Персональні дані сотень тисяч українців, включно з інформацією користувачів об'єктів критичної інфраструктури, викрали внаслідок масштабної кібероперації. Дослідники з кібербезпеки SOCRadar стверджують, що за атакою стоїть російськомовне угруповання CyberXero. Воно діє як брокер початкового доступу та активно інтегрує інструменти штучного інтелекту в бойові цикли атак.
Як працювала двовекторна кампанія з використанням ШІ
Зловмисники побудували автоматизовану екосистему, що паралельно виконувала два завдання. Перший напрямок охоплював глобальне сканування сайтових платформ і WordPress-ресурсів через вразливості на кшталт CVE-2026-63030, CVE-2026-60137 та плагіна Support Board (CVE-2026-4815). Другий вектор був націлений на глибоку розвідку та ручне вибивання доступу до українських енергетичних та комунальних мереж.
Для координації атак хакери розгорнули кластер із 51 спеціалізованого агента на базі Claude Code від Anthropic. Ці агенти у зв’язці з автономною системою PentAGI та сервером Cobalt Strike автоматизували сканування мереж, побудову ланцюжків експлойтів та створення шкідливого коду.
Обхід обмежень безпеки та виявлення витоку
Щоб змусити ШІ виконувати деструктивні команди, зловмисники використовували інженерію контексту та регулярні скидання сесій. Вони переконували систему в легітимності тестів на проникнення, хоча вбудовані фільтри безпеки платформи у кількох випадках таки спрацювали, заблокувавши спроби встановити бекдори чи вимкнути фаєрволи.
Операцію вдалося викрити завдяки грубій помилці самих хакерів: на одному із серверів лишилася незахищена директорія з робочими логами ШІ-сесій, скриптами та викраденими файлами. Під удар потрапили щонайменше чотири українські організації, а загальний обсяг викрадених даних перевищив 628 тисяч записів громадян. Інцидент показує, що поява ШІ-агентів у руках злочинців радикально пришвидшує масштабування загроз.
🤔