Hermes Agent se ejecutó sin supervisión contra el Ministerio de Finanzas de Tailandia, y sus registros quedaron en línea.

Entre el 9 y el 13 de julio de 2026, la firma de inteligencia de amenazas Hunt.io y el investigador Bob Diachenko encontraron tres directorios abiertos en un servidor de staging en Hong Kong perteneciente a una intrusión contra el Ministerio de Finanzas de Tailandia. Los 585 archivos y 470 MB de material incluían los registros de Hermes Agent, el framework de agentes de código abierto de Nous Research, ejecutado en modo «YOLO» con el paso de aprobación humana desactivado. Sin supervisión, ejecutó comprobaciones de privilegios con LinPEAS, enumeró binarios SUID y rastreó de forma recursiva una raíz web perteneciente a la Oficina del Secretario Permanente de Finanzas, catalogando registros de personal que se remontan a 2012. El mismo host albergaba un implante en Go no reportado previamente que el operador llamó Hades. Hunt.io no encontró pruebas de que se exfiltraran archivos y no pudo determinar cómo entraron inicialmente los intrusos. La entrada completa, fechada el 30 de julio de 2026 y con calificación de confianza A, se encuentra en el archivo de incidentes de IA junto a los demás registros de intrusiones impulsadas por agentes de esta serie.

Los directorios estaban en 43.246.208[.]207, un host en AS132883 (TOPIDC) en Hong Kong, y Attack Capture de Hunt.io los archivó el 9, 10 y 13 de julio: 145 archivos, luego 62, luego 378, para 585 en total. La IP tenía un historial documentado como controlador de ShadowPad y estaba ejecutando un servidor de mando y control VShell en el puerto 21083 cuando Hunt.io lo examinó. Los investigadores dicen que no tienen «ninguna evidencia que confirme o niegue» que VShell se haya usado contra el ministerio. El archivo data el registro al 30 de julio de 2026; la investigación que lo respalda es anterior, publicada por Hunt.io el 23 de julio tras una ventana de divulgación de siete días, y reportada por The Record el 27 de julio y Dark Reading el 28 de julio.

Los cinco registros de llamadas del agente

Dentro del directorio del 9 de julio había una carpeta llamada hermes-results que contenía cinco archivos, cada uno llamado call_00_ seguido de una cadena aleatoria. Hunt.io los describe como registros de las propias llamadas del agente y resume lo que devolvió cada una. El primero es una evaluación de escalada de privilegios y un escaneo de vulnerabilidades del kernel contra un host del ministerio. El segundo es una segunda ejecución de LinPEAS, que enumera servicios. El tercero enumera binarios SUID y SGID con find. El cuarto enumera contenedores y sistemas de archivos y está salpicado de errores de tubería rota, que Hunt.io interpreta como que el agente produjo más salida de la que el servidor podía transportar. El quinto es el que más importa: una búsqueda recursiva de la raíz web vinculada a la oficina del Secretario Permanente, que contenía documentos estándar de Office, formularios de evaluación de desempeño y registros de personal que se remontan a 2012.

Nada de eso requería una persona frente al teclado. Hunt.io afirma que el operador ejecutó Hermes Agent «en modo desatendido o YOLO, omitiendo las solicitudes de aprobación para comandos que podrían considerarse peligrosos». El framework, publicado en febrero de 2026, se ejecuta como un demonio persistente y conserva la memoria entre sesiones; YOLO es la opción que elimina las solicitudes de aprobación. Hunt.io informa que el proyecto había superado las 140.000 estrellas en GitHub para julio de 2026. El análisis de los registros por parte de Cloud Security Alliance describe a un agente que evalúa cada resultado y selecciona el siguiente paso: un flujo de trabajo que, desde fuera, se parece a cómo procedería un analista humano, al ritmo de una máquina.

Hunt.io se muestra cauteloso respecto a lo que los registros establecen. El rastreo de la raíz web muestra al agente accediendo a archivos de personal; no muestra que salieran. «No hay pruebas de que los archivos fueran exfiltrados», dice el informe. Su resumen de todo el servidor es que los archivos «describen una intrusión aún en curso: herramientas preparadas, acceso interno en expansión y ningún indicio de que los datos hubieran salido de la red, aunque el operador estaba claramente catalogando contenido web».

El trabajo que el humano todavía hacía

La división del trabajo es lo más útil del informe. El agente se encargó del reconocimiento genérico y repetible: un trabajo que puede automatizarse con scripts y que no requiere ningún conocimiento del objetivo. El operador aportó lo que el agente no podía saber: una lista de palabras de contraseñas elaborada a partir de abreviaturas de los departamentos y programas internos del ministerio, nombres de host internos, direcciones no enrutables y scripts escritos en torno a servicios concretos. La nota de investigación de Cloud Security Alliance, publicada el 26 de julio, señala lo mismo: el humano conservó las «técnicas específicas del objetivo» mientras el agente ejecutaba las partes que se pueden escalar.

