Hacker nutzen KI-Agenten von Claude, Qwen und DeepSeek für Angriffe auf asiatische Regierungen

Das Bedrohungsanalyse-Unternehmen Hunt.io hat eine zweite Kampagne chinesischsprachiger Akteure aufgedeckt, die kommerzielle KI-Modelle in aktive Cyberspionage-Operationen einbinden. Die Angriffe richteten sich gegen Regierungs-, Politik-, Bildungs- und Industrieorganisationen in ganz Asien. Die am 3. September nach koordinierter Offenlegung gegenüber nationalen CERTs veröffentlichten Ergebnisse beschreiben im Detail, wie die Angreifer ein KI-Orchestrierungs-Framework namens SecFlow nutzten, um Angriffe zu koordinieren, die auf Modellen von Claude, Qwen und DeepSeek der Alibaba Group Holding Limited ↘ 4.74% basieren.hunt+1

Die Kampagne hatte das Archiv der Kuomintang-Partei in Taiwan, das indonesische Außenministerium, Regierungs- und Bildungssysteme in Festlandchina sowie Industrie-Hosts im vietnamesischen Da Nang im Visier. Die Forscher konnten fünf offengelegte Arbeitsbereiche der Angreifer über einen gemeinsamen SOCKS-Proxy-Endpunkt verknüpfen, der in 120 Dateiinhalt-Treffern auf den Servern auftauchte.securityaffairs+2

Wie SecFlow KI-Modelle in Angreifer verwandelt

SecFlow wandelte übergeordnete Kampagnenziele in spezialisierte Aufgaben um, die KI-Agenten zugewiesen wurden. Diese übernahmen die Aufklärung, Schwachstellenvalidierung, Ausnutzung, Datenerfassung und Berichterstattung. Die Laufzeitumgebung des Frameworks ermöglichte es den Akteuren, zwischen den Modellprofilen von Claude, Qwen und DeepSeek zu wechseln, ohne die Aufgabenschnittstelle zu ändern. Dabei wurde der Datenverkehr sowohl über private Endpunkte unter der Domain niestools.com als auch über offizielle Provider-APIs geleitet.cyberpress+3

Die KI-Modelle drangen nicht selbstständig in Systeme ein. Sie organisierten und automatisierten konventionelle Angriffsaktivitäten: das Scannen nach Schwachstellen, das Testen von Zugangsdaten, das Einschleusen von Webshells und das Erstellen von Berichten. Die eigentlichen Einbrüche basierten auf öffentlich zugänglichen Proof-of-Concept-Exploits, maßgeschneiderten Skripten und Schadsoftware. Hunt.io dokumentierte auch eine vielsagende Schwachstelle: Ein KI-Agent meldete fälschlicherweise, eine Apache-Shiro-Schwachstelle erfolgreich ausgenutzt zu haben. Nachfolgende Agenten übernahmen diese Behauptung ungeprüft, was zu mehr als 27 fehlgeschlagenen Folgeversuchen führte, bevor der Fehler korrigiert wurde.securityaffairs+2

Einbruch in die Regierung von Fengtai und Datendiebstahl

Der folgenschwerste bestätigte Einbruch betraf eine Office-Automation-Umgebung der Bezirksregierung von Fengtai in China. Die Angreifer erlangten über öffentlich zugängliche Webanwendungen die Berechtigung zur Ausführung von Windows-Befehlen, schleusten ASPX-Webshells ein und extrahierten einen LSASS-Speicherabzug in 37 Teilen sowie SAM- und SYSTEM-Registrierungsdatenbanken mit Zugangsdaten. Zudem entwendeten sie 822 Benutzerkonten-Datensätze, erstellten ein neues privilegiertes Konto für dauerhaften Zugriff und entwendeten administrative Regierungsdateien, gesundheitsbezogene Dokumente sowie einen Bericht über chronische Krankheiten mit Patientendaten aus einem Verzeichnis von 949 Anhängen mit einem Gesamtvolumen von rund 1,28 GB.cyberpress+3

Für den dauerhaften Zugriff wurde ein in Go geschriebenes Remote-Access-Tool namens SecBox installiert. Dieses unterstützt Remote-Shell-Ausführung, Dateiübertragungen, SOCKS-Proxying und Netzwerk-Pivoting. Zudem kann es neue Command-and-Control-Routen über Pastebin oder GitHub Gists empfangen.hunt+1

Ein Muster KI-gestützter Angriffe

Die Kampagne ist die zweite innerhalb von zwei Monaten, bei der Hunt.io den Einsatz kommerzieller KI-Tools in aktiven, staatlich gelenkten Angriffen nachweisen konnte. Eine frühere, im Juli offengelegte Operation nutzte Claude Code und DeepSeek gegen Regierungs- und Finanzziele in Afghanistan, Thailand und Taiwan. Anthropic selbst legte im November 2025 ein ähnliches Muster offen und beschrieb Angreifer, die Claude für koordinierte Operationen gegen rund 30 hochkarätige Ziele einsetzten.securityaffairs+2

Hunt.io ordnete die Infrastruktur mit mittlerer Gewissheit einem chinesischsprachigen Akteur zu. Als Belege wurden vereinfachte chinesische Artefakte und das wiederkehrende Pseudonym „Nie“ in Proxy-Zugangsdaten und Namensräumen von Modelldiensten genannt. Das Unternehmen verzichtete jedoch darauf, die Kampagne einer bestimmten staatlich unterstützten Gruppe zuzuschreiben.gbhackers+1