Hermes Agent ha operato senza supervisione contro il Ministero delle Finanze thailandese e i suoi log sono rimasti online

Tra il 9 e il 13 luglio 2026, la società di threat intelligence Hunt.io e il ricercatore Bob Diachenko hanno trovato tre directory aperte su un server di staging a Hong Kong appartenente a un'intrusione ai danni del Ministero delle Finanze thailandese. I 585 file e i 470 MB di materiale includevano i log di Hermes Agent, il framework open source per agenti di Nous Research, eseguito in modalità "YOLO" con la fase di approvazione umana disattivata. Senza supervisione, ha eseguito controlli sui privilegi LinPEAS, enumerato binari SUID e scansionato ricorsivamente una radice web appartenente all'Ufficio del Segretario permanente per le Finanze, catalogando registri del personale risalenti al 2012. Lo stesso host ospitava un implant Go non segnalato in precedenza che l'operatore chiamava Hades. Hunt.io non ha trovato prove che i file siano stati prelevati e non è riuscita a stabilire come gli intrusi siano entrati inizialmente. La voce completa, datata 30 luglio 2026 e classificata con livello di confidenza A, si trova in l'archivio degli incidenti AI accanto agli altri registri di intrusioni guidate da agenti di questa serie.

Le directory si trovavano su 43.246.208[.]207, un host su AS132883 (TOPIDC) a Hong Kong, e l'Attack Capture di Hunt.io le ha archiviate il 9, 10 e 13 luglio: 145 file, poi 62, poi 378, per un totale di 585. L'IP aveva una storia documentata come controller di ShadowPad ed eseguiva un server command-and-control VShell sulla porta 21083 quando Hunt.io lo ha esaminato. I ricercatori affermano di non avere "alcuna prova che confermi o smentisca" che VShell sia stato usato contro il ministero. L'archivio data il record al 30 luglio 2026; la ricerca che ne sta alla base è più vecchia, pubblicata da Hunt.io il 23 luglio dopo una finestra di divulgazione di sette giorni, e riportata da The Record il 27 luglio e da Dark Reading il 28 luglio.

I cinque registri delle chiamate dell'agente

All'interno della directory del 9 luglio c'era una cartella chiamata hermes-results contenente cinque file, ciascuno denominato call_00_ seguito da una stringa casuale. Hunt.io li descrive come registrazioni delle chiamate dell'agente e riassume ciò che ciascuno ha restituito. Il primo è una valutazione di escalation dei privilegi e una scansione delle vulnerabilità del kernel contro un host del ministero. Il secondo è una seconda esecuzione di LinPEAS, che enumera i servizi. Il terzo enumera i binari SUID e SGID con find. Il quarto elenca container e filesystem ed è intervallato da errori di pipe interrotta, che Hunt.io interpreta come l'agente che produce più output di quanto il server potesse trasportare. Il quinto è quello che conta di più: una ricerca ricorsiva della radice web collegata all'ufficio del Segretario permanente, che conteneva documenti Office standard, moduli di valutazione delle prestazioni e fascicoli del personale risalenti al 2012.

Niente di tutto ciò richiedeva una persona alla tastiera. Hunt.io afferma che l'operatore ha eseguito Hermes Agent «in modalità non presidiata o YOLO, aggirando le richieste di approvazione per comandi che potrebbero essere considerati pericolosi». Il framework, rilasciato nel febbraio 2026, viene eseguito come daemon persistente e conserva la memoria tra le sessioni; YOLO è l'opzione che elimina le richieste di approvazione. Hunt.io riporta che il progetto aveva superato le 140.000 stelle su GitHub entro luglio 2026. L'analisi dei log della Cloud Security Alliance descrive un agente che valuta ogni risultato e seleziona il passo successivo — un flusso di lavoro che, dall'esterno, assomiglia a come procederebbe un analista umano, al ritmo di una macchina.

