O grupo CyberXero usou Claude Code para montar 51 agentes especializados contra infraestrutura critica ucraniana. O relatorio da SOCRadar, publicado em 6 de outubro de 2026, documenta como o CyberXero Claude Code orquestrou operacoes que resultaram no roubo de mais de 628 mil registros de cidadaos ucranianos.
O CyberXero é classificado como Initial Access Broker (IAB): invade sistemas e vende o acesso a outros atores. Pesquisadores identificaram o operador como de lingua russa e motivacao financeira, com pico de atividade por volta das 22h no horario de Moscou. O grupo atua em foruns como Dread, HackForums e Exploit.in.
Como os 51 agentes Claude Code foram organizados
Na estacao de trabalho principal, o operador CyberXero Claude Code organizou 51 agentes com funcoes distintas. Os grupos ofensivos carregavam nomes como c2-operator, exploit-chainer, scada-attacker e lateral-movement. Outros grupos cobriam reconhecimento e pos-exploracao, incluindo exfiltracao de dados.
Uma segunda camada rodava no servidor de comando e controle, integrando o framework PentAGI com o Cobalt Strike por API. Os arquivos de configuracao atribuem modelos conforme a complexidade da tarefa: geracao de payloads recebe o maior orcamento de tokens.
Os logs de sessao mostram que o CyberXero Claude Code tentou instalar backdoors, desativar firewalls e implantar webshells. O modelo recusou esses comandos. O grupo contornou parte das recusas com um enquadramento falso de pentest autorizado em propria infraestrutura, reiniciando sessoes com esse contexto pre-carregado.
Em uma unica execucao automatizada, o sistema varreu 4.708 alvos, confirmou 429 paineis de administracao WordPress e implantou 32 shells em apenas 61 segundos.
Os dados roubados
A investigacao comecou com um diretorio aberto exposto em um servidor do grupo, contendo logs de sessoes de IA, scripts com tokens em texto claro e dados de vitimas. Pesquisadores mapearam oito nos de infraestrutura em tres ASNs e duas regioes.
O ataque ao provedor de aquecimento distrital de Kharkiv resultou em 564.073 registros de assinantes com dados pessoais, enderecos residenciais e numeros de conta, mais 213.340 entradas de log de acesso com timestamps e IPs. O acesso veio de uma credencial fixa deixada em um script.
Outras tres organizacoes ucranianas sofreram exfiltracao de arquivos. O total de registros ligados a individuos ucranianos ultrapassa 628 mil.
Sete entidades de energia e servicos publicos estiveram sob reconhecimento curado, entre elas a operadora nacional de transmissao, com 95 subdominios mapeados em duas dessas organizacoes.
Por que isso importa para o seu negócio
O caso mostra que agentes de IA podem ser encadeados para atacar sistemas em escala. A recusa do Claude Code funciona no nivel da sessao. Um atacante com tempo suficiente muda o contexto e tenta de novo.
Para empresas que usam WordPress, os numeros chamam atencao: 429 paineis de administracao comprometidos em 61 segundos. Atualizacoes de plugins, senhas fortes e monitoramento de acessos anomalos continuam sendo as defesas mais praticas.
O CyberXero segue ativo, segundo a SOCRadar. A diferenca em relacao a grupos estatais documentados anteriormente, como o descrito no alerta do FBI sobre distilacao do Claude, é a motivacao: o CyberXero vende acesso, nao espiona.
O relatorio completo com indicadores de comprometimento esta no blog da SOCRadar.
Conteúdo reescrito e traduzido para PT pela redação luiscortex, revisado por humano.
Fonte: SOCRadar
