Хакери викрали дані понад 628 тисяч українців і намагалися атакувати ДТЕК
Дослідники з кібербезпеки SOCRadar виявили кампанію кібератак, спрямовану на українські енергетичні та комунальні підприємства. За їхніми даними, зловмисник, відомий під псевдонімом CyberXero, отримав дані чотирьох українських організацій. У його розпорядженні опинилося понад 628 тисяч записів, пов’язаних з українцями.
Для автоматизації атак використовували інструменти на основі штучного інтелекту, зокрема Claude Code із 51 спеціалізованим агентом. Про це йдеться у звіті SOCRadar.
Які українські організації атакували
За даними дослідників, зловмисник проводив цільову розвідку щодо семи українських підприємств енергетичного та комунального секторів. У переліку цілей були 95 субдоменів двох енергетичних організацій. Вони охоплювали поштову інфраструктуру, VPN, системи диспетчерського керування мережею та платформи даних.
Водночас дослідники не підтвердили успішний злам усіх семи підприємств. Викрадення даних вдалося підтвердити у чотирьох українських організаціях, серед яких — Укренерго, ДТЕК і харківські енергетичні компанії.
Скриншот із офіційного сайту SOCRadar. Перелік атакованих організацій
Як працювала кампанія
За даними SOCRadar, за кампанією стоїть російськомовний кіберзлочинець, відомий під псевдонімом CyberXero. Дослідники дійшли такого висновку, зокрема, на основі мови спілкування зловмисника.
Операція складалася з двох напрямів. Перший був глобальним і автоматизованим: зловмисник атакував сайти на WordPress та платформи електронної комерції, щоб отримати доступ до систем і платіжних даних.
Другий напрям був спрямований на українські енергетичні та комунальні підприємства. Він передбачав поглиблену розвідку конкретних цілей і ручне використання вразливостей.
Як використовували ШІ
У кампанії використовували два рівні ШІ-автоматизації.
Перший — Claude Code від Anthropic із 51 ШІ-агентом. Вони виконували різні завдання: шукали цілі для атак, аналізували піддомени, знаходили способи зламати системи та викрадали дані.
Другий рівень поєднував інструмент PentAGI для автоматизованого тестування безпеки з платформою Cobalt Strike. За допомогою ШІ ця система створювала шкідливі програми та допомагала проводити атаки.
Що далі
Що станеться з викраденими даними далі, невідомо. SOCRadar не знайшла доказів, що їх уже продали або опублікували. Дослідники припускають, що доступ до українських енергетичних підприємств могли готувати для продажу іншим зловмисникам.
