Jak SecFlow wykorzystał Claude, Qwen i DeepSeek do koordynacji cyberataku

To nie był przypadek „autonomicznego hakowania”, lecz raczej zautomatyzowanego zarządzania pracą ofensywną. Według Hunt.io platforma SecFlow dzieliła ogólny cel kampanii na mniejsze zadania, utrzymywała wspólny kontekst operacyjny i koordynowała pracowników wspieranych przez modele AI. Ludzie nadal wybierali cele i metody działania, a dostęp do systemów oraz utrzymanie obecności zapewniały znane narzędzia ofensywne. 2

Do czego służył SecFlow

Hunt.io podało, że SecFlow potrafił przekształcić nadrzędny cel w zadania dotyczące rozpoznania, weryfikacji podatności, wykorzystania luk, zbierania danych i raportowania. Pracownicy mogli współdzielić ustawienia celu, pliki, historię sesji, trasy przez proxy, zgromadzone dowody oraz wyniki raportów. Tworzyło to ponownie wykorzystywalne środowisko operacyjne, a nie serię odizolowanych poleceń dla czatu. 2

Odzyskana konfiguracja miała pozwalać na przełączanie między profilami oznaczonymi jako Claude, Qwen i DeepSeek bez zmiany interfejsu zadań. Ruch do modeli obejmował prywatne endpointy w domenie niestools.com, a także bezpośrednie trasy do usług DeepSeek oraz Alibaba DashScope/Qwen. To istotne zastrzeżenie: mieszany model routingu nie dowodzi, że każda czynność przechodziła przez oficjalny endpoint danego dostawcy. 2

Badacze wskazali cele na Tajwanie, w Indonezji, Chinach kontynentalnych i Wietnamie, w tym środowiska rządowe, edukacyjne, konsularne i przemysłowe. 2

AI koordynowała działania, ale nie zastąpiła klasycznych narzędzi włamań

Z dostępnych ustaleń wynika, że SecFlow był warstwą orkiestracji nałożoną na konwencjonalne działania ofensywne, a nie systemem samodzielnie wymyślającym i realizującym nowe metody ataku. Hunt.io zaobserwowało procesy wykorzystujące znane klasy podatności, publicznie dostępne materiały proof of concept, użycie poświadczeń, skrypty, dostępne przez sieć komponenty ASPX, ładunki i własne implanty. 2

Jednym z elementów po uzyskaniu dostępu był SecBox — implant napisany w Go, zidentyfikowany obok webshelli i innych narzędzi. Zgromadzone dowody wskazują, że to tradycyjne narzędzia zapewniały dostęp oraz możliwości operacyjne, podczas gdy SecFlow pomagał układać kolejność zadań, rozdzielać je i dokumentować wyniki. 2

To trafniejsza interpretacja niż określenie tej kampanii jako całkowicie autonomicznej. AI może ograniczać koszt koordynacji i przyspieszać powtarzalne badania lub walidację, ale kampania wciąż może zależeć od decyzji operatorów, wcześniej znanych exploitów i ustalonych technik malware.

Powiązania infrastruktury i granice atrybucji

Hunt.io połączyło pięć wystawionych środowisk roboczych atakujących przez wspólny, uwierzytelniany endpoint SOCKS. Wśród wskazanych powiązań znalazły się zgodna zawartość plików, wspólne artefakty SecFlow i GLUTTON, ponownie używane konta oraz relacja dostarczania ładunku między fałszywym środowiskiem MySQL a hostem drugiego etapu. Firma oceniła, że poszczególne środowiska pełniły różne funkcje: orkiestracji AI, testowania exploitów, deserializacji przez fałszywy MySQL, testowania poświadczeń i dystrybucji ładunków. 2

Uproszczone chińskie notatki i artefakty, a także powtarzające się użycie identyfikatora Nie w kontach prywatnej usługi modelowej oraz proxy, skłoniły Hunt.io do oceny, że działalność wiąże się z operatorami chińskojęzycznymi. Są to istotne wskazówki śledcze, lecz same w sobie nie potwierdzają tożsamości konkretnej osoby, grupy ani sponsora państwowego. 2

Kluczowa porażka: fałszywy pozytyw dotyczący Apache Shiro

Kampania pokazuje też podstawowe ryzyko systemów wieloagentowych: błędny wniosek pośredni może zostać uznany za fakt przez wszystkie kolejne elementy procesu.

