В июне 2026 года специалисты по информационной безопасности обнаружили открытую директорию, связанную с инфраструктурой командно-контрольного сервера (C2-сервера) вредоносного программного обеспечения TencShell. Кампания привлекла внимание тем, что в процессе взлома активно применялись большие языковые модели (LLM) Claude Code от компании Anthropic и DeepSeek-v4-pro. Эти инструменты не просто помогали атакующим, а выступали в роли исполнительных и аналитических модулей, автоматизируя ключевые этапы вторжения.
Описание
TencShell представляет собой имплант, написанный на Go и основанный на открытом фреймворке Rshell. Впервые этот инструмент задокументировала компания Cato CTRL в мае 2026 года, тогда же его связали с китайскими государственными акторами. В ходе разведки на основе инфраструктуры TencShell аналитики выявили сервер 112.213.124[.]132, размещённый в Гонконге, на котором была развёрнута полная операционная платформа: открытая директория с инструментарием, несколько C2-сервисов, сканеры уязвимостей и средства разведки.
Открытая директория на порту 8888 содержала 2431 файл и 80 поддиректорий. Внутри находились исходные коды скомпрометированных систем, пользовательские скрипты для эксплуатации уязвимостей, логи операций, а также клонированные веб-страницы для сбора учётных данных. Записи велись на упрощённом китайском языке. Анализ содержимого позволил установить точное число целей и методы атак.
Инфраструктура и масштаб кампании
С помощью поискового запроса по хешу HTTP-заголовка, связанного с TencShell, было обнаружено 13 уникальных IP-адресов в Гонконге, относящихся к четырём разным автономным системам. Три из этих серверов использовали общие SSH-ключи и TLS-сертификаты, что указывает на единую операционную группу. Сервер 112.213.124[.]132 выполнял роль центрального управляющего узла: на нём работали ARL (инструмент сетевой разведки), DeepAudit (анализатор кода), Vshell (C2-сервер) и открытая директория. Ещё два сервера, 112.213.124[.]159 и 112.213.124[.]163, имели идентичные сервисы и общие ключи, что подтверждает их принадлежность к одной платформе.
Кроме того, обнаружена вторая C2-инфраструктура под названием Gshell. Два сервера из тринадцати - 192.229.115[.]229 и 192.229.115[.]230 - одновременно обслуживали TencShell и Gshell, что свидетельствует о параллельном управлении двумя фреймворками. Сертификаты Gshell содержали поля CN=Gshell Server и O=Gshell C2. Поиск по этим полям выявил ещё семь серверов в Гонконге, что расширяет атакующую инфраструктуру до как минимум 20 узлов.
Цели и методы атак
Наиболее серьёзные проникновения зафиксированы в государственных системах Афганистана, Таиланда и Тайваня. В случае Афганистана атакующие взломали правительственное веб-приложение на Laravel 5.8.38. Они извлекли исходный код, ключи шифрования, учётные данные базы данных и почтового сервера, а затем написали собственный эксплойт для десериализации, обеспечивший удалённое выполнение кода. В директории обнаружено шесть версий формы подачи жалоб граждан, что указывает на прицельный интерес к модулю сбора обращений. Это дало злоумышленникам доступ к персональным данным заявителей и возможность отслеживать социальное напряжение.
Правительственная административная система Таиланда подверглась SQL-инъекции с использованием SQLMap. Атакующие обошли аутентификацию, установили веб-шелл, замаскированный под GIF-изображение, и извлекли таблицу с именами, номерами национальных ID и должностями госслужащих. Наличие тестовых записей говорит об активном манипулировании данными. В тайском сегменте насчитывалось 980 файлов, что свидетельствует о длительном и глубоком компрометации.
На Тайване под удар попали химический завод и производитель телекоммуникационного оборудования. В первом случае использовалась SQL-инъекция, после которой была похищена исходная среда разработки и базы данных, а затем подготовлены клонированные страницы для сбора паролей. Во втором - через хардкодированные ключи Supabase и токены Azure Logic Apps, обнаруженные в публичных JavaScript-файлах, злоумышленники получили прямой доступ к облачной инфраструктуре и скомпрометировали сервисные учётные записи.
