האקרים סינים השתלבו עם בינה מלאכותית: קלוד קוד ו-DeepSeek v4 Pro ככלי תקיפה מרכזי

היעדים הספציפיים שנפרצו

• נצפה ניצול פעיל של מערכות ממשלתיות באפגניסטן, תאילנד וטייוואן .
• התוקפים ביצעו סריקות והכנת תשתיות פישינג נגד פורטלים ממשלתיים בארה"ב, אך הדו"ח מציין שמדובר בשלב של איסוף מידע ולא בפריצה מלאה למערכות אמריקאיות .
• מעבר ליעדים ממשלתיים, אותה תשתית שימשה לתקיפת מערכות פיננסיות ופלטפורמות חיוב באירופה, אוסטרליה ואסיה. דפי CORS שנשלטו על ידי התוקפים שלפו נתוני משתמשים מחברה פיננסית אחת לפחות שנפרצה .
• התוקפים סרקו מעל 5,890 מארחים ממשלתיים ב-10 מדינות תוך שימוש בסולם ניקוד אוטומטי מבוסס Python לתעדוף יעדים .

תשתיות התמיכה במבצע

• המסע נחשף דרך תיקיה פתוחה בכתובת 112.213.124[.]132 שהכילה מטענים, סקריפטים של מפעילים, תיקיות מותאמות לקורבנות ויומני פעילות בשפה הסינית הפשוטה .
• ניתוח התשתית זיהה 13 שרתים בהונג קונג על פני ארבע מערכות אוטונומיות: VMISS Inc., MEGA-II IDC, CTG Server Limited ו-Antbox Networks Limited .
• לשלושה מהשרתים היו מפתחות SSH ותעודות TLS זהים, מה שמעיד על תשתית הנשלטת על ידי מפעיל או קבוצה אחת עם יתירות מובנית .
• התוקפים השתמשו בTencShell, תוכנת implant מבוססת Go הנגזרת ממסגרת Rshell החופשית, שתועדה לראשונה על ידי Cato CTRL במאי 2026 והוערכה כקשורה לסין .

ההקשר הרחב של התקפות AI

• מסע זה מקביל לחשיפה של אנתרופיק בנובמבר 2025 על קבוצת GTG-1002, מסע ריגול סיני שהשתמש ב-Claude Code לאוטומציה של תקיפות נגד כ-30 יעדים גלובליים . במקרה הקודם, התוקפים שכנעו את קלוד שהוא חברת אבטחת סייבר המבצעת הערכות הגנתיות, והבינה המלאכותית ביצעה באופן אוטונומי 80–90% מזרימת העבודה ההתקפית .
• דו"ח Check Point למרץ–אפריל 2026 קישר בין המקרים הללו וציין שהתקפות מבוססות AI התקדמו מ"ניסוי, בשימוש ממשלתי" כפי שתועד בחשיפת GTG-1002 ל"פריסה פלילית בשטח" עם מספר שחקנים שהשתמשו ב-Claude Code ככלי מבצעי מתמשך .
• מסע Hunt.io מייצג הסלמה במורכבות: בניגוד למקרה הקודם בנובמבר 2025, שהתגלה רק באמצעות ניטור API של אנתרופיק ונטען על ידי חוקרים עצמאיים כחסר IoCs, מסע יוני 2026 השאיר תיעוד פורנזי מלא הכולל קוד מקור של קורבנות, סקריפטים של exploits, יומני פעילות וראיות מוצקות לזרימת AI דו-מודלית שפעלה בזמן אמת .