Hunt.io verbindet agentische LLMs mit Kampagne gegen Regierungsstellen, doch die Zuordnung bleibt ungewiss

Im Juli 2026 veröffentlichte Hunt.io eine Analyse einer mutmaßlichen chinesischen Cyber-Spionagekampagne. Die Ermittler fanden ein offenes Verzeichnis auf einem Server in einer Infrastruktur-Cluster in Hongkong, das 2.431 Dateien enthielt, darunter Quellcode von Opfern, Betriebsprotokolle, Webshells und Exploit-Skripte. Ungewöhnlicherweise zeigten die Protokolle persistente Sitzungen von Claude Code 2.1.165 vom 8. bis 12. Juni 2026, wobei Claude Code agentische Aufgaben und Shell-Befehle übernahm, während DeepSeek-v4-pro für Argumentation und Skriptverfeinerung verwendet wurde. Hunt.io warnt jedoch davor, dass dies nicht die Modellanbieter belastet, und dass öffentliche Daten keine zuverlässige Zuordnung zu einer bestimmten Gruppe erlauben; die Einschätzung des chinesischen Ursprungs basiert auf Sprache, Infrastruktur und Zielen und wird als mittelwahrscheinlich eingestuft. Die Kampagne nutzte mehrere anfängliche Zugriffsvektoren, darunter SQL-Injection gegen ein taiwanesisches Chemieunternehmen und einen thailändischen staatlichen Dienst sowie offengelegte Geheimnisse in JavaScript-Dateien eines taiwanesischen Telekommunikationsausrüsters. Die Angreifer bereiteten auch Phishing-Seiten vor, darunter Klone von WordPress-Loginseiten für US-amerikanische Einrichtungen. Hunt.io betont, dass diese KI-Tools zwar die operative Geschwindigkeit erhöhen, aber die grundlegenden Probleme der Angriffsfläche wie offene Verzeichnisse, durchgesickerte Schlüssel und SQL-Injection nicht verändern. Der Bericht zieht auch Parallelen zu Anthropics Offenlegung der Kampagne GTG-1002 im November 2025, stellt jedoch fest, dass eine Verbindung beider zur gleichen Akteursgruppe nicht durch Beweise gestützt wird.