Цели в США находились на ранних стадиях атаки: зафиксировано сканирование узлов NASA, а также подготовка клонированных страниц Совета округа Колумбия и правительственного портала округа Делавэр, Пенсильвания. Фальшивые страницы ориентированы на сбор учётных данных администраторов и заполнение контактных форм, что может быть использовано для сбора разведданных о государственных закупках и политике.
Параллельно с государственным сектором атакующие проводили операции против финансовых организаций. На сервере 112.213.124[.]159 обнаружена страница-эксплойт для CORS-атак, которая успешно извлекла данные WordPress-администраторов крупной платёжной системы. Сверка с LinkedIn подтвердила реальность учётных записей. Логи свидетельствуют о целенаправленных атаках на биллинговые платформы в Европе, Австралии и Азии.
Роль больших языковых моделей
Наиболее примечательная черта кампании - интеграция LLM в операционные процессы. Восстановленные логи показывают разделение ролей: Claude Code версии 2.1.165 выполнял роль исполнительного агента - запускал bash-команды, управлял сессиями, параллелизировал задачи. DeepSeek-v4-pro выступал в роли аналитического ядра - генерировал скрипты, разрабатывал логику атак и принимал решения о методах обхода защиты. Файл CLAUDE.md, найденный в директории, содержал инструкции по созданию, тестированию и итеративному улучшению фишинговых страниц. Сессионные идентификаторы указывают, что одна и та же LLM-инфраструктура использовалась для разных географических целей - от Тайваня до США. Как показал анализ логов, все операции проводились в период с 8 по 12 июня 2026 года.
Такая архитектура позволяет атакующим значительно ускорить цикл разработки эксплойтов и адаптироваться к особенностям каждой цели в реальном времени. Объединение закрытой китайской модели DeepSeek с агентивным инструментарием Claude Code представляет собой новую ступень автоматизации кибератак.
Атрибуция и выводы
Совокупность признаков - упрощённый китайский в комментариях и логах, размещение серверов в Гонконге, использование инструментов, характерных для китайских APT-групп, и многострановое нацеливание - с высокой вероятностью указывает на китайских государственных акторов. Кампания демонстрирует промежуточный или продвинутый уровень: кастомные эксплойты под конкретные версии фреймворков, мультиархитектурные образцы вредоносного ПО (Linux/ARM и x86) и интеграция LLM в боевые процессы.
Для защищающихся организаций эта атака - сигнал к пересмотру приоритетов. Уязвимости в веб-приложениях, особенно с открытым исходным кодом, хардкодированные ключи и токены, а также недостаточная защита административных панелей становятся основными векторами. Использование LLM снижает порог для автоматизации фишинга и разработки эксплойтов, делая атаки более скоростными и менее предсказуемыми. Атаки на правительственные системы, особенно тех стран, которые находятся в зоне геополитических интересов Китая, будут только нарастать, а применение ИИ-агентов станет стандартной практикой в арсенале государственных группировок.
Индикаторы компрометации
IPv4
- 134.122.200.114
- 134.122.200.115
- 134.122.200.116
- 192.163.167.10
- 192.163.167.5
- 192.163.167.6
- 192.163.167.7
IPv4 Port Combination
- 112.213.124.132:1111
- 112.213.124.159:1111
- 112.213.124.163:1111
- 134.122.200.153:443
- 134.122.200.154:443
- 134.122.200.155:443
- 192.229.115.229:8090
- 192.229.115.230:8090
- 192.238.134.166:1212
- 38.55.105.143:8088
- 45.64.52.242:1111
- 45.64.52.245:1111
- 45.64.52.246:1111
SHA256
- 643de2a1cf9148b896efecf560c9476fa56118ec477c4e15eb5c2da4b318061f
- 90b7b2c6f3d05234dc55678243039d7e51f0d54190239e5234a0005533337dc8
