CyberXero利用Claude Code发起攻击，窃取超过628,000条乌克兰记录
2026年10月15日 · 阅读 1 分钟
网络安全研究人员披露了一项针对乌克兰的双管道人工智能增强初始访问活动，目标包括WordPress网站、电子商务平台以及关键基础设施实体。
这项活动结合了像Cobalt Strike这样的商品攻击工具与由Anthropic的Claude Code驱动的人工智能编排层，已被归因于一个代号为CyberXero的俄语、以财务为动机的初始访问经纪人。该威胁行为者自2026年7月以来一直活跃。
根据SOCRadar的报告，该操作同时运行两个流程：一项针对WordPress和电子商务平台的全球自动化活动，以及一项针对乌克兰能源和关键基础设施的策划手动活动。
全球活动特别关注已知安全漏洞，例如wp2shell（CVE-2026-63030和CVE-2026-60137）和影响Support Board WordPress插件的CVE-2026-4815 SQL注入漏洞，以控制WordPress网站。
该活动预计已导致确认从四个乌克兰组织中外泄，收集超过628,000条与乌克兰个人相关的记录。其他确认的妥协发生在波兰、中国和荷兰。
SOCRadar表示，它在发现一个暴露的开放目录后识别了该操作，该目录托管在“46.21.250[.]135”，泄露了威胁行为者与Linux工作站相关的实时工作目录，包括人工智能会话日志、包含明文令牌的脚本、利用工具包、侦察输出、人工智能代理配置和外泄的受害者数据。该活动仍在进行中。
针对WordPress和电子商务平台的机会主义活动旨在获取访问和支付数据，而第二项活动则更具针对性，旨在对乌克兰能源和公用事业进行深入侦察和手动利用。