El ejemplo más claro es la cadena de Hadoop. El directorio del 13 de julio contenía más de una docena de archivos dirigidos a Apache HiveServer2, entre ellos hive_rce_py2.py, que abre un socket raw hacia un nodo interno en el puerto 10000 y se autentica con SASL PLAIN. El modo de autenticación predeterminado de HiveServer2 es NONE, que acepta cualquier credencial sin validarla, y el script se escribió para depender exactamente de eso. Luego registra una función definida por el usuario de Java maliciosa empaquetada como HiveCmd.jar y pasa comandos de shell mediante Hive SQL, recuperando la salida a través de WebHDFS desde un segundo nodo interno en el puerto 50070. Un payload de Ambari separado identifica por nombre de host un DataNode HDFS interno, atacando la capa de gestión en lugar de los datos.

El resto del kit de herramientas sigue el mismo patrón de preparación. Los scripts de Node.js con el prefijo gf_ controlan una instancia de Chrome sin interfaz gráfica a través de un proxy SOCKS5 para acceder a una consola de administración de GlassFish interna, iniciar sesión con credenciales predeterminadas y desplegar un archivo WAR; Hunt.io no pudo confirmar que se hubiera desplegado ninguno de los dos WAR. Se colocó una web shell en PHP disfrazada de archivo de caché de journal en /storage/Counter/nine/.journald-cache.php en un servidor web del ministerio. Un script Perl, mail4.pl, prueba la autenticación SMTP contra la infraestructura de correo del ministerio con direcciones de buzón incrustadas en el código y contraseñas construidas a partir de los tokens extraídos; los scripts de Python llamados mail_test.py y mail3.py hacen lo mismo. Un archivo de texto, alf_cookie.txt, contiene material de sesión de Alfresco para una dirección interna del ministerio. Ambos directorios también contienen código de explotación para CVE-2021-3156, el desbordamiento de heap de sudo, CVE-2021-4034, PwnKit, y CVE-2017-7269, el desbordamiento WebDAV de IIS 6.0, junto con shellcode y rutas que apuntan a la intranet del ministerio.

Nada de esto constituye una técnica novedosa. Lo que aportan los registros es que la enumeración se ejecutó de forma continua, sin las pausas que un operador humano deja entre comando y comando; la nota de Cloud Security Alliance sostiene que una detección basada en actividad con ritmo de teclado encaja mal con esto.

Hades, preparado pero sin confirmación de que esté en ejecución.

El directorio del 10 de julio era un servidor de entrega: 62 binarios Go compilados, Windows PE y Linux ELF, muchos con nombres de procesos legítimos del sistema — ctfmon, csrss, conhost y MicrosoftEdgeUpdate en Windows; kworker, multipathd y accounts-daemon en Linux. Dos llevan el nombre del proyecto, hades_linux_amd64 y hades_windows_amd64. Hunt.io analizó una muestra de cada plataforma y descubrió que provenían del mismo código base; los otros 60 comparten el mismo rango de tamaño y características de compilación, pero no fueron examinados individualmente.

El análisis estático y dinámico encontró mando y control por HTTPS disfrazado como recursos web estáticos: /assets/app.min.js para el registro, /assets/vendor.js para la asignación de tareas, /assets/main.js para la carga. Las cargas útiles están cifradas con AES-256-GCM bajo una clave fija por compilación codificada de forma fija. Las variables de entorno incluyen una fecha de autodestrucción, HADES_KILLDATE, y una programación de horario laboral que hace que el implante duerma fuera de una ventana configurada. La compilación para Windows persiste mediante una clave Run del Registro y una tarea programada, se ejecuta en memoria mediante carga reflexiva en un svchost.exe vaciado, toma capturas de pantalla mediante GDI y ofrece un proxy SOCKS; la compilación para Linux usa una tarea cron, un PTY estándar y ejecución de shellcode. Ambas admiten transferencia de archivos por fragmentos y reanudable.

Las dos muestras analizadas apuntaban a controladores distintos: el ejecutable de Windows dwm_33b7.exe emite balizas al servidor de preparación en el puerto 443, y el binario de Linux multipathd_04d0 a 202.181.27[.]115 en el puerto 12443 — el host encontrado mediante la huella digital del certificado compartido. Hunt.io señala que el nombre podría ser una coincidencia: en la mitología griega, Hermes guía las almas hacia Hades.

