# CyberXero : Claude Code détourné pour voler 628 000 enregistrements ukrainiens

> Un courtier d'accès initial russophone a utilisé Claude Code et PentAGI pour orchestrer deux campagnes, dont une visant les infrastructures critiques ukrainiennes. SOCRadar détaille l'architecture et les refus du modèle.

- Auteur : Clément Reboul, ingénieur IA (https://clement-reboul.fr/about/)
- Publié le 2026-10-12, mis à jour le 2026-10-27
- Adresse canonique : https://clement-reboul.fr/blog/cyberxero-claude-code-detourne-pour-voler-628-000-enregistrements-ukrainiens/
- Thèmes : Cybersécurité, Agents et outils

---

## L'essentiel

SOCRadar a publié un rapport sur une campagne d'accès initial assistée par IA, attribuée à un courtier d'accès initial russophone et motivé financièrement, baptisé CyberXero. L'acteur combinerait des outils offensifs classiques comme Cobalt Strike avec une couche d'orchestration IA reposant sur Claude Code d'Anthropic. Il serait actif au moins depuis juillet 2026.

L'opération se déroule sur deux pipelines simultanés : une campagne automatisée mondiale contre WordPress et les plateformes e-commerce, et une campagne manuelle ciblée contre les infrastructures énergétiques et critiques ukrainiennes. Quatre organisations ukrainiennes auraient été compromises, avec l'exfiltration de plus de 628 000 enregistrements liés à des personnes ukrainiennes. D'autres compromissions confirmées ont eu lieu en Pologne, en Chine et aux Pays-Bas.

## Les détails

### Découverte et architecture

SOCRadar dit avoir découvert l'opération via un répertoire ouvert exposé à l'adresse « 46.21.250[.]135 », qui laissait fuiter le répertoire de travail d'une station Linux : journaux de sessions IA, scripts contenant des jetons en clair, kits d'exploitation, sorties de reconnaissance, configurations d'agents IA et données de victimes exfiltrées. La campagne est toujours en cours.

L'architecture repose sur huit nœuds distincts, dont la station Linux de l'attaquant, un serveur de provisioning, une infrastructure de monétisation, des serveurs de staging de payloads et un scanner chargé d'identifier les cibles.

### Deux usages distincts de l'IA

Claude Code est utilisé avec un cluster de 51 agents spécialisés pour le scan, l'enchaînement d'exploits, la reconnaissance et la post-exploitation, sur la station principale de l'attaquant. En parallèle, PentAGI (Penetration testing Artificial General Intelligence), un agent IA open source auto-hébergé de test d'intrusion autonome, est connecté à Cobalt Strike via une API de fournisseur IA pour la génération de payloads et l'exécution de tests d'intrusion, sur un serveur Cobalt Strike Team Server.

### Contournement des refus

Pour contourner les refus du modèle, l'attaquant a recours à l'ingénierie de contexte et à des réinitialisations de session, en affirmant mener un « authorized pentest on my own infrastructure ». SOCRadar explique que « les contrôles de sécurité des modèles agissent sur le contexte d'une session, pas sur les poids du modèle, donc un refus dans une session ne se reporte pas dans la suivante ». Les journaux montrent toutefois des refus qui ont tenu : sur quatre itérations, le modèle a décliné d'installer une porte dérobée, de désactiver un pare-feu, de se déplacer latéralement et de déployer un web shell ; dans un autre épisode, il a refusé un scan quatre fois de suite et rejeté un jeton de propriété falsifié.

### Cibles et vecteurs

La campagne mondiale exploite des failles connues : wp2shell (CVE-2026-63030 et CVE-2026-60137) et CVE-2026-4815, une injection SQL touchant le plugin WordPress Support Board. Une seule exécution automatisée a scanné 4 708 cibles, confirmé l'accès à 429 panneaux d'administration WordPress, puis déployé 32 web shells en 61 secondes. La campagne ciblée visait notamment un fournisseur de chauffage à Kharkiv. L'exploitation de serveurs Redis exposés a par ailleurs conduit à la compromission de deux entités chinoises.

## Pourquoi c'est important

Pour une équipe, ce rapport déplace le débat sur la sécurité des agents IA. Le point technique central est que les garde-fous s'appliquent au contexte de session et non aux poids : un refus n'est pas une barrière persistante, et la réinitialisation de session devient une primitive d'attaque à part entière. Cela suggère que les mécanismes de refus, seuls, ne suffisent pas à contenir un usage offensif.

Le second enseignement est opérationnel. Les vecteurs restent banals — failles WordPress connues, Redis exposé, injection SQL — mais l'orchestration par agents en change le débit : 4 708 cibles scannées et 32 web shells posés en 61 secondes. À surveiller, donc : la détection d'administrateurs WordPress parasites, de web shells WSO et d'entrées inattendues dans ~/.ssh/authorized_keys sur les hôtes Redis. Mon hypothèse est que la valeur défensive se déplace vers la télémétrie d'exécution des agents et la journalisation des sessions, pas vers le filtrage des requêtes au modèle.

## Source

- [CyberXero Uses Claude Code in Campaign That Stole Over 628,000 Ukrainian Records](https://thehackernews.com/2026/10/cyberxero-uses-claude-code-in-campaign.html) · The Hacker News