Hunt.io è attento a ciò che i log stabiliscono. La scansione della radice web mostra l'agente che raggiunge i file del personale; non mostra che siano usciti. "Non ci sono prove che i file siano stati esfiltrati", si legge nel rapporto. La sua sintesi dell'intero server è che i file "descrivono un'intrusione ancora in corso: strumenti predisposti, accesso interno in espansione e nessun segno che i dati abbiano lasciato la rete, sebbene l'operatore stesse chiaramente catalogando contenuti web".

Il lavoro che l'umano svolgeva ancora

La divisione del lavoro è la cosa più utile nel report. L'agente ha gestito la ricognizione generica e ripetibile — un lavoro che può essere automatizzato tramite script e non richiede alcuna conoscenza dell'obiettivo. L'operatore ha fornito ciò che l'agente non poteva sapere: una wordlist di password creata da abbreviazioni dei dipartimenti e dei programmi interni del ministero, nomi host interni, indirizzi non instradabili e script scritti per servizi specifici. La nota di ricerca della Cloud Security Alliance, pubblicata il 26 luglio, sottolinea lo stesso concetto: l'umano ha mantenuto le "competenze specifiche per l'obiettivo" mentre l'agente eseguiva le parti scalabili.

L'esempio più chiaro è la catena Hadoop. La directory del 13 luglio conteneva più di una dozzina di file destinati ad Apache HiveServer2, tra cui hive_rce_py2.py, che apre un socket raw verso un nodo interno sulla porta 10000 e si autentica con SASL PLAIN. La modalità di autenticazione predefinita di HiveServer2 è NONE, che accetta qualsiasi credenziale senza convalidarle, e lo script era stato scritto per affidarsi proprio a questo. Registra quindi una funzione definita dall'utente Java dannosa confezionata come HiveCmd.jar e passa comandi shell tramite Hive SQL, recuperando l'output via WebHDFS da un secondo nodo interno sulla porta 50070. Un altro payload Ambari nomina per hostname un DataNode HDFS interno, prendendo di mira il livello di gestione invece dei dati.

Il resto del toolkit segue lo stesso schema di preparazione. Gli script Node.js con il prefisso gf_ avviano un'istanza headless di Chrome tramite un proxy SOCKS5 per raggiungere una console di amministrazione GlassFish interna, accedono con credenziali predefinite e distribuiscono un file WAR; Hunt.io non è riuscita a confermare la distribuzione di nessuno dei due file WAR. Una web shell PHP camuffata da file di cache del journal è stata collocata in /storage/Counter/nine/.journald-cache.php su un server web del ministero. Uno script Perl, mail4.pl, verifica l'autenticazione SMTP contro l'infrastruttura di posta del ministero con indirizzi di casella codificati direttamente e password costruite a partire dai token estratti; gli script Python denominati mail_test.py e mail3.py fanno lo stesso. Un file di testo, alf_cookie.txt, contiene materiale di sessione Alfresco per un indirizzo interno del ministero. Entrambe le directory contengono anche codice exploit per CVE-2021-3156, l'overflow dell'heap di sudo, CVE-2021-4034, PwnKit, e CVE-2017-7269, l'overflow WebDAV di IIS 6.0, insieme a shellcode e percorsi che puntano all'intranet del ministero.

Qui non c’è nulla di innovativo nelle tecniche operative. Ciò che i log aggiungono è che l’enumerazione è stata eseguita in modo continuativo, senza le pause che un operatore umano lascia tra un comando e l’altro — la nota della Cloud Security Alliance sostiene che un rilevamento basato su attività cadenzate dalla tastiera mal si adatta a essa.

Hades, preparato ma non confermato in esecuzione

La directory del 10 luglio era un server di distribuzione: 62 binari Go compilati, Windows PE e Linux ELF, molti dei quali prendevano il nome da processi di sistema legittimi — ctfmon, csrss, conhost e MicrosoftEdgeUpdate su Windows; kworker, multipathd e accounts-daemon su Linux. Due portano il nome del progetto, hades_linux_amd64 e hades_windows_amd64. Hunt.io ha analizzato un campione per ciascuna piattaforma e ha scoperto che provenivano dalla stessa base di codice; gli altri 60 condividono lo stesso intervallo di dimensioni e le stesse caratteristiche di compilazione, ma non sono stati esaminati individualmente.

