CyberXero ha surgido como un agente de acceso inicial que utiliza herramientas de hacking tradicionales combinadas con inteligencia artificial para ejecutar intrusiones a gran escala. Este operador de habla rusa ha atacado sitios de WordPress y comercio electrónico en todo el mundo, además de investigar organizaciones de energía y servicios públicos en Ucrania. La campaña fue descubierta tras la exposición de un directorio abierto con más de 90.000 archivos, incluyendo scripts y sesiones de IA.

CyberXero ha surgido como un bróker de acceso inicial que combina herramientas de hacking conocidas con inteligencia artificial para ejecutar intrusiones a gran escala.

El operador de habla rusa puso como objetivo sitios de WordPress y de comercio electrónico en todo el mundo, mientras sondeaba por separado organizaciones energéticas y de servicios públicos ucranianas.

La campaña salió a la luz después de que un directorio abierto expusiera más de 90,000 archivos, incluyendo scripts, registros de sesiones de IA y datos robados.

La evidencia indica que la operación permaneció activa durante la investigación, lo que genera la preocupación de que el acceso comprometido pueda ser vendido o reutilizado. Analistas de SOCRadar identificaron la actividad y la vincularon a un actor motivado financieramente que utiliza el alias CyberXero.

SOCRadar dijo en un informe que el actor ejecutó campañas tanto automatizadas como cuidadosamente seleccionadas.

La escala es sorprendente. Una ejecución automatizada escaneó 4,708 objetivos, encontró 429 paneles de administración de WordPress accesibles y colocó 32 shells en 61 segundos. Más de 628,000 personas ucranianas tenían datos confirmados en posesión del actor, incluyendo residentes de Kharkiv.

CyberXero combina Claude Code, PentAGI y Cobalt Strike

CyberXero utilizó dos capas de IA en lugar de tratar la IA como un simple asistente de escritura. En una estación de trabajo principal, el actor configuró hasta 51 agentes de Claude Code para el descubrimiento web, prueba de contraseñas, explotación y robo de datos, un patrón que refleja otros casos de automatización de ataques con Claude AI que involucran herramientas de IA comerciales.

Una segunda configuración conectó PentAGI, un marco de pruebas de penetración asistido por IA, a un Servidor de Equipo de Cobalt Strike a través de una API de proveedor de IA.

Según los informes, la configuración recuperada asignaba modelos y presupuestos de tokens según la complejidad de la tarea, reservando un mayor esfuerzo para la generación de payloads, mientras que los roles más económicos se encargaban de las búsquedas e instalaciones.

Intrusiones separadas de ransomware con Claude Code han mostrado igualmente que la IA gestiona múltiples etapas del ataque. Los registros de sesión mostraron que el operador intentaba superar las negativas afirmando que los objetivos eran sistemas propios sometidos a pruebas autorizadas.

Cuando una solicitud era rechazada, el actor abría una sesión nueva con la misma historia precargada, demostrando cómo los reinicios de sesión pueden debilitar el valor práctico de las salvaguardas de sesión única.

Los registros también grabaron rechazos que se mantuvieron, incluyendo solicitudes para instalar un backdoor, desactivar un firewall, moverse a través de una red y desplegar una webshell.

Esto hace que el manejo seguro de los registros de los agentes sea esencial: las organizaciones deben cifrarlos, limitar el acceso, mantener pistas de auditoría y tratarlos como credenciales o claves criptográficas.

Sitios web e infraestructura ucraniana

La amplia campaña de CyberXero se centró en objetivos de WordPress y comercio electrónico. Su paquete interno wp2shell abusó del endpoint de lotes de la REST API de WordPress para inyectar SQL, crear un administrador fraudulento e instalar una webshell de la familia WSO, haciendo que el parcheo rápido sea crítico para los sitios afectados por la cadena de vulnerabilidades de ejecución remota wp2shell en instalaciones vulnerables.

El actor también puso como objetivo Magento y utilizó Support Board CVE-2026-4815 dentro de los 30 días posteriores a su divulgación. Debes verificar las actualizaciones de WordPress, inspeccionar si hay plugins desconocidos y cuentas de administrador inesperadas, restringir Redis expuesto a Internet y revisar las claves SSH autorizadas para detectar cambios no autorizados.

El pipeline más selectivo mapeó siete entidades energéticas y de servicios públicos ucranianas, incluyendo el operador nacional del sistema de transmisión y el holding energético privado más grande del país.

Enumeró 95 subdominios en dos organizaciones e identificó servicios que van desde sistemas de correo electrónico y VPN hasta plataformas de despacho de red. Cuatro organizaciones ucranianas tuvieron robo de datos confirmado por archivos.

Un proveedor de calefacción urbana de Kharkiv perdió 564,073 registros de suscriptores y 213,340 entradas de registros de acceso después de que el actor utilizara una credencial hardcoded en su propio script, un recordatorio de que los riesgos de ataque a la infraestructura ucraniana pueden extenderse más allá de la interrupción del servicio.

La campaña afectó a más de 40 organizaciones a nivel mundial, observándose también actividad en Polonia, China y Pakistán. Aunque los investigadores no encontraron pruebas directas de una venta de acceso, la mezcla de recolección masiva y reconocimiento detallado del sector energético sugiere un riesgo serio para las organizaciones cuyos sistemas o datos estén expuestos.

Los investigadores observaron primero la infraestructura en julio de 2026 y mapearon ocho nodos conectados a través de hosting europeo y Tencent Cloud.

El directorio de trabajo expuesto contenía más de 3,000 subdirectorios, lo que permitió a los investigadores conectar la actividad de la estación de trabajo, los registros de aprovisionamiento y la preparación del ataque a través de artefactos compartidos.

Esta visibilidad ayudó a distinguir el robo de datos confirmado del reconocimiento que no había producido un compromiso verificado en el momento de la investigación.