CyberXero a utilisé Claude Code d’Anthropic dans une campagne qui a dérobé plus de 628 000 dossiers liés à des Ukrainiens, selon l’enquête menée par SOCRadar le 6 octobre. Un fournisseur de chauffage urbain de Kharkiv figure parmi les victimes confirmées。
Les enquêteurs de SOCRadar ont établi un lien entre le courtier russophone en accès initial et deux opérations : des attaques automatisées contre des sites WordPress et de commerce électronique dans le monde entier, ainsi qu’une reconnaissance ciblée visant des organisations ukrainiennes du secteur de l’énergie et des services publics. Ils ont confirmé le vol de données auprès de quatre organisations ukrainiennes et des sondages distincts visant sept entités du secteur de l’énergie et des services publics.
Pour les équipes de sécurité européennes, cette affaire soulève des questions immédiates concernant les applications web vulnérables, la surveillance des accès et la protection des bases de données clients sensibles.
Comment CyberXero a utilisé des agents d’IA pour exploiter des sites web à grande échelle
SOCRadar a retracé l’activité après avoir découvert un répertoire non sécurisé sur le serveur de l’attaquant. Les fichiers exposés comprenaient des scripts, des données volées, des journaux de sessions d’IA et des configurations reliant la campagne à un ensemble d’outils automatisés.
L’opérateur a configuré jusqu’à 51 agents Claude Code pour la reconnaissance, l’exploitation et la post-exploitation. Un déploiement distinct de PentAGI, intégré à un serveur Team Server de Cobalt Strike, utilisait l’API d’un fournisseur d’IA pour faciliter la génération de charges utiles et les tâches de test d’intrusion.
The Hacker News a rapporté qu’une exécution de 61 secondes avait analysé 4 708 cibles, confirmé l’accès à 429 panneaux d’administration WordPress et déployé 32 web shells. L’attaquant a exploité des vulnérabilités, notamment CVE-2026-63030, CVE-2026-60137 et la CVE-2026-4815 du plug-in Support Board.
Les journaux récupérés montrent également que CyberXero présentait des tâches malveillantes comme des tests d’intrusion autorisés et rouvrait les sessions après les refus du modèle. Les chercheurs ont aussi documenté des refus maintenus, notamment face à des demandes d’installation de portes dérobées et de désactivation des pare-feu.
Des données sur le chauffage de Kharkiv dérobées alors que les services publics ukrainiens sont sondés
Chez un fournisseur de chauffage urbain de Kharkiv, les attaquants ont obtenu 564 073 dossiers d’abonnés contenant des données personnelles, des adresses résidentielles et des numéros de compte. 213 340 entrées de journaux d’accès supplémentaires contenaient des horodatages et des adresses IP. Ces journaux constituent un jeu de données distinct et ne correspondent pas à 213 340 personnes touchées supplémentaires.
SOCRadar a également identifié une reconnaissance visant sept entités du secteur de l’énergie et des services publics, notamment de grandes organisations du secteur électrique. Les listes de cibles couvraient les infrastructures de messagerie, de VPN et de répartition du réseau, mais l’enquête n’a pas confirmé que ces sept entités avaient été compromises ni que leurs services avaient été perturbés.
Au-delà de l’Ukraine, l’enquête a confirmé des compromissions de sites de commerce électronique en Pologne. Pour des organisations européennes qui exploitent des sites web publics similaires, la campagne dépasse le cadre des infrastructures critiques ukrainiennes.
L’exposition des adresses résidentielles est particulièrement préoccupante à Kharkiv, une ville proche d’un front de guerre actif. SOCRadar a décrit CyberXero comme motivé par des considérations financières, mais n’a trouvé aucune preuve directe que l’accès aux services publics ukrainiens ait été vendu.
Ce que les équipes de sécurité européennes doivent examiner dès maintenant
La campagne a ciblé des faiblesses bien connues, mais l’automatisation a réduit le temps de réaction des défenseurs. Les équipes de sécurité peuvent prioriser trois vérifications :
- Inspectez les sites WordPress. Corrigez les composants concernés et recherchez les comptes non autorisés, en commençant par ceux préfixés par wp2_, les répertoires suspects de plug-ins wp2shell_ et les web shells de la famille WSO.
- Examinez l’infrastructure exposée. Restreignez l’accès public à Redis, vérifiez la présence d’entrées inconnues dans ~/.ssh/authorized_keys et recherchez les connexions correspondant aux indicateurs publiés par SOCRadar.
- Surveillez les bases de données clients. Déclenchez une alerte en cas d’exportations groupées inhabituelles, de privilèges de compte inattendus ou d’accès inexpliqué aux informations des abonnés, en particulier chez les fournisseurs d’énergie et de services publics.
Les organisations qui déploient leurs propres agents d’IA devraient également protéger les journaux de sessions et les jetons. Les journaux exposés de CyberXero ont permis aux enquêteurs de reconstituer la campagne, montrant la quantité de détails opérationnels que peuvent contenir ces fichiers.
À Kharkiv, les chercheurs ont documenté le vol d’informations clients sans confirmer de coupure du chauffage. Les services publics européens devraient considérer comme des incidents de sécurité urgents les exportations inhabituelles de données d’abonnés et l’activité de comptes privilégiés, même lorsque les services essentiels restent opérationnels.
À lire aussi : les organisations européennes font face à une autre menace via les identifiants Microsoft. Le kit de phishing N0va détourne l’authentification par code d’appareil pour obtenir des jetons d’accès, même après que les utilisateurs ont terminé leur MFA.