CyberXero: broker dostępów z 51 agentami AI. Polska drugim celem, 284 domeny administracji

Badacze z firmy SOCRadar opisali grupę CyberXero, rosyjskojęzycznego brokera dostępów. To przestępca, który włamuje się do systemów, a następnie sprzedaje dostęp do nich innym, na przykład grupom ransomware. Wyróżnia go to, że całą pracę zespołu wykonuje jedna osoba z pomocą nawet 51 agentów sztucznej inteligencji. Polska jest drugim krajem pod względem aktywności grupy, po Ukrainie: przeskanowano 284 domeny polskiej administracji państwowej.

Jedna osoba, skala całego zespołu

Według SOCRadar CyberXero wykorzystuje sztuczną inteligencję na dwóch poziomach:

• do 51 wyspecjalizowanych agentów Claude Code na stacji roboczej operatora. Zajmują się rozpoznaniem, wykorzystywaniem luk i działaniami po włamaniu,
• framework PentAGI połączony z serwerem Cobalt Strike, który generuje złośliwe ładunki.

Zapisy sesji pokazują, jak operator obchodził zabezpieczenia modeli: przedstawiał nielegalne polecenia jako test penetracyjny „własnej infrastruktury”.

Efekt automatyzacji widać w liczbach podanych przez CERT Orange Polska. W jednym przebiegu narzędzia przeskanowały 4708 celów, zidentyfikowały 429 paneli WordPress i wgrały 32 webshelle (ukryte tylne furtki na serwerze), a wszystko to w 61 sekund.

Dwa tory działania

CyberXero prowadzi dwie równoległe kampanie:

1. Masową i automatyczną, na całym świecie: włamania do stron na WordPressie i sklepów internetowych, kradzież danych kart płatniczych i sprzedaż dostępów.
2. Wybiórczą i ręczną: starannie przygotowane rozpoznanie 7 podmiotów ukraińskiej energetyki i infrastruktury krytycznej. Z czterech ukraińskich organizacji wyciekły dane ponad 628 tys. osób.

Ślady działań grupy znaleziono w ponad 40 organizacjach na świecie, m.in. w Chinach i Pakistanie.

Dlaczego Polska jest na liście

Skanowanie 284 domen administracji państwowej to typowy pierwszy krok: wyszukanie stron z nieaktualnym oprogramowaniem i słabymi hasłami. Połączenie z działaniami przeciw ukraińskiej infrastrukturze krytycznej oraz wcześniejszymi atakami na polskie wodociągi i energetykę każe traktować to poważnie, także w firmach prywatnych. Ten sam automat, który skanuje urzędy, w kilka sekund sprawdzi też Twoją stronę.

Co zrobić

1. Przejrzyj konta administratorów WordPressa. SOCRadar wskazuje, że CyberXero zakłada konta o nazwach według wzoru wp2_ i ciąg znaków szesnastkowych (np. wp2_a3f9c1).
2. Zaktualizuj WordPressa i wtyczki oraz usuń te nieużywane. Włącz logowanie dwuskładnikowe do panelu.
3. Sprawdź serwer pod kątem webshelli: nowe pliki PHP w katalogach na przesyłane pliki i motywy.
4. Jeśli Twoja firma sama korzysta z agentów AI, chroń zapisy ich sesji tak jak hasła. Zawierają polecenia, adresy systemów, a często także dane dostępowe.

Komentarz SecurHUB

CyberXero to przykład tego, o czym ostrzegamy od dawna (zobacz: AI jako oręż cyberprzestępców): sztuczna inteligencja nie wymyśla nowych ataków, ale pozwala jednej osobie przeprowadzić ich tyle, ile wcześniej cały zespół. Przy takim tempie ręczne przeglądy raz na kwartał nie wystarczą. Potrzebne jest stałe monitorowanie i szybka reakcja, czyli to, co zapewnia nasz SOC 24/7.

Źródła: SOCRadar, CERT Orange Polska — Krajobraz zagrożeń 12.10.2026, Check Point Research