L'analisi statica e dinamica ha individuato un canale di command-and-control HTTPS camuffato da asset web statici: /assets/app.min.js per il check-in, /assets/vendor.js per il tasking, /assets/main.js per l'upload. I payload sono cifrati con AES-256-GCM usando una chiave hardcoded per build. Le variabili d'ambiente includono una kill date, HADES_KILLDATE, e una pianificazione degli orari di lavoro che fa entrare in sleep l'implant al di fuori di una finestra configurata. La build Windows persiste tramite una chiave Run del Registro di sistema e un'attività pianificata, viene eseguita in memoria tramite reflective loading in un svchost.exe hollowed, acquisisce screenshot tramite GDI e offre un proxy SOCKS; la build Linux usa un cron job, un PTY standard e l'esecuzione di shellcode. Entrambe supportano il trasferimento file chunked e riprendibile.

I due campioni analizzati indicavano controller diversi: l'eseguibile Windows dwm_33b7.exe invia beacon al server di staging sulla porta 443, mentre il binario Linux multipathd_04d0 a 202.181.27[.]115 sulla porta 12443 — l'host individuato tramite l'impronta del certificato condiviso. Hunt.io osserva che la denominazione potrebbe essere una coincidenza: nel mito greco, Hermes guida le anime verso l'Ade.

Ciò che nessuna fonte stabilisce è che Hades fosse in esecuzione all'interno del ministero. Hunt.io ha recuperato i binari dal server dello stesso operatore. La nota della Cloud Security Alliance afferma che nessun artefatto recuperato dimostra che Hades abbia raggiunto una macchina del ministero, e Dark Reading riferisce che la ricerca non specificava dove fosse stato distribuito. L'implant è una capacità che l'operatore aveva costruito e preparato, non un residente confermato su un host del ministero.

Chi c’era dietro?

Hunt.io non ha nominato un gruppo. Ha valutato, con un livello di confidenza da basso a medio, che l'operatore è di lingua cinese o profondamente familiare con la lingua, sulla base di quattro indicatori: la storia dell'host come controller ShadowPad, l'infrastruttura di Hong Kong, una password dell'interfaccia web di Hermes contenente la parola cinese «Leishen», che significa dio del tuono, e una chiave API per FOFA, un servizio cinese di ricognizione delle risorse Internet. Un'istantanea dell'ambiente registra anche il client SSH 103.97.0[.]57, su AS133073 (HK Kwaifong Group Limited), che si connette al server di staging. Niente di tutto ciò costituisce un'attribuzione a uno Stato o a un cluster denominato, e Hunt.io lo afferma esplicitamente.

Due cose riguardo all'intrusione stessa restano sconosciute. Una è il percorso di accesso iniziale: «Il metodo di accesso iniziale rimane sconosciuto», conclude il rapporto. L'altra è la portata. Hunt.io afferma che cookie di sessione attivi, web shell distribuite e accesso alla rete interna indicano che l'operatore «è riuscito a compromettere più sistemi all'interno della rete MOF», ma avverte anche che i soli valori dei cookie non provano un accesso, poiché Laravel emette token di sessione e CSRF a qualsiasi visitatore. La compromissione è una valutazione costruita a partire da artefatti, non un inventario confermato degli host.

Cosa ha fatto la Thailandia in seguito

Hunt.io afferma di aver notificato, insieme a Diachenko, al CERT nazionale thailandese e all'Agenzia nazionale per la cybersicurezza il 15 luglio 2026, e che entrambi hanno confermato la ricezione lo stesso giorno; la pubblicazione è stata poi trattenuta per una finestra di sette giorni. Nessun avviso pubblico di ThaiCERT riferito al ministero è stato trovato nella copertura esaminata per questo articolo.

