Analisten van SOCRadar hebben een cyberactor geïdentificeerd, bekend onder het alias CyberXero, die zich voornamelijk richt op grootschalige inbraken door een combinatie van gangbare hacktools en kunstmatige intelligentie (AI) in te zetten. Deze initial access broker, wiens infrastructuur in juli 2026 voor het eerst werd waargenomen, voerde zowel geautomatiseerde als selectief uitgevoerde campagnes uit. Twee AI-lagen, opererend met maximaal 51 Claude Code-agenten, werden gebruikt voor web-discovery, wachtwoordtesten, exploitatie en data-diefstal.

Een voorbeeld van de geautomatiseerde aanpak betrof een scan van 4.708 doelwitten, waarbij 429 toegankelijke WordPress-beheerpanelen werden geïdentificeerd en 32 shells werden geplaatst binnen slechts 61 seconden. CyberXero maakte hierbij gebruik van het wp2shell-pakket om de WordPress REST API te misbruiken, SQL te injecteren, een beheerder aan te maken en een WSO-family webshell te installeren. De Russischsprekende operator had wereldwijd WordPress- en e-commercesites als doelwit.

Daarnaast werd een meer selectieve aanvalslijn gericht op zeven Oekraïense energie- en nutsbedrijven. In dit kader werden 95 subdomeinen onderzocht bij twee organisaties, met diensten variërend van e-mail- en VPN-systemen tot netwerkdispatchplatforms. Magento-sites waren ook een doelwit, waarbij de Support Board CVE-2026-4815 kwetsbaarheid binnen 30 dagen na de openbaarmaking werd uitgebuit. Afzonderlijke ransomware-inbraken, uitgevoerd via Claude Code, lieten zien dat AI meerdere aanvalsfasen afhandelde.

De impact van de campagne was aanzienlijk: meer dan 628.000 Oekraïners hadden bevestigd dat hun gegevens in het bezit van de actor waren, met name inwoners van Kharkiv. Een verwarmingsbedrijf in Kharkiv verloor 564.073 abonneebestanden en 213.340 toegangslogboekvermeldingen. In totaal hadden vier Oekraïense organisaties bevestigde data diefstal. Wereldwijd trof de campagne meer dan 40 organisaties, met activiteit waargenomen in Polen, China en Pakistan.

Het onderzoek wees uit dat de operatie actief bleef, wat de bezorgdheid voedt dat gecompromitteerde toegang verkocht of hergebruikt kan worden. De omvang van de campagne werd deels bekend door een open directory met meer dan 90.000 bestanden, waaronder scripts, AI-sessiegegevens en gestolen data. Deze blootgelegde werkdirectory bevatte meer dan 3.000 submappen, waardoor onderzoekers workstationactiviteit, provisioning-records en aanvalsfasen via gedeelde artefacten konden reconstrueren.

Sessielogboeken onthulden dat de operator pogingen deed om weigeringen te omzeilen door te beweren dat doelwitten eigendom van de actor waren en onderworpen aan geautoriseerde tests. Bij weigering opende de actor een nieuwe sessie met hetzelfde vooraf geladen excuus. Dit betrof onder andere pogingen om backdoors te installeren, firewalls uit te schakelen, zich over een netwerk te verplaatsen en webshells te implementeren. Een tweede opstelling koppelde PentAGI, een AI-ondersteund penetratietestframework, aan een Cobalt Strike Team Server via een AI-provider API. Instellingen bepaalden modellen en tokenbudgetten op basis van taakcomplexiteit, met meer inspanning voor het genereren van payloads en minder voor zoekopdrachten en installaties. De zichtbaarheid van de open directory hielp bij het onderscheiden van daadwerkelijke diefstal van gegevens van verkenningsactiviteiten die nog geen geverifieerd compromis hadden opgeleverd.