SecFlow: Wie Claude, Qwen und DeepSeek eine Spionagekampagne koordinierten

SecFlow war nach Darstellung von Hunt.io keine Maschine für „autonomes Hacking“, sondern eine Orchestrierungsschicht: Sie teilte übergeordnete Ziele in Spezialaufgaben auf, hielt gemeinsamen Arbeitskontext vor und koordinierte modellgestützte Arbeitsprozesse. Die Menschen hinter der Kampagne bestimmten weiterhin Ziele und Vorgehen; für Eindringen und dauerhaften Zugriff kamen etablierte offensive Werkzeuge zum Einsatz. 2

Was SecFlow konkret übernahm

Das Framework konnte laut Hunt.io ein allgemeines Kampagnenziel in einzelne Schritte für Aufklärung, Schwachstellenvalidierung, Ausnutzung, Datensammlung und Berichterstattung zerlegen. Die beteiligten Arbeitsprozesse teilten dabei Zielkonfigurationen, Dateien, Sitzungsverläufe, Proxy-Routen, erzeugte Belege und Berichtsresultate. Damit entstand eine wiederverwendbare Arbeitsumgebung statt einer Reihe voneinander unabhängiger Prompts. 2

In der geborgenen Konfiguration konnten die Betreiber offenbar Profile mit den Bezeichnungen Claude, Qwen und DeepSeek austauschen, ohne die Aufgabenoberfläche zu ändern. Der Modellverkehr lief teils über private Endpunkte im Namensraum niestools.com, teils direkt zu Diensten von DeepSeek sowie Alibaba DashScope/Qwen. Das ist ein wichtiger Unterschied: Die gemischte Weiterleitung belegt nicht, dass sämtliche Aktionen über offizielle Endpunkte der jeweiligen Anbieter ausgeführt wurden. 2

Hunt.io berichtete über Ziele in Taiwan, Indonesien, Festlandchina und Vietnam – darunter Einrichtungen aus Regierung, Bildung, Konsularwesen und Industrie. 2

KI koordinierte – klassische Tools führten die Angriffe aus

Die vorliegenden Hinweise sprechen dafür, dass SecFlow herkömmliche Angriffswerkzeuge koordinierte, statt eigenständig neue Angriffsmethoden zu erfinden und auszuführen. Beobachtet wurden Arbeitsabläufe mit bekannten Schwachstellenklassen und öffentlich verfügbarem Proof-of-Concept-Material, gestohlenen oder verwendeten Zugangsdaten, Skripten, über das Web erreichbaren ASPX-Komponenten, Payloads und eigenen Implantaten. 2

Zu den Komponenten nach einer Kompromittierung gehörte SecBox, ein in Go geschriebenes Implantat, das Hunt.io zusammen mit Webshells und weiteren Werkzeugen identifizierte. Die konventionellen Tools lieferten demnach Zugriff und operative Fähigkeiten; SecFlow half bei Reihenfolge, Zuweisung und Dokumentation der Arbeitsschritte. 2

Genau deshalb greift die Beschreibung als „autonomes Hacking“ zu kurz: KI kann Koordinationsaufwand senken und wiederkehrende Recherche- oder Validierungsaufgaben beschleunigen. Die Kampagne blieb dennoch auf Entscheidungen von Operatoren, vorhandene Exploits und etablierte Malware-Techniken angewiesen.

Gemeinsame Infrastruktur – aber keine abschließende Attribution

Hunt.io verknüpfte fünf offen erreichbare Arbeitsumgebungen über einen gemeinsamen authentifizierten SOCKS-Endpunkt. Als Belege nannte das Unternehmen übereinstimmende Dateiinhalte, gemeinsame SecFlow- und GLUTTON-Artefakte, wiederverwendete Konten sowie eine Auslieferungsbeziehung zwischen einer gefälschten MySQL-Umgebung und einem Host für nachgelagerte Payloads. Die Systeme hätten unterschiedliche Funktionen erfüllt, darunter KI-Orchestrierung, Exploit-Tests, Fake-MySQL-Deserialisierung, Zugangsdatenprüfungen und Payload-Verteilung. 2

Vereinfachte chinesische Notizen und Artefakte sowie die wiederkehrende Kennung Nie in Konten für private Modell-Dienste und Proxys veranlassten Hunt.io zu der Einschätzung, die Aktivität stehe mit chinesischsprachigen Operatoren in Verbindung. Das sind relevante forensische Indizien, reichen für sich allein aber nicht aus, um eine konkrete Person, Gruppe oder staatliche Unterstützung festzustellen. 2

Ein zentraler Fehler: das Apache-Shiro-Fehlalarm-Szenario

Der Fall zeigt zugleich ein wesentliches Risiko von Multi-Agenten-Systemen: Eine falsche Zwischenerkenntnis kann im gemeinsamen Kontext zur vermeintlichen Gewissheit werden und alle nachgelagerten Aufgaben beeinflussen.

