AI双引擎驱动：Claude Code与DeepSeek联手发起国家级网络间谍攻击

🎯 Critical APT组织

Hunt.io于2026年6月发现一场使用Claude Code和DeepSeek-v4-pro进行自动化攻击的APT活动，疑似中国背景。攻击者通过香港C2服务器，利用SQL注入、Laravel反序列化漏洞入侵泰国、阿富汗及台湾政府与供应链企业，窃取敏感数据并部署持久化后门，展示了AI工具在网络间谍中的实战化应用。

来源：Security Affairs | 2026-07-16 | 原文链接

🔍 关键发现

• 攻击者将攻击逻辑分拆到两个AI模型：DeepSeek-v4-pro负责规划（生成脚本、选择技术、寻找绕过方法），Claude Code 2.1.165负责执行（运行Bash命令、管理会话、创建钓鱼基础设施）。
• 从香港13台服务器中的一个开放目录中恢复了2431个文件，包括受害者源码、自定义漏洞利用、克隆登录页面及使用简体中文的操作日志。
• 成功入侵泰国政府行政系统（SQL注入获取员工姓名、国民ID和职位）、阿富汗政府投诉应用（获取Laravel Web应用凭证和加密密钥）以及台湾8个供应链/国防相关组织中的两家（化学厂商、电信设备制造商）。

⚔️ 攻击链分析

1. 初始侦察：使用DNS爆破、证书透明度查询、HTTP服务指纹识别（重点扫描VPN、GitLab、Jira）定位目标。 2. 初始入侵：通过SQL注入或暴露的硬编码凭证（如Supabase密钥、Azure Logic App Token）获得入口。 3. 横向移动与持久化：利用Laravel反序列化漏洞部署伪装成GIF文件的Web Shell，获取持久命令执行。 4. 数据窃取：手动交互访问数据库，批量导出政府员工信息、投诉数据等敏感内容。

🚩 失陷指标 (IOC)

• 香港服务器（13台，端口1111，HTTP Header指纹特征）
• TencShell C2基础设施（Hunt.io识别）
• CLAUDE.md配置文件（包含自动创建/测试/改进钓鱼页面的指令）
• 伪装为GIF的Web Shell文件（.gif后缀但包含PHP代码）

🛡️ 缓解建议

• ✅ 对暴露在公网的Web应用程序进行全面SQL注入和反序列化漏洞扫描，及时修补已知框架漏洞（如Laravel）。
• ✅ 审计所有前端JavaScript中的硬编码API密钥、云服务令牌（Supabase、Azure Logic App等），实施密钥轮换和服务器端验证。
• ✅ 监控非标准端口（如1111）的异常HTTP流量，对包含AI生成脚本特征（如Claude Code的执行日志）的交互进行告警。
• ✅ 对公民投诉、政务系统等敏感应用实施多因素认证和访问白名单，防止凭据窃取后的横向移动。

涉及漏洞：[]

⚠️ 本文仅供安全研究与学习，IOC 信息请勿用于非法目的。