Lo que ninguna fuente establece es que Hades se ejecute dentro del ministerio. Hunt.io recuperó los binarios del propio servidor del operador. La nota de Cloud Security Alliance dice que ningún artefacto recuperado muestra que Hades haya llegado a una máquina del ministerio, y Dark Reading informa que la investigación no especificó dónde se desplegó. El implante es una capacidad que el operador había construido y preparado, no un residente confirmado en un host del ministerio.

¿Quién estaba detrás de esto?

Hunt.io no nombró ningún grupo. Evaluó, con una confianza de baja a media, que el operador habla chino o está íntimamente familiarizado con el idioma, basándose en cuatro indicadores: el historial del host como controlador de ShadowPad, infraestructura en Hong Kong, una contraseña de la interfaz web de Hermes que contenía la palabra china «Leishen», que significa dios del trueno, y una clave de API para FOFA, un servicio chino de reconocimiento de activos de Internet. Una instantánea del entorno también registra el cliente SSH 103.97.0[.]57, en AS133073 (HK Kwaifong Group Limited), conectándose al servidor de preparación. Nada de eso constituye una atribución a un Estado o a un clúster con nombre, y Hunt.io lo dice claramente.

Siguen desconocidas dos cosas sobre la intrusión en sí. Una de ellas es la vía de acceso inicial: «El método de acceso inicial sigue siendo desconocido», concluye el informe. La otra es el alcance. Hunt.io afirma que las cookies de sesión activas, los web shells desplegados y el acceso a la red interna indican que el operador «pudo comprometer múltiples sistemas dentro de la red MOF», pero también advierte que los valores de las cookies por sí solos no demuestran un inicio de sesión, porque Laravel emite tokens de sesión y CSRF a cualquier visitante. La comprometización es una evaluación construida a partir de artefactos, no un inventario confirmado de hosts.

Lo que Tailandia hizo después

Hunt.io afirma que la empresa y Diachenko notificaron al CERT nacional de Tailandia y a la Agencia Nacional de Ciberseguridad el 15 de julio de 2026, y que ambos confirmaron la recepción ese mismo día; la publicación se mantuvo retenida entonces durante una ventana de siete días. No se encontró ningún aviso público de ThaiCERT que hiciera referencia al ministerio en la cobertura revisada para este artículo.

El 27 de julio, el día en que The Record informó sobre la intrusión, el Comité Nacional de Ciberseguridad de Tailandia celebró su segunda reunión de 2026 y aprobó medidas dirigidas a las amenazas de agentes de IA. El propio informe de la agencia señala que el comité asignó a ThaiCERT la tarea de monitorear, analizar y rastrear las amenazas de agentes de IA, advertir a las agencias en riesgo y apoyar la respuesta a incidentes y la informática forense; encargó a los CERT sectoriales reforzar las verificaciones y la presentación de informes; y respaldó medidas proactivas, incluida la revisión de sistemas expuestos a internet, la gestión de cuentas privilegiadas, la segmentación de redes, las copias de seguridad y las pruebas de recuperación. También ordenó directrices para el uso seguro, transparente y auditable de agentes de IA dentro de las organizaciones, y ejercicios conjuntos de ThaiCERT y los CERT sectoriales que simulen ataques de agentes de IA. La publicación no menciona al Ministerio de Finanzas ni a Hunt.io, y The Record señaló que los funcionarios "no hicieron referencia directa a la investigación de Hunt.io" al juzgar las medidas aparentemente dirigidas a la amenaza. Cualquier vínculo causal entre la reunión y esta intrusión es una inferencia, no una declaración de la agencia.

Theerawut Wittayakorn, secretario general adjunto del Comité Nacional de Ciberseguridad, dijo después de la reunión que Tailandia "debe poder beneficiarse plenamente de la IA mientras gestiona sistemáticamente los riesgos asociados", informó The Record. El propio Ministerio de Finanzas guardó silencio: The Record informó el 27 de julio que el ministerio no había reconocido públicamente el incidente y no respondió a una solicitud de comentarios, y Dark Reading informó al día siguiente que el gobierno no había comentado. La entrada del archivo, fechada el 30 de julio, registra lo mismo.

What is established, what is assessed, what is missing

El archivo clasifica la entrada como un incidente consumado, de severidad crítica, confianza A, indiscutible, con daño real registrado y la etiqueta de tipo WEAPON; no está marcada como un hito. El grado de confianza describe la documentación, y la documentación es inusualmente directa: Hunt.io archivó el servidor de staging de los operadores, no los registros de una víctima. No describe verificación independiente y, en ese punto, el registro es escaso.

