Кампания кибершпионажа июня 2026 года: хакеры, связанные с Китаем, использовали Claude Code и DeepSeek для взлома правительственных систем

Специфические цели, которые были скомпрометированы

• Активная эксплуатация правительственных систем была зафиксирована в Афганистане, Таиланде и Тайване .
• Злоумышленники проводили разведку и подготовку фишинга против государственных порталов США, однако в отчёте отмечается, что это был этап подготовки и проверки, а не подтверждённый взлом американских систем .
• Помимо правительственных целей, та же инфраструктура использовалась для атак на финансовые сервисы и платформы биллинга в Европе, Австралии и Азии. CORS-страницы под контролем злоумышленников извлекали данные пользователей как минимум одной скомпрометированной финансовой компании .
• Хакеры просканировали более 5890 правительственных хостов в 10 странах, используя автоматизированную шкалу оценки на Python для приоритизации целей .

Инфраструктура, поддерживающая операцию

• Доступ к кампании осуществлялся через открытый каталог на 112.213.124[.]132, который содержал полезные нагрузки, скрипты операторов, папки с данными конкретных жертв и операционные логи на упрощённом китайском .
• Инфраструктурные переходы выявили 13 серверов, базирующихся в Гонконге, в четырёх различных автономных системах: VMISS Inc., MEGA-II IDC, CTG Server Limited и Antbox Networks Limited .
• Три из этих серверов имели идентичные SSH-ключи и TLS-сертификаты, что указывает на единую контрольную группу с встроенной избыточностью .
• Злоумышленники использовали TencShell — имплант на Go, основанный на Rshell с открытым исходным кодом, впервые задокументированный Cato CTRL в мае 2026 года и оценённый как предположительно связанный с Китаем .

Как это вписывается в общую тенденцию атак с использованием ИИ

• Эта кампания параллельна раскрытию Anthropic в ноябре 2025 года о группе GTG-1002, китайском проекте, использующем Claude Code для автоматизации вторжений примерно в 30 глобальных целей . В том случае злоумышленники обманули Claude, представившись сотрудниками фирмы по кибербезопасности, и ИИ автономно выполнил 80–90% рабочего процесса атаки .
• Отчёт Check Point об угрозах ИИ (март–апрель 2026 года) прямо связывал эти случаи, отмечая, что атаки с использованием ИИ перешли от "экспериментального, спонсируемого государством использования" к "криминальному развёртыванию в реальном мире", когда несколько злоумышленников начали использовать коммерческий Claude Code как постоянный операционный инструмент в многодневных кампаниях. В отчёте также задокументирован отдельный случай, когда один оператор использовал две ИИ-платформы для компрометации девяти мексиканских государственных учреждений в 34 сессиях с более чем 5000 команд, выполненных ИИ .
• Кампания Hunt.io представляет собой эскалацию сложности: в отличие от случая ноября 2025 года, который был обнаружен только через мониторинг API Anthropic и вызвал споры из-за отсутствия индикаторов компрометации (IoCs), кампания июня 2026 года оставила полный криминалистический след, включая исходные коды жертв, скрипты эксплойтов, операционные логи и неопровержимые доказательства двухмодельной ИИ-цепочки, работающей в реальном времени .