Російськомовне кіберзлочинне угруповання CyberXero залучило ШІ-інструменти, зокрема Claude Code від Anthropic, для автоматизації та масштабування кібератак. Унаслідок операції з території України було викрадено понад 628 000 персональних записів громадян, а також атаковано об'єкти критичної інфраструктури, зокрема підприємство теплопостачання в Харкові.
Російськомовне кіберзлочинне угруповання CyberXero залучило ШІ-інструменти, зокрема Claude Code від Anthropic, для автоматизації та масштабування кібератак. Унаслідок операції з території України було викрадено понад 628 000 персональних записів громадян, а також атаковано об'єкти критичної інфраструктури, зокрема підприємство теплопостачання в Харкові.
Про це йдеться у звіті дослідників з кібербезпеки компанії SOCRada.
За даними аналітиків SOCRadar, зловмисники, які діють щонайменше з липня 2026 року як брокери початкового доступу (Initial Access Brokers), паралельно реалізовували два напрямки атак, пише The Hacker News.
Загалом підтверджено факт викрадення даних з чотирьох українських організацій, що призвело до витоку понад 628 тисяч персональних записів. Також зафіксовано компрометацію ресурсів у Польщі, Китаї та Нідерландах.
Атака вирізняється високим рівнем інтеграції штучного інтелекту в бойовий цикл кібероперацій. Хакери застосували дворівневу екосистему ШІ:
кластер із 51 спеціалізованого агента на базі Claude Code для автоматичного сканування, побудови ланцюжків експлойтів та розвідки;
автономну систему PentAGI, підключену до командного сервера Cobalt Strike через API для автоматичного створення коду й виконання вектором атак.
Щоб обійти вбудовані обмеження безпеки ШІ-моделей, зловмисники застосовували інженерію контексту та регулярні скидання сесій. Вони переконували систему, що здійснюють «авторизоване тестування на проникнення власних систем». Якщо модель відмовляла у виконанні шкідливого завдання, хакери просто відкривали нову сесію з заздалегідь підготовленим «безпечним» контекстом.
Втім, у SOCRadar зауважили, що інструменти безпеки ШІ в кількох випадках спрацювали успішно — модель чотири рази поспіль відмовлялася встановити бекдор, вимкнути фаєрвол чи здійснити бокове переміщення по мережі.
Операцію викрили після того, як дослідники знайшли незахищену директорію на сервері зловмисників (46.21.250[.]135). Там виявилися робочі логи ШІ-сесій, вихідний код скриптів із відкритими токенами, інструменти експлуатації та викрадені дані жертв.
Окрім цього, SOCRadar повідомила про ще одну масштабну кіберзлочинну операцію — Operation Master (хакер з ніком masterblack). У цій кампанії зловмисники використовували вразливості шлюзів VPN (зокрема CVE-2026-0257 у Palo Alto Networks GlobalProtect) та інструменти ШІ для розробки фішингових платформ та підробки рахунків. Жертвами фінансового шахрайства на мільйони доларів стали компанії та громадяни в Латинській Америці та Японії.
