CyberXero setzte Anthropic’s Claude Code bei einer Kampagne ein, bei der mehr als 628.000 Datensätze mit Bezug zu Ukrainern gestohlen wurden, wie aus der Untersuchung von SOCRadar vom 6. Oktober hervorgeht. Zu den bestätigten Opfern gehörte ein Fernwärmeversorger in Charkiw.
Die Ermittler von SOCRadar brachten den russischsprachigen Broker für Erstzugriffe mit zwei Operationen in Verbindung: automatisierten Angriffen auf WordPress- und E-Commerce-Websites weltweit sowie gezielter Aufklärung gegen ukrainische Energie- und Versorgungsunternehmen. Sie bestätigten den Datendiebstahl bei vier ukrainischen Organisationen sowie separate Sondierungen von sieben Energie- und Versorgungsunternehmen.
Für europäische Sicherheitsteams wirft der Fall dringende Fragen zu verwundbaren Webanwendungen, zur Zugriffsüberwachung und zum Schutz sensibler Kundendatenbanken auf.
Wie CyberXero KI-Agenten einsetzte, um Websites im großen Maßstab auszunutzen
SOCRadarverfolgte die Aktivitäten zurück, nachdem das Unternehmen ein ungesichertes Verzeichnis auf dem Server des Angreifers entdeckt hatte. Die offengelegten Dateien enthielten Skripte, gestohlene Daten, KI-Sitzungsprotokolle und Konfigurationen, die die Kampagne mit einem automatisierten Toolset in Verbindung brachten.
Der Betreiber konfigurierte bis zu 51 Claude-CodeAgenten für Aufklärung, Exploitation und Aktivitäten nach der Kompromittierung. Eine separate PentAGI-Bereitstellung war in einen Cobalt-Strike-Teamserver integriert und nutzte die API eines KI-Anbieters zur Unterstützung bei der Payload-Generierung und bei Penetrationstests.
The Hacker Newsberichtete, dass ein 61 Sekunden dauernder Lauf 4.708 Ziele scannte, den Zugriff auf 429 WordPress-Administrationsoberflächenbestätigte und 32 Webshells einsetzte. Der Angreifer nutzte unter anderem die Schwachstellen CVE-2026-63030, CVE-2026-60137 und CVE-2026-4815 des Plugins Support Board aus.
Wiederhergestellte Protokolle zeigten außerdem, dass CyberXero bösartige Aufgaben als autorisierte Penetrationstests bezeichnete und Sitzungen nach Modellverweigerungen erneut öffnete. Die Forscher dokumentierten auch Verweigerungen, die Bestand hatten, darunter Anfragen zur Installation von Hintertüren und zur Deaktivierung von Firewalls.
Daten des Fernwärmeversorgers in Charkiw gestohlen, während ukrainische Versorger sondiert werden
Bei einem Fernwärmeversorger in Charkiw erlangten die Angreifer 564.073 Abonnentendatensätze mit personenbezogenen Daten, Wohnadressen und Kontonummern. Weitere 213.340 Zugriffsprotokolleinträge enthielten Zeitstempel und IP-Adressen. Bei diesen Protokollen handelt es sich um einen separaten Datensatz, nicht um weitere 213.340 betroffene Personen.
SOCRadar identifizierte außerdem Aufklärungsaktivitäten gegen sieben ukrainische Energie- und Versorgungsunternehmen, darunter große Stromversorger. Die Ziellisten umfassten E-Mail-, VPN- und Netzwerkleitstellen-Infrastrukturen. Die Untersuchung bestätigte jedoch weder, dass diese sieben Unternehmen kompromittiert wurden, noch dass es zu Störungen der Dienste kam.
Über die Ukraine hinaus bestätigte die Untersuchung Kompromittierungen von E-Commerce-Systemen in Polen. Für europäische Organisationen, die ähnliche öffentlich zugängliche Websites betreiben, geht die Kampagne über die kritische Infrastruktur der Ukraine hinaus.
Besonders besorgniserregend ist die Offenlegung von Wohnadressen in Charkiw, einer Stadt nahe einer aktiven Kriegsfront. SOCRadar stufte CyberXero als finanziell motiviert ein, fand jedoch keine direkten Belege dafür, dass der Zugriff auf ukrainische Versorger verkauft worden war.
Was europäische Sicherheitsteams jetzt untersuchen sollten
Die Kampagne zielte auf bekannte Schwachstellen ab, doch die Automatisierung verkürzte die Reaktionszeit der Verteidiger. Sicherheitsteams können drei Prüfungen priorisieren:
- Prüfen Sie WordPress-Websites.Patchen Sie betroffene Komponenten und untersuchen Sie nicht autorisierte Konten – beginnend mit wp2_, verdächtigen wp2shell_-Pluginverzeichnissen und Webshells der WSO-Familie.
- Offengelegte Infrastruktur überprüfen.Beschränken Sie den öffentlichen Redis-Zugriff, prüfen Sie ~/.ssh/authorized_keys auf unbekannte Einträge und untersuchen Sie Verbindungen, die den von SOCRadar veröffentlichten Indikatoren entsprechen.
- Kundendatenbanken überwachen.Lösen Sie bei ungewöhnlichen Massenexporten, unerwarteten Kontoberechtigungen und ungeklärten Zugriffen auf Abonnenteninformationen, insbesondere bei Energie- und Versorgungsunternehmen, einen Alarm aus.
Organisationen, die eigene KI-Agenteneinsetzen, sollten außerdem Sitzungsprotokolle und Tokens schützen. Die offengelegten Protokolle von CyberXero ermöglichten es den Ermittlern, die Kampagne zu rekonstruieren, und zeigten, wie viele operative Details solche Dateien enthalten können.
In Charkiw dokumentierten die Forscher gestohlene Kundeninformationen, ohne einen Ausfall der Wärmeversorgung zu bestätigen. Europäische Versorger sollten ungewöhnliche Exporte von Abonnentendaten und Aktivitäten privilegierter Konten als dringende Sicherheitsvorfälle behandeln, selbst wenn die essenziellen Dienste weiter funktionieren.
Lesen Sie auch: Europäische Organisationen sind über Microsoft-Logins einer weiteren Bedrohung ausgesetzt. Das N0va-Phishkit missbraucht die Gerätecode-Authentifizierung, um Zugriffstoken zu erlangen, selbst nachdem Nutzer die MFA abgeschlossen haben.