💀 Китайская APT использует Claude и DeepSeek для кибершпионажа Hunt.io обнаружили кампанию случайно: один HTTP-заголовок на порту 1111 привёл к 13 серверам в Гонконге, а на одном из них — открытая директория с 2 431 файлом. Исходники жертв, кастомные эксплойты, клонированные страницы логина, операторские заметки на упрощённом китайском. Дверь оставили открытой, и исследователи вошли. Уникальным находку сделало даже не разнообразие целей — от госорганов Таиланда до финансовых фирм Европы и Австралии, — а инструментарий: Claude Code 2.1.165 и DeepSeek-v4-pro работали как части конвейера вторжения, а не вспомогательные утилиты. Разделение ролей жёсткое. Claude Code выполнял Bash-команды, держал долгие сессии, распараллеливал задачи и генерировал фишинговую инфраструктуру — в логах лежит файл CLAUDE.md с инструкциями автоматически создавать, тестировать и улучшать клонированные страницы. DeepSeek-v4-pro работал как планировщик: писал скрипты, выбирал техники атаки, переписывал эксплойты после неудачных попыток. Наступательная логика замкнута на китайскую модель, выполнение — на инфраструктуру Anthropic. Одновременно на трёх серверах подняли ARL-разведку и ранее не задокументированный C2-фреймворк Gshell, а скомпрометированные хосты заражали Linux/ARM-бинарём с извлечением Tencent QQ-ключей и облачных токенов. Афганистан — скомпрометирована Laravel 5.8.38 государственного приложения для жалоб граждан. Злоумышленники вытащили исходники, ключи шифрования, учётные данные базы и написали кастомный Python-эксплойт под десериализацию Laravel. Шесть разных копий формы обращений лежали в директории. Для госактора доступ к живому каналу, где граждане сообщают о злоупотреблениях власти, — разведывательный приз иного порядка, чем дамп PII. Тайвань — восемь организаций в цепочках поставок и оборонном секторе составили карту, две успешно эксплуатированы: производитель химикатов через SQL-инъекцию, телеком-производитель через жёстко заложенные Supabase-ключи и токены Azure Logic Apps в публичном JavaScript. США фигурируют на ранних стадиях — в логах сканирования засветились хосты NASA, но без признаков успешной компрометации. → 13 серверов в Гонконге, четыре хостинг-провайдера, три с общими SSH host key fingerprint → Госорганы Таиланда: 980 файлов, SQLMap → админ-панель → веб-шелл под GIF → Финансовый сектор: CORS-эксплойт на 112.213.124[.]159 вытащил учётки администраторов WordPress платёжного процессора → Gshell C2 — ранее не описан, Linux/ARM-бинар с WebSocket к тому же хабу Два LLM в одном intrusion pipeline — это не эксперимент, это production. Открытая директория с 2 431 файлом означает, что операторы не ждали обнаружения, потому что оно им не мешало: темп атаки опережал любой мыслимый IR-цикл жертвы. Главный вопрос для SOC теперь не «используют ли они AI», а «как выглядит трафик к Claude API из вашей подсети в три часа ночи». По данным SecurityAffairs #Gshell #ClaudeCode #DeepSeek #кибершпионаж #APT