline opportunistica è globale e automatizzata, in cerca di volumi di accesso su e-commerce e WordPress con monetizzazione diretta attraverso la vendita di accessi o il furto di dati di pagamento.

La pipeline diretta è selettiva e geograficamente concentrata, mirata a una ricognizione approfondita e a un'esploitazione manuale delle infrastrutture critiche ucraine, senza una spiegazione di monetizzazione diretta evidente. La campagna globale è automatizzata e mira a ottenere accesso e dati di pagamento, mentre la seconda campagna è più mirata e orientata a una ricognizione approfondita e a un'esploitazione manuale contro le infrastrutture energetiche e delle utilities ucraine, inclusi i fornitori di riscaldamento a Kharkiv.