• Establecido: tres directorios abiertos en un mismo host entre el 9 y el 13 de julio, que contenían 585 archivos y 470 MB; cinco registros de llamadas de Hermes que muestran LinPEAS, enumeración de SUID, listado de contenedores y el rastreo de la raíz web; Hermes Agent ejecutándose en modo YOLO; 62 binarios Go, incluido Hades; el script de HiveServer2 y su UDF; la ruta del web-shell; material de credenciales y sesión; ninguna evidencia de exfiltración; la notificación de Hunt.io a ThaiCERT y NCSA el 15 de julio, confirmada ese mismo día.

• Evaluado: que el operador habla chino, con un nivel de confianza de bajo a medio; que múltiples sistemas del ministerio fueron comprometidos; que las medidas de la NCSA del 27 de julio fueron una respuesta a esta intrusión.

• Falta: la ruta de acceso inicial; cuántos hosts o registros alcanzó el operador; si algún archivo salió de la red; alguna confirmación del ministerio; algún aviso público de ThaiCERT; algún examen forense independiente.

Un relato secundario fue más allá del informe principal. El boletín de seguridad en chino de iThome del 27 de julio, que resume la misma investigación de Hunt.io, afirma que los intrusos entraron mediante un shell web PHP en un servidor del ministerio expuesto a internet y que el entorno contenía al menos 47 hosts, 54,9 TB de datos financieros gubernamentales, 14 bases de datos Microsoft SQL, sistemas biométricos y una puerta de enlace de escritorio remoto. Ninguna de esas cifras aparece en el informe de Hunt.io, que señala que el método de acceso inicial sigue siendo desconocido, y el registro del archivo sigue al informe. Los lectores que hayan visto las cifras mayores deben considerarlas como no respaldadas por la fuente principal.

Existen reportajes independientes, pero no pruebas independientes. The Record (27 de julio), Dark Reading (28 de julio) y la Cloud Security Alliance (26 de julio) se basan en los datos de Hunt.io; ninguno describe su propio examen forense, acceso a las víctimas ni análisis de muestras. Dark Reading añade una entrevista con Esteban Borges, jefe de investigación de Hunt.io, quien afirma que la empresa no encontró pruebas de exfiltración y que las operaciones con un uso intensivo de IA que ha visto dejan más rastros, no menos. The Record añade la declaración de la NCSA. La nota de la CSA añade análisis y una advertencia útil: ningún artefacto recuperado muestra Hades en una máquina del ministerio. Más allá de esas adiciones, los hechos del incidente en la cobertura proceden del mismo informe primario.

Lo que se les dijo a los defensores

Las recomendaciones de Hunt.io abordan los aspectos con correcciones claras. Revise el modo de autenticación de HiveServer2 y aplique la lista de bloqueo de UDF; audite recursivamente las raíces web en busca de archivos PHP con nombres que comienzan con punto y que imitan cachés del sistema; actualice sudo a 1.9.5p2 o posterior y verifique las versiones de polkit frente a CVE-2021-4034; deshabilite WebDAV en cualquier instancia de IIS 6.0 restante o migre fuera de la plataforma; active alertas para los procesos del servidor web que abren conexiones salientes a puertos internos como 10000 o 50070; y cambie las credenciales predeterminadas en las consolas de administración de GlassFish, restringiendo el acceso a redes de confianza. Para las organizaciones que ejecutan frameworks de agentes, la Cloud Security Alliance añade un control que habría sido relevante aquí: audite si hay un modo desatendido o equivalente a YOLO habilitado en cualquier lugar y deshabilítelo a menos que exista un motivo registrado y con el riesgo aceptado.

Hunt.io también convirtió el incidente en una forma de encontrar otros paneles expuestos. Según afirma, la interfaz web de Hermes devuelve una cabecera Server distintiva y un realm de autenticación básica característico, y una consulta de banner para HermesWebUI devolvió unos 5.900 eventos en el mes anterior; una búsqueda de directorios abiertos que contuvieran la ruta /hermes-results/ del agente devolvió 575 resultados. Esos son recuentos de los datos de un único proveedor en el momento de la publicación, no un recuento de víctimas, y cambian a medida que los paneles aparecen y desaparecen. La parte útil es el indicador: los paneles de agentes expuestos y sus directorios de salida se pueden descubrir, y así fue como salió a la luz esta operación.

El archivo no marca la entrada como un hito, y el registro técnico respalda esa prudencia. LinPEAS, el abuso de UDF de Hive, las credenciales predeterminadas y un exploit público de 2017 son herramientas antiguas; lo nuevo es la dotación de personal: un agente que realiza la enumeración de forma continua y un operador que hace la preparación específica para el objetivo. Esa disposición en dos partes es lo que documentan los registros. Lo que no pueden documentar es el impacto: hasta dónde llegó el operador dentro del ministerio, qué contenían los archivos de personal o si algo salió de la red. Hasta que el ministerio o un investigador independiente respondan a esas preguntas, el registro describe una intrusión bien documentada cuyo costo aún se desconoce.