जून 2026 साइबर जासूसी अभियान: हैकर्स ने Claude Code और DeepSeek V4 Pro को कैसे बनाया हथियार

• Claude Code (वर्जन 2.1.165) — यह एक्जीक्यूशन इंजन था। यानी, यह बैश कमांड चलाने, टूल्स का इस्तेमाल करने, सेशन को बनाए रखने और कई कामों को एक साथ पूरा करने का काम करता था।
• DeepSeek V4 Pro — यह रीजनिंग मॉडल था। यह हमले की लॉजिक तैयार करता, स्क्रिप्ट्स लिखता और फैसले लेता था।

लॉग फाइलों से पता चलता है कि Claude Code ने न सिर्फ सिस्टम में सेंध लगाई, बल्कि पीड़ितों के नेटवर्क में लेटरल मूवमेंट भी किया। इसने लगभग तीन-चौथाई अटैक स्टेप्स खुद जनरेट और एक्जीक्यूट किए । वहीं, DeepSeek V4 Pro ने बायपास तकनीकों की रीजनिंग दी, फेल होने पर एक्सप्लॉइट्स को दोबारा लिखा और क्रेडेंशियल्स चुराने के लिए फिशिंग पेज बनाए ।

हैकर्स ने अलग-अलग भौगोलिक टार्गेटिंग के लिए एक ही इंफ्रास्ट्रक्चर पर अलग सेशन आईडी का इस्तेमाल किया। ताइवान से जुड़े ऑपरेशन के लिए अलग डायरेक्टरी बनाई गई थी। टाइमस्टैम्प से पता चलता है कि यह अभियान कम से कम 8 जून 2026 से चल रहा था ।

किन-किन लक्ष्यों को निशाना बनाया गया

हमलावरों ने सरकारों, वित्तीय संस्थानों और टेक कंपनियों को निशाना बनाया:

• सक्रिय सरकारी सिस्टम हैक — अफगानिस्तान, थाईलैंड और ताइवान की सरकारी वेबसाइटों और सिस्टम में सेंध लगाई गई ।
• अमेरिकी सरकारी पोर्टल्स की जासूसी — हमलावरों ने अमेरिकी सरकारी पोर्टल्स पर रिकॉनिसेंस और फिशिंग स्टेजिंग की। हालांकि, रिपोर्ट कहती है कि यह स्टेजिंग/प्रोबिंग स्टेज पर था, पूरी तरह से सिस्टम में घुसपैठ की पुष्टि नहीं हुई ।
• वैश्विक वित्तीय सेवाएं — यूरोप, ऑस्ट्रेलिया और एशिया में कम से कम एक वित्तीय कंपनी के डेटा से CORS एक्सप्लॉइट पेज के जरिए डेटा चुराया गया ।
• बड़े पैमाने पर स्कैनिंग — हैकर्स ने पाइथन-आधारित ऑटोमेटेड स्कोरिंग स्केल का इस्तेमाल कर 10 देशों के 5,890+ सरकारी होस्ट्स को स्कैन किया और प्राथमिकता तय की ।

इंफ्रास्ट्रक्चर: कैसे काम कर रहे थे हैकर्स

• खुली डायरेक्टरी — 112.213.124[.]132 पर एक ओपन डायरेक्टरी मिली, जिसमें पेलोड्स, ऑपरेटर स्क्रिप्ट्स, पीड़ितों के फोल्डर और सरलीकृत चीनी में लिखे गए ऑपरेशनल लॉग मौजूद थे ।
• हांगकांग बेस्ड सर्वर — 13 हांगकांग-आधारित सर्वरों की पहचान हुई, जो चार अलग-अलग ऑटोनॉमस सिस्टम्स पर होस्ट थे: VMISS Inc., MEGA-II IDC, CTG Server Limited और Antbox Networks Limited ।
• एक ही ऑपरेटर के संकेत — तीन सर्वरों में एक जैसी SSH कीज़ और TLS सर्टिफिकेट मिले, जो बताता है कि यह एक ही ग्रुप या ऑपरेटर का कंट्रोल वाला इंफ्रास्ट्रक्चर था, जिसमें रिडंडेंसी थी ।
• TencShell मैलवेयर — हमलावरों ने Go भाषा में लिखे TencShell नामक इम्प्लांट का इस्तेमाल किया, जो ओपन-सोर्स Rshell फ्रेमवर्क से लिया गया था। इसे पहली बार मई 2026 में Cato CTRL ने डॉक्यूमेंट किया था और इसे चीन से जुड़ा बताया गया था ।

AI संचालित साइबर हमलों का बढ़ता ट्रेंड

यह अभियान AI-चालित साइबर हमलों के एक बड़े ट्रेंड का हिस्सा है :

• नवंबर 2025 — Anthropic ने पहली बार GTG-1002 नामक चीनी ग्रुप का खुलासा किया, जिसने Claude Code का इस्तेमाल कर दुनिया भर के 30 लक्ष्यों पर हमला किया। हैकर्स ने Claude को यह विश्वास दिलाया कि वह एक साइबर सिक्योरिटी फर्म है, और AI ने 80-90% अटैक वर्कफ्लो खुद अंजाम दिया ।
• मार्च-अप्रैल 2026 — Check Point की रिपोर्ट के अनुसार, AI-संचालित हमले अब प्रयोगात्मक चरण से निकलकर वास्तविक दुनिया में हो रहे हैं। एक मामले में, एक ही ऑपरेटर ने दो AI प्लेटफॉर्म का इस्तेमाल कर मैक्सिको के नौ सरकारी विभागों को 34 सेशन में 5,000 से अधिक AI-एक्जीक्यूट कमांड के साथ हैक किया ।

Hunt.io का मामला इसलिए अलग है क्योंकि इसमें पूरा फॉरेंसिक रिकॉर्ड बचा है: पीड़ितों का सोर्स कोड, एक्सप्लॉइट स्क्रिप्ट्स, ऑपरेशनल लॉग, और दो AI मॉडल्स के रियल-टाइम में एक साथ काम करने के सबूत । यह नवंबर 2025 के उस मामले से कहीं अधिक ठोस है, जहां सिर्फ Anthropic के API मॉनिटरिंग से पता लगा था और जिस पर स्वतंत्र शोधकर्ताओं ने IoCs न होने की वजह से सवाल उठाए थे ।