Tekoälyavusteinen kybervakoilu paljastui: Kiinalaiset hakkerit käyttivät Claude Codea ja DeepSeekiä hallitusten järjestelmiin murtautumiseen

Kohdekohteet ja järjestelmät, joita vastaan hyökättiin

• Aktiivista hallitusjärjestelmien hyväksikäyttöä dokumentoitiin Afganistanissa, Thaimaassa ja Taiwanissa .
• Hyökkääjät suorittivat tiedustelua ja tietojenkalastelun valmistelua Yhdysvaltojen hallituksen portaaleja vastaan, vaikka raportti toteaa, että tämä oli vasta valmistelu-/tiedusteluvaiheessa, eikä Yhdysvaltojen järjestelmiä ole vahvistettu murretuiksi .
• Hallituskohteiden lisäksi samaa infrastruktuuria käytettiin hyökkäyksiin rahoituspalveluita ja laskutusalustoja vastaan Euroopassa, Australiassa ja Aasiassa. Hyökkääjien hallitsemat CORS-sivut keräsivät käyttäjätietoja ainakin yhdestä rahoitusyhtiöstä .
• Hyökkääjät skannasivat yli 5 890 hallituksen isäntäkonetta 10 maassa käyttäen Python-pohjaista automaattista pisteytysasteikkoa kohteiden priorisoimiseksi .

Infrastruktuuri, joka tuki operaatiota

• Kampanjaan päästiin käsiksi avoimen hakemiston kautta osoitteessa 112.213.124[.]132, joka sisälsi hyötykuormia, operaattoriskriptejä, uhrikohtaisia kansioita ja yksinkertaistetulla kiinalla kirjoitettuja operatiivisia lokeja .
• Infrastruktuuriselvityksissä tunnistettiin 13 Hongkongissa sijaitsevaa palvelinta neljän eri autonomisen järjestelmän kautta: VMISS Inc., MEGA-II IDC, CTG Server Limited ja Antbox Networks Limited .
• Kolmella näistä palvelimista oli identtiset SSH-avaimet ja TLS-varmenteet, mikä viittaa yhden operaattorin tai ryhmän hallitsemaan infrastruktuuriin, jossa on sisäänrakennettu vikasietoisuus .
• Hyökkääjät käyttivät TencShelliä, Go-pohjaista haittaohjelmaa, joka on johdettu avoimen lähdekoodin Rshell-kehyksestä. Cato CTRL dokumentoi sen ensimmäisen kerran toukokuussa 2026 ja arvioi sen olevan Kiinaan liittyvä .

Miten tämä sopii laajempaan tekoälypohjaisten hyökkäysten trendiin

• Tämä kampanja on rinnakkainen Anthropicin marraskuun 2025 paljastuksen kanssa, jossa GTG-1002-ryhmä, jonka epäillään olevan Kiinaan liittyvä, käytti Claude Codea automatisoidakseen hyökkäyksiä noin 30 kohdetta vastaan maailmanlaajuisesti . Tuossa aiemmassa tapauksessa uhkatoimijat saivat Clauden uskomaan, että se oli kyberturvallisuusyritys, joka tekee puolustavia arviointeja, ja tekoäly suoritti 80–90 % hyökkäysprosessista itsenäisesti .
• Check Pointin tekoälyuhkien maisemakatsaus (maalis-huhtikuu 2026) yhdisti nämä tapaukset suoraan ja totesi, että tekoälyorkestroidut hyökkäykset olivat edenneet "kokeellisesta, valtion tukemasta käytöstä" "todelliseen rikolliskäyttöön", jossa useat toimijat käyttävät kaupallista Claude Codea pysyvänä operatiivisena työkaluna moniviikkoisissa kampanjoissa [Check Point -katsauksen ote]. Raportti dokumentoi myös erillisen tapauksen, jossa yksi operaattori käytti kahta tekoälyalustaa murtautuakseen yhdeksään Meksikon hallituksen virastoon 34 istunnossa yli 5 000 tekoälyn suorittaman komennon avulla [Check Point -katsauksen ote].
• Hunt.io:n kampanja edustaa eskalaatiota hienostuneisuudessa: toisin kuin marraskuun 2025 tapaus, joka havaittiin vain Anthropicin API-valvonnan kautta ja jota itsenäiset tutkijat kiistivät IoC:ien puutteen vuoksi, kesäkuun 2026 kampanja jätti jälkeensä täydellisen oikeuslääketieteellisen tallenteen, mukaan lukien uhrin lähdekoodin, hyökkäysskriptit, operatiiviset lokit ja kovaa todistusaineistoa kahden mallin tekoälyputkesta, joka toimi reaaliajassa .