Дослідники з кібербезпеки SOCRadar виявили масштабну кампанію кібератак, спрямовану на українські енергетичні та комунальні підприємства. Зловмисник, відомий під псевдонімом CyberXero, отримав доступ до даних чотирьох українських організацій. У його розпорядженні опинилося понад 628 тисяч записів, пов’язаних з українцями. Для автоматизації атак використовували інструменти на основі штучного інтелекту, зокрема Claude Code із 51 спеціалізованим агентом.
За даними дослідників, зловмисник проводив цільову розвідку щодо семи українських підприємств енергетичного та комунального секторів. У переліку цілей були 95 субдоменів двох енергетичних організацій. Вони охоплювали поштову інфраструктуру, VPN, системи диспетчерського керування мережею та платформи даних. Водночас дослідники не підтвердили успішний злам усіх семи підприємств. Викрадення даних вдалося підтвердити у чотирьох українських організаціях, серед яких — Укренерго, ДТЕК і харківські енергетичні компанії.
За висновками SOCRadar, за кампанією стоїть російськомовний кіберзлочинець, відомий під псевдонімом CyberXero. Дослідники дійшли такого висновку, зокрема, на основі мови спілкування зловмисника. Операція складалася з двох напрямів. Перший був глобальним і автоматизованим: зловмисник атакував сайти на WordPress та платформи електронної комерції, щоб отримати доступ до систем і платіжних даних. Другий напрям був спрямований на українські енергетичні та комунальні підприємства. Він передбачав поглиблену розвідку конкретних цілей і ручне використання вразливостей.
У кампанії використовували два рівні ШІ-автоматизації. Перший — Claude Code від Anthropic із 51 ШІ-агентом. Вони виконували різні завдання: шукали цілі для атак, аналізували піддомени, знаходили способи зламати системи та викрадали дані. Другий рівень поєднував інструмент PentAGI для автоматизованого тестування безпеки з платформою Cobalt Strike. За допомогою ШІ ця система створювала шкідливі програми та допомагала проводити атаки.
Що станеться з викраденими даними далі, наразі невідомо. SOCRadar не знайшла доказів, що їх уже продали або опублікували. Дослідники припускають, що доступ до українських енергетичних підприємств могли готувати для продажу іншим зловмисникам.
Фахівці з кібербезпеки рекомендують усім організаціям, які використовують системи WordPress, Magento чи PrestaShop, терміново перевірити списки адміністраторів, наявність сторонніх веб-шелів і підозрілі облікові записи у своїх системах. Це допоможе виявити можливі сліди втручання та запобігти подальшим атакам.
3
