9月4日、GBHackersが「Chinese-Speaking Hackers Use Claude, Qwen and DeepSeek AI Agents to Attack Government Systems」と題した記事を公開した。この記事では、中国語話者の脅威アクターがClaude・Qwen・DeepSeekといった複数のAIモデルをエージェントとして組み合わせ、台湾・インドネシア・ベトナム・中国本土を含むアジア各国の政府・政治・教育・産業組織を標的とした侵入キャンペーンを展開した事例が詳しく報告されている。帰属は「中国語話者のオペレーター」と中程度の信頼度で判断されており、特定の国家支援グループへの紐付けは確認されていない点は最初に押さえておきたい。

AIエージェントが攻撃インフラに組み込まれた

今回の報告で最も注目すべき点は、AIモデルが単なる補助ツールではなく、攻撃オーケストレーションフレームワーク「SecFlow」の中核コンポーネントとして機能していたことだ。

SecFlowは高レベルの攻撃目標を専門タスクに分解し、ワーカーへ割り当てるAIエージェント基盤だ。各ワーカーは偵察・脆弱性検証・エクスプロイト・情報収集・レポート作成といった役割を担い、ファイルシステム・ターゲット設定・プロキシルート・先行タスクの成果物を共有しながら動作する。

特徴的なのがモデル交換アーキテクチャだ。回収されたランタイム設定によると、オペレーターはタスクインターフェースを変えることなく、Claude・Qwen・DeepSeekのモデルプロファイルを切り替えられる設計になっていた。Claude ACPとQwen Codeのラッパーにはbypss-permissionや「yolo」承認モード（人間の承認なしにタスクを自律実行するモード）といった広範な権限が付与されており、モデルトラフィックはniestools[.]com配下のプライベートエンドポイントおよび各プロバイダーの公式APIを経由していた。

この設計が防御側にとって厄介なのは、攻撃ワークフローを維持したままプロバイダーを差し替えられる点だ。特定のAIサービスをブロックしても攻撃継続を阻止できない。

最も深刻な侵害：北京・豊台区政府のOA環境

確認された被害のうち最も深刻なのが、北京市豊台区の政府Office Automation（OA）環境への侵害だ。標的の多様性という観点では、本キャンペーンは台湾・インドネシア・ベトナムの組織も射程に収めているが、この中国本土への侵害はデータ奪取の規模が際立っており、単一の事例として最も被害が大きい。

攻撃の進行は次の通り：

• インターネット公開されたOAアプリケーションへの侵入
• ASPXコマンドシェル（ウェブシェル：Webサーバー上に設置する遠隔操作用の不正スクリプト）の展開
• Windowsプロセス・サービスの列挙、内部スキャン
• LSASSメモリダンプおよびSAM・SYSTEMレジストリハイブの窃取（LSASS：Windowsの認証情報を管理するプロセス。SAMハイブ：ローカルアカウントのパスワードハッシュを格納するレジストリファイル。データは37チャンクに分割してHTTPで外部送信）
• OAアカウント822件の記録抽出と新規特権アカウントの挿入
• Oracle・Microsoft SQL Serverへのアクセス
• 約949件の添付ファイル（計1.28GB）の奪取（行政文書、健康関連ファイル、患者情報を含む慢性疾患レポートを含む）

その後、GoベースのリモートアクセスツールSecBoxがASPXファイル経由で展開された。SecBoxはリモートシェル・ファイル転送・ポートスキャン・SOCKSプロキシ・ポートフォワーディング・C2ルート更新のためのdead-dropリゾルバ（DNSレコードや公開Webページに埋め込んだC2アドレスを動的に参照する手法）を備える。

ステガノグラフィを使ったペイロード隠蔽

SecFlowのワーカーにはGLUTTONというウェブシェル生成機能も含まれており、Java・.NET・Node.jsなど複数のサーバーサイドフォーマットに対応する。難読化・ランダム識別子・エンコード文字列に加え、ステガノグラフィ（画像ファイルの中にデータを埋め込んで隠蔽する技術）による配送にも対応していた。

回収されたローダーの一つは、PNGファイルのRGBピクセル値に実行可能ペイロードを埋め込む手法を採用。XORデコード後にメモリへ直接ロードすることで、拡張子・MIMEタイプベースのフィルタリングを回避する。画像ファイルとして通過したデータが実行コードに変わる、従来型のシグネチャ検知が効きにくい手口だ。

AIが誤検出を拡散させた実例

興味深い「失敗例」も記録されている。Shiro脆弱性（Apache Shiroのデシリアライズ脆弱性）について、AIワークフローが偽陽性の判定を受け入れ、その結果を後続の27件以上のテストに伝播させ続けたというものだ。

これはAIによる攻撃オーケストレーションの弱点を示している。自律的なワークフローは有効な情報と同じ効率で誤った前提も増幅させる。攻撃者がAI任せにした結果として誤情報が連鎖した事例として、防御側の分析においても参考になる観察だ。

標的と帰属

ターゲットには台湾・国民党党史館、インドネシア外務省、中国本土の政府・教育機関、ベトナム・ダナンの産業システムが含まれる。インフラのリンクには共有SOCKSプロキシエンドポイント103.45.65[.]93:35888が用いられ、5つのサーバーで120件のファイルコンテンツマッチが確認された。

帰属については、簡体字中国語のアーティファクト、「Nie」というハンドル名の再使用、中国語のプロキシ管理サービス、niestools[.]comのインフラなどから中国語話者のオペレーターと中程度の信頼度で判断されている。中程度の信頼度とは、状況証拠が複数重なるものの決定的な帰属証拠には至っていないことを意味する。ただし、特定の国家支援グループへの帰属を裏付ける証拠は得られていない。

なお、本キャンペーンは2025年7月に報告されたClaude CodeとDeepSeekを使った別のキャンペーン（政府・金融セクター標的）とは異なるクラスターとして分類されている。

IOC（侵害指標）

※IPアドレスはMISP（脅威インテリジェンス共有プラットフォーム）・VirusTotal・SIEMなどの脅威インテリジェンスプラットフォーム内でのみリファング（[.]を.に戻す操作）すること。一般的なブラウザやターミナルに直接貼り付けないよう注意が必要だ。

調査を実施したHunt.ioは、活動が5つの攻撃者ワークスペースのオープンディレクトリから発見されたと述べている。防御側への推奨事項として、インターネット公開アプリケーションの露出管理・パッチ適用、ウェブシェル挙動の監視、プロキシ対応ロギング、異常な画像アップロードやHTTPベースのファイル転送パターンの検知が挙げられている。

詳細はChinese-Speaking Hackers Use Claude, Qwen and DeepSeek AI Agents to Attack Government Systemsを参照していただきたい。