Hunt.io poinformowało, że jeden z pracowników uznał atak na Apache Shiro za udany, choć nie było ku temu wystarczających podstaw. Kolejne zadania GLUTTON potraktowały to twierdzenie jako ustalony fakt, czego efektem było ponad 27 nieudanych testów następczych. 2

Dla obrońców i twórców procesów agentowych o wysokiej stawce wniosek jest prosty: przekazywanie zadań i współdzielona pamięć zwiększają tempo działania, ale wzmacniają też niezweryfikowane ustalenia. Przed przejściem od wykrycia do eksploatacji, gromadzenia danych czy decyzji naprawczych konieczne są niezależne bramki weryfikacyjne.

Co potwierdzono w środowisku administracji okręgu Fengtai

Hunt.io określiło środowisko administracji okręgu Fengtai jako przypadek o najszerszym potwierdzonym zakresie kompromitacji w zebranym materiale. Badacze podali, że uzyskano wykonanie poleceń, dostęp do danych administracyjnych i zdrowotnych, zebrano pamięć LSASS oraz ule rejestru Windows, a także wdrożono wiele implantów Windows. 2

Opisano również plik zrzutu LSASS o wielkości około 75,8 MB, umieszczony w repozytorium załączników systemu OA i pobrany przez mechanizmy ASPX z użyciem wspólnej trasy proxy. Dostępne przez sieć procedury obsługi oraz wdrożone implanty, w tym SecBox, mają oparcie w dowodach jako elementy dostępu lub utrzymania obecności. Materiał nie ustala jednak precyzyjnego mechanizmu automatycznego uruchamiania — na przykład konkretnej usługi, zadania harmonogramu czy klucza rejestru Run — dla każdego implantu. 2

Związek z wcześniejszymi kampaniami wykorzystującymi AI

Hunt.io wyraźnie opisało aktywność SecFlow jako drugą, odrębną kampanię wobec raportu z lipca 2026 r. Tamta sprawa dotyczyła podejrzewanych chińskojęzycznych operatorów używających Claude Code i DeepSeek przeciw celom rządowym oraz finansowym w czterech państwach. Infrastruktura, narzędzia i cele były inne, choć w obu przypadkach modele komercyjne miały pełnić rolę elementów operacyjnych. 220

Przypadek SecFlow przypomina też ujawnioną przez Anthropic w listopadzie 2025 r. kampanię cyberszpiegowską koordynowaną przez AI. Anthropic przypisało ją, z wysoką pewnością, chińskiej grupie sponsorowanej przez państwo, nazwanej GTG-1002. Według firmy kampania używała Claude Code do prób włamania do około 30 celów oraz wykorzystywała AI na etapach rozpoznania, pracy nad podatnościami, eksploatacji, dostępu do poświadczeń, analizy danych, eksfiltracji i dokumentowania. 46

Podobieństwo ma jednak charakter operacyjny, a nie atrybucyjny. Dostępne raporty nie pokazują, że operatorzy SecFlow byli GTG-1002, ani nie dowodzą, że oficjalna usługa Claude Anthropic bezpośrednio umożliwiła działania SecFlow. Właśnie prywatne przekaźniki i mieszana konfiguracja API wymagają zachowania tego rozróżnienia. 246

Najważniejszy wniosek

SecFlow jest istotny, ponieważ wskazuje na praktyczny, bliski scenariusz: atakujący mogą traktować różne modele jako wymienne narzędzia do planowania i koordynacji, zachowując równocześnie tradycyjną infrastrukturę exploitów i malware. Przypadek nie uzasadnia jednak narracji o bezobsługowej automatyzacji włamań. Jego skuteczność mogła wynikać z szybszego dzielenia pracy i iteracji, ale błędne założenia mogą równie szybko rozprzestrzeniać się po całym procesie — jeśli nie zatrzyma ich człowiek albo rygorystyczna procedura walidacji. 2