Персональные данные сотен тысяч украинцев, включая информацию пользователей объектов критической инфраструктуры, были украдены в результате масштабной кибероперации. Исследователи по кибербезопасности SOCRadar утверждают, что за атакой стоит русскоязычная группировка CyberXero. Она действует как брокер начального доступа и активно интегрирует инструменты искусственного интеллекта в боевые циклы атак.
Как работала двувекторная кампания с использованием ИИ
Злоумышленники построили автоматизированную экосистему, которая параллельно выполняла две задачи. Первое направление охватывало глобальное сканирование сайтовых платформ и WordPress-ресурсов через уязвимости типа CVE-2026-63030, CVE-2026-60137 и плагина Support Board (CVE-2026-4815). Второй вектор был нацелен на глубокую разведку и ручное выбивание доступа к украинским энергетическим и коммунальным сетям.
Для координации атак хакеры развернули кластер из 51 специализированного агента на базе Claude Code от Anthropic. Эти агенты в связке с автономной системой PentAGI и сервером Cobalt Strike автоматизировали сканирование сетей, построение цепочек эксплойтов и создание вредоносного кода.
Обход ограничений безопасности и выявление утечки
Чтобы заставить ИИ выполнять деструктивные команды, злоумышленники использовали инженерию контекста и регулярные сбросы сессий. Они убеждали систему в легитимности тестов на проникновение, хотя встроенные фильтры безопасности платформы в нескольких случаях всё же сработали, заблокировав попытки установить бэкдоры или отключить файрволы.
Операцию удалось раскрыть благодаря грубой ошибке самих хакеров: на одном из серверов осталась незашищённая директория с рабочими логами ИИ-сессий, скриптами и украденными файлами. Под удар попали как минимум четыре украинские организации, а общий объём украденных данных превысил 628 тысяч записей граждан. Инцидент показывает, что появление ИИ-агентов в руках преступников радикально ускоряет масштабирование угроз.
🤔