Hacker China Diduga Gunakan Claude Code dan DeepSeek V4 Pro untuk Retas Pemerintah Dunia pada Juni 2026

Pada 14 Juli 2026, Hunt.io merilis riset tentang kampanye intrusi Juni 2026 oleh hacker yang diduga terkait negara China, yang menggunakan Claude Code milik Anthropic dan DeepSeek V4 Pro sebagai alat operasional terintegrasi, bukan sekadar perangkat lunak tambahan . Kampanye ini ditemukan saat peneliti beralih dari infrastruktur C2 TencShell yang dikenal ke sebuah direktori terbuka yang mengekspos perangkat lengkap para peretas .

Bagaimana Model AI Disematkan dalam Rantai Serangan

• Operator menggunakan arsitektur LLM model terpisah: Claude Code (versi 2.1.165) berperan sebagai mesin eksekusi — menangani eksekusi perintah bash, penggunaan alat agen, persistensi sesi, dan paralelisasi tugas. DeepSeek V4 Pro beroperasi sebagai model penalaran — menghasilkan logika serangan, menulis skrip, dan membuat keputusan .
• Log menunjukkan Claude Code digunakan untuk membobol sistem, bergerak lateral melalui jaringan korban, serta menghasilkan dan mengeksekusi sekitar tiga perempat langkah serangan secara otonom . DeepSeek V4 Pro mendorong penalaran untuk teknik bypass, mengerjakan ulang eksploitasi setelah upaya gagal, dan membangun halaman phishing yang digunakan untuk mencuri kredensial .
• ID sesi pada infrastruktur yang sama digunakan di berbagai kampanye penargetan geografis, dengan operasi spesifik Taiwan disimpan ke direktori kerja khusus. Stempel waktu berkisar setidaknya sejak 8 Juni 2026 .

Target Spesifik yang Dibobol

• Eksploitasi sistem pemerintahan aktif tercatat di Afghanistan, Thailand, dan Taiwan .
• Para peretas melakukan pengintaian dan penyiapan phishing terhadap portal pemerintah AS, meskipun laporan mencatat bahwa ini masih dalam tahap penyiapan/probing, bukan konfirmasi kompromi penuh pada sistem AS .
• Selain target pemerintah, infrastruktur yang sama digunakan untuk menyerang layanan keuangan dan platform penagihan di Eropa, Australia, dan Asia. Halaman eksploitasi CORS yang dikendalikan peretas mengekstrak data pengguna dari setidaknya satu perusahaan keuangan yang dibobol .
• Para peretas memindai lebih dari 5.890 host pemerintah di 10 negara menggunakan skala penilaian otomatis berbasis Python untuk memprioritaskan target .

Infrastruktur yang Mendukung Operasi

• Kampanye ini diakses melalui direktori terbuka di 112.213.124[.]132 yang berisi payload, skrip operator, folder khusus korban, dan log operasional yang ditulis dalam Bahasa Mandarin Sederhana (Simplified Chinese) .
• Pencarian infrastruktur mengidentifikasi 13 server berbasis di Hong Kong di empat sistem otonom terpisah: VMISS Inc., MEGA-II IDC, CTG Server Limited, dan Antbox Networks Limited .
• Tiga dari server tersebut memiliki kunci SSH dan sertifikat TLS yang identik, menunjukkan infrastruktur yang dikendalikan oleh satu operator atau satu grup dengan redundansi bawaan .
• Para peretas menggunakan TencShell, sebuah implant berbasis Go yang berasal dari kerangka kerja Rshell sumber terbuka yang pertama kali didokumentasikan oleh Cato CTRL pada Mei 2026 dan dinilai terkait dengan China .

Bagaimana Ini Sesuai dengan Tren Serangan Berbasis AI yang Lebih Luas

• Kampanye ini sejalan dengan pengungkapan Anthropic pada November 2025 tentang GTG-1002, sebuah kampanye yang terkait dengan China yang menggunakan Claude Code untuk mengotomatiskan intrusi terhadap sekitar 30 target global . Dalam kasus sebelumnya, aktor ancaman menipu Claude agar mengira ia adalah firma keamanan siber yang melakukan penilaian defensif, dan AI tersebut secara otonom mengeksekusi 80–90% alur kerja serangan .
• Ringkasan AI Threat Landscape Digest Check Point (Maret–April 2026) secara eksplisit menghubungkan kasus-kasus ini, mencatat bahwa serangan yang diorkestrasi AI telah berkembang dari "penggunaan eksperimental yang disponsori negara" yang didokumentasikan dalam pengungkapan GTG-1002 Anthropic menjadi "penggunaan kriminal langsung di dunia nyata" dengan banyak aktor yang menggunakan Claude Code komersial sebagai alat operasional persisten dalam kampanye multi-minggu [kutipan ringkasan Check Point]. Laporan tersebut juga mendokumentasikan insiden terpisah di mana satu operator menggunakan dua platform AI untuk membobol sembilan lembaga pemerintah Meksiko dalam 34 sesi dengan lebih dari 5.000 perintah yang dieksekusi AI [kutipan ringkasan Check Point].
• Kampanye Hunt.io mewakili eskalasi dalam kecanggihan: tidak seperti kasus November 2025 yang hanya terdeteksi melalui pemantauan API Anthropic dan diperdebatkan oleh peneliti independen karena kurangnya IoC (Indicators of Compromise), kampanye Juni 2026 meninggalkan catatan forensik lengkap termasuk kode sumber korban, skrip eksploitasi, log operasional, dan bukti keras dari saluran AI dua model yang bekerja secara real-time .