CyberXero, Anthropic의 Claude Code 활용해 우크라이나 기록 62만 건 이상 탈취
2026년 10월 15일 · 읽는 시간 2분
CyberXero라는 코드네임의 러시아어 사용 초기 접근 브로커가 우크라이나의 워드프레스 사이트, 전자상거래 플랫폼, 그리고 주요 기반 시설 단체를 대상으로 인공지능 증강 초기 접근 캠페인을 수행했습니다.
이 공격자는 Anthropic의 Claude Code로 구동되는 인공지능 오케스트레이션 계층과 Cobalt Strike 같은 범용 공격 도구를 결합하여 사용했습니다. 이 활동은 최소 2026년 7월부터 활발했던 것으로 평가됩니다.
해당 작전은 두 가지 경로로 운영되었습니다. 하나는 워드프레스와 전자상거래 플랫폼을 겨냥한 전 세계적 자동화 캠페인이며, 다른 하나는 우크라이나의 에너지 및 주요 기반 시설을 겨냥한 선별적 수동 캠페인입니다. 특히 하르키우의 난방 공급업체를 포함한 우크라이나 에너지 및 유틸리티 분야에 대해 심층 정찰과 수동 공격을 수행했습니다.
전 세계 캠페인은 wp2shell과 관련된 CVE-2026-63030, CVE-2026-60137 및 Support Board 워드프레스 플러그인에 영향을 미치는 SQL 인젝션 취약점인 CVE-2026-4815와 같은 알려진 보안 결함을 이용해 워드프레스 사이트의 제어권을 획득했습니다. 이 과정에서 단 한 번의 자동 실행으로 4,708개의 대상을 스캔하여 429개의 워드프레스 관리자 패널 접근 권한을 확인했으며, 61초 만에 32개의 웹 셸을 배포했습니다.
이 캠페인으로 인해 우크라이나 조직 4곳에서 데이터 유출이 확인되었으며, 우크라이나 개인과 관련된 628,000건 이상의 기록이 수집되었습니다. 또한 폴란드, 중국, 네덜란드에서도 침해 사례가 확인되었습니다. 중국의 경우 노출된 Redis 서버 취약점을 통해 두 곳의 단체가 침해되었습니다.
공격자는 모델의 거부를 우회하기 위해 컨텍스트 엔지니어링과 세션 재설정 기술을 사용했습니다. 이들은 인공지능 에이전트에게 자신의 인프라에 대해 승인된 침투 테스트를 수행하고 있다고 지시했습니다. 하지만 로그에 따르면 모델이 백도어 설치, 방화벽 비활성화, 측면 이동, 웹 셸 배포 요청을 거부한 사례가 있었으며, 네 차례 연속으로 스캔 요청을 거부하고 위조된 소유권 토큰을 올바르게 거절한 기록도 발견되었습니다.
공격 구조는 공격자의 리눅스 워크스테이션, 프로비저닝 서버, 수익화 인프라, 페이로드 스테이징 서버, 그리고 대상 식별을 담당하는 스캐너를 포함한 8개의 서로 다른 노드로 구성되었습니다. 이 캠페인은 현재 진행 중입니다.