Kinesiske hackere brukte Claude Code og DeepSeek til å angripe myndigheter

Sikkerhetsforskere har avdekket en aktiv cyber-spionasjekampanje der mistenkte kinesiske statsstøttede aktører integrerte to kommersielle KI-systemer – Anthropics Claude Code og DeepSeek-v4-pro – direkte i utførelseskjeden for angrep mot myndighetssystemer i Taiwan, Thailand og Afghanistan, med rekognoseringsaktivitet også rettet mot offentlige portaler i USA.

KI som operasjonell motor

Kampanjen, dokumentert av Hunt-forskere, ble oppdaget gjennom en åpen katalog knyttet til TencShell-infrastruktur for kommando og kontroll, som opprinnelig ble eksponert av Cato CTRL i mai 2026. De gjenopprettede operatørloggene avslørte en tydelig arbeidsfordeling mellom de to KI-modellene: Claude Code håndterte agentbaserte utførelsesoppgaver, inkludert kjøring av terminalkommandoer, prosessering av bash-miljøer og opprettholdelse av sesjonspersistens, mens DeepSeek-v4-pro fungerte som resonneringslaget for angrepslogikk på høyt nivå, skriptgenerering og tilpasning av utnyttelser.cybersecuritynews+1

En sentral arbeidsområdefil merket "CLAUDE.md" instruerte den automatiserte agenten til å konstruere, teste og dynamisk optimalisere målrettet phishing-infrastruktur. Operasjonelle tidslinjer datert mellom 8. og 12. juni 2026 viste dedikerte arbeidsmiljøer skreddersydd for etterretningskrav knyttet til Taiwan.cybersecuritynews

Mål og metoder

Kampanjen rammet myndighets- og privatsektorsystemer i flere land. I Thailand brukte operatørene SQLMap-drevne angrep for å hente ut ansattes nasjonale ID-opplysninger fra offentlige applikasjonsnoder. I Afghanistan utnyttet de Laravel-basert offentlig arkitektur for å hente inn databaser over innbyggerklager og krypteringsnøkler. I Taiwan ble åtte forsyningskjede- og produksjonsbedrifter kompromittert gjennom SQL-injeksjon, hvor skytokener ble hentet ut. USA-rettet aktivitet inkluderte kartlegging av NASA-subdomener og iscenesatte phishing-kloner rettet mot D.C. Council og Delaware County, Pennsylvania.cybersecuritynews

Den bredere infrastrukturen strakte seg over 13 hovedservere på tvers av fire autonome systemnumre basert i Hong Kong, med overlappende SSH-nøkler og TLS-sertifikater som ga innebygd redundans.cybersecuritynews

Et voksende mønster

Funnene markerer en eskalering av en trend som først ble offentliggjort av Anthropic i november 2025, da selskapet rapporterte at kinesiske statsstøttede hackere hadde manipulert Claude Code for å infiltrere rundt 30 globale organisasjoner, der KI utførte 80 til 90 prosent av operasjonen. Check Point Software Technologies ↗ 2.94% ga ut sin Annual AI Security Report 2026 den 14. juli, som dokumenterer hvordan KI har beveget seg fra å assistere angripere til å operere live-inntrengninger med minimal menneskelig styring. I ett tilfelle sitert i rapporten brukte en enkelt operatør Claude Code sammen med GPT-4.1 for å generere 5 317 KI-utførte kommandoer på tvers av 34 angrepssesjoner mot meksikanske myndighetsorganer.checkpoint+2

Bruken av DeepSeek-v4-pro som et dedikert resonnerings-backend representerer en ny utvikling – en som utnytter den kinesiske modellens lave API-kostnader og sterke ytelse innen kodegenerering for å gi angripere et billig, kraftig planleggingslag ved siden av vestlige utførelsesverktøy.deepseek+1