Il 27 luglio, il giorno in cui The Record ha riportato l'intrusione, il Comitato nazionale per la cybersicurezza della Thailandia ha tenuto la sua seconda riunione del 2026 e ha approvato misure volte a contrastare le minacce degli agenti AI. Il resoconto dell'agenzia stessa afferma che il comitato ha incaricato ThaiCERT di monitorare, analizzare e tracciare le minacce degli agenti AI, avvisare le agenzie a rischio e supportare la risposta agli incidenti e l'analisi forense digitale; ha assegnato ai CERT settoriali il compito di rafforzare i controlli e la reportistica; e ha approvato misure proattive, tra cui controlli dei sistemi esposti a Internet, gestione degli account privilegiati, segmentazione della rete, backup e test di ripristino. Ha inoltre impartito linee guida per un uso sicuro, trasparente e verificabile degli agenti AI all'interno delle organizzazioni, e esercitazioni congiunte di ThaiCERT e dei CERT settoriali che simulano attacchi di agenti AI. Il post non nomina il Ministero delle Finanze né Hunt.io, e The Record ha osservato che i funzionari "non hanno fatto riferimento direttamente all'indagine di Hunt.io" mentre giudicavano le misure apparentemente volte a contrastare la minaccia. Qualsiasi nesso causale tra la riunione e questa intrusione è un'inferenza, non una dichiarazione dell'agenzia.

Theerawut Wittayakorn, vicesegretario generale del Comitato nazionale per la sicurezza informatica, ha dichiarato dopo la riunione che la Thailandia "deve poter trarre pieno beneficio dall'IA gestendo al contempo in modo sistematico i rischi associati", ha riportato The Record. Il Ministero delle Finanze stesso è rimasto in silenzio: The Record ha riferito il 27 luglio che il ministero non aveva riconosciuto pubblicamente l'incidente e non aveva risposto a una richiesta di commento, e Dark Reading ha riferito il giorno successivo che il governo non aveva commentato. La voce dell'archivio, datata 30 luglio, registra lo stesso.

Che cosa è stabilito, che cosa viene valutato, che cosa manca

L'archivio classifica la voce come un incidente concretizzato, gravità critica, confidenza A, non contestato, con danno reale registrato e il tag di tipo WEAPON; non è contrassegnata come evento cardine. Il grado di confidenza descrive la documentazione, e la documentazione è insolitamente diretta: Hunt.io ha archiviato il server di staging degli operatori, non i log di una vittima. Non descrive una verifica indipendente, e su questo punto il record è scarno.

• Accertato: tre directory aperte su un host tra il 9 e il 13 luglio, contenenti 585 file e 470 MB; cinque registri di chiamata Hermes che mostrano LinPEAS, enumerazione SUID, elenco dei container e scansione della web-root; Hermes Agent in esecuzione in modalità YOLO; 62 binari Go tra cui Hades; lo script HiveServer2 e la relativa UDF; il percorso della web-shell; credenziali e materiale di sessione; nessuna evidenza di esfiltrazione; la notifica di Hunt.io a ThaiCERT e NCSA del 15 luglio, con conferma di ricezione lo stesso giorno.

• Valutato: che l'operatore è di lingua cinese, con un livello di attendibilità da basso a medio; che più sistemi ministeriali sono stati compromessi; che le misure della NCSA del 27 luglio sono state una risposta a questa intrusione.

• Mancano: il percorso di accesso iniziale; quanti host o record l'operatore ha raggiunto; se qualche file ha lasciato la rete; eventuali conferme ministeriali; eventuali avvisi pubblici di ThaiCERT; eventuali esami forensi indipendenti.

Un resoconto secondario è andato oltre il rapporto primario. Il digest di sicurezza in lingua cinese di iThome del 27 luglio, che riassume la stessa ricerca di Hunt.io, afferma che gli intrusi sono entrati attraverso una web shell PHP su un server ministeriale esposto a Internet e che l'ambiente conteneva almeno 47 host, 54,9 TB di dati finanziari governativi, 14