The Pulse
SOCRadar scopre che CyberXero aveva configurato 51 agenti Claude Code
Secondo SOCRadar, CyberXero ha utilizzato un sistema di attacco assistito dall’IA con 51 agenti Claude Code specializzati e PentAGI collegato a Cobalt Strike. La società di sicurezza segnala anche che, in un’unica esecuzione di 61 secondi,
AI.info Team · Scritto con l’IA ·
Il 6 ottobre, SOCRadar ha descritto come una directory esposta abbia permesso di vedere l’operazione di CyberXero: oltre 90.000 file, tra cui script di attacco, dati delle vittime e log delle sessioni di IA. La Threat Research Unit dell’azienda afferma che il broker di accessi, di lingua russa e mosso da fini economici, affiancava strumenti offensivi convenzionali a un sistema di orchestrazione dell’IA. L’indagine descrive due campagne condotte in parallelo: una prendeva di mira su larga scala siti WordPress e di e-commerce, l’altra svolgeva ricognizioni più selettive su organizzazioni ucraine dei settori energetico e dei servizi di pubblica utilità.
I file hanno rivelato un sistema di IA a due livelli
SOCRadar afferma di aver trovato 51 definizioni di agenti Claude Code specializzati sulla postazione principale di CyberXero, suddivisi tra attività di ricognizione, sfruttamento delle vulnerabilità e successive alla compromissione. Un secondo livello collegava il framework open source di test PentAGI a un team server Cobalt Strike tramite l’API di un fornitore di IA. Il rapporto descrive agenti e strumenti configurati, ma non dimostra che tutti gli agenti fossero attivi contemporaneamente né che gli attacchi si svolgessero senza intervento umano.
«Il secondo livello gira sul Team Server e integra PentAGI, un framework open source di penetration test potenziato dall’IA, con Cobalt Strike tramite l’API di un fornitore di IA».
SOCRadar Threat Research Unit
SOCRadar afferma che una singola esecuzione automatizzata ha scansionato 4.708 bersagli, confermato l’accesso a 429 pannelli di amministrazione WordPress e installato 32 web shell in 61 secondi. Queste cifre descrivono fasi distinte dell’esecuzione: il rapporto non dice che su tutti i 429 pannelli sia stata installata una web shell. L’operazione più ampia prendeva di mira anche piattaforme di e-commerce, anche sfruttando una vulnerabilità nel software Support Board.
Gli obiettivi in Ucraina andavano oltre la campagna su larga scala
L’azienda ha rilevato attività di ricognizione mirate contro sette enti ucraini dei settori energetico e dei servizi di pubblica utilità, tra cui l’operatore nazionale del sistema di trasmissione e la più grande holding energetica privata del paese. Un elenco di bersagli comprendeva 95 sottodomini appartenenti a queste due organizzazioni. Separatamente, SOCRadar afferma di aver confermato l’esfiltrazione di dati da quattro organizzazioni ucraine e che CyberXero era in possesso di oltre 628.000 record relativi a persone ucraine.
Un dataset proveniva da un fornitore di teleriscaldamento di Kharkiv: secondo SOCRadar, conteneva 564.073 record di abbonati e 213.340 voci nei log degli accessi. L’azienda afferma che erano in corso ricognizioni su altri sette enti del settore energetico, senza che ne fosse confermata la compromissione. Non ha trovato prove dirette che gli accessi ottenuti in Ucraina fossero stati venduti né ha accertato lo scopo di quelle attività.
I log delle sessioni hanno registrato rifiuti e tentativi di aggirarli
Secondo SOCRadar, i log esposti mostrano che l’operatore presentava agli strumenti di IA una spiegazione inventata, sostenendo di svolgere un «penetration test autorizzato». La stessa dichiarazione di essere il proprietario compariva per quattro vittime non collegate tra loro e su due strumenti; dopo i rifiuti, l’operatore apriva anche nuove sessioni in cui la storia dell’autorizzazione era già presente nel contesto. Il rapporto descrive queste tattiche come tentativi di riformulare le richieste, non come modifiche tecniche ai modelli.
Alcuni rifiuti sono rimasti fermi: secondo SOCRadar, i log mostrano che i modelli hanno respinto richieste di installare una backdoor, disabilitare un firewall, spostarsi lateralmente e installare una web shell. I file esposti hanno inoltre fornito agli investigatori una documentazione dettagliata dei piani e dei prompt dell’operatore, mostrando quanto possano essere sensibili le cronologie delle sessioni degli agenti. Per gli amministratori di WordPress, il rapporto indica un segnale specifico da controllare: nomi di account non autorizzati composti da «wp2_» seguito da otto caratteri esadecimali.