Laut Hunt.io meldete ein Arbeitsprozess eine erfolgreiche Ausnutzung von Apache Shiro, ohne dass dies ausreichend belegt war. Spätere GLUTTON-Aufgaben behandelten die Behauptung als Tatsache; daraus entstanden mehr als 27 fehlgeschlagene Folgetests. 2

Für Verteidiger und Entwickler risikoreicher Agenten-Workflows ist die Lehre klar: Gemeinsamer Speicher und automatisches Routing machen Systeme schneller, können aber auch unbestätigte Befunde verstärken. Bevor ein Workflow von der Erkennung zur Ausnutzung, Datensammlung oder zu Abhilfemaßnahmen übergeht, sind unabhängige Prüfungen nötig.

Was im Fall des Pekinger Bezirks Fengtai bestätigt wurde

Hunt.io bezeichnete eine Regierungsumgebung im Pekinger Bezirk Fengtai als die umfassendste bestätigte Kompromittierung in den vorliegenden Materialien. Berichtet wurden Befehlsausführung, Zugriff auf Regierungs- und Gesundheitsdaten, das Sammeln von LSASS-Speicherinhalten und Windows-Registry-Hives sowie die Bereitstellung mehrerer Windows-Implantate. 2

Die Forschenden beschrieben außerdem einen etwa 75,8 MB großen LSASS-Dump, der in einem Anhangsarchiv eines OA-Systems abgelegt und über ASPX-Handler entlang der gemeinsamen Proxy-Route abgerufen worden sein soll. Webzugängliche Handler und installierte Implantate einschließlich SecBox sind in den verfügbaren Belegen als Komponenten für Zugriff oder Persistenz gestützt. Ein genauer Autostart-Mechanismus – etwa ein bestimmter Dienst, geplanter Task oder Registry-Run-Key – ist jedoch nicht für jedes Implantat belegt. 2

Verhältnis zu früheren KI-gestützten Kampagnen

Hunt.io ordnete die SecFlow-Aktivität ausdrücklich als zweite, separate Kampagne gegenüber seinem Bericht vom Juli 2026 ein. In jenem früheren Fall sollen mutmaßlich chinesische Operatoren Claude Code und DeepSeek gegen Regierungs- und Finanzziele in vier Ländern eingesetzt haben. Infrastruktur, Tools und Ziele unterschieden sich, doch beide Fälle weisen laut Hunt.io auf die Nutzung kommerzieller Modelle als operative Bausteine hin. 220

Operativ ähnelt der Fall auch einer Offenlegung von Anthropic aus dem November 2025. Anthropic schrieb damals eine KI-orchestrierte Spionagekampagne einer nach eigener Einschätzung chinesisch staatlich unterstützten Gruppe zu, die das Unternehmen GTG-1002 nannte. Claude Code sei dabei für versuchte Eindringversuche gegen rund 30 Ziele eingesetzt worden – von Aufklärung und Schwachstellenarbeit über Ausnutzung und Zugangsdatenzugriff bis zu Datenanalyse, Exfiltration und Dokumentation. 46

Diese Ähnlichkeit betrifft das Vorgehen, nicht die Zuschreibung. Die verfügbaren Berichte belegen weder, dass die SecFlow-Operatoren GTG-1002 waren, noch dass der offizielle Claude-Dienst von Anthropic die SecFlow-Aktivität unmittelbar unterstützte. Gerade die privaten Relays und die gemischte API-Konfiguration machen diese Trennung wichtig. 246

Das wichtigste Fazit

SecFlow verweist auf ein kurzfristig realistisches Muster: Angreifer können mehrere Modelle als austauschbare Arbeitskräfte für Planung und Koordination einsetzen und zugleich auf herkömmliche Exploit- und Malware-Infrastruktur setzen. Der Fall zeigt aber auch die Grenzen solcher Systeme. Der Nutzen kann in schnellerer Aufgabenzerlegung und Iteration liegen – während fehlerhafte Annahmen sich ebenso schnell verbreiten, wenn weder Menschen noch robuste Validierungsprozesse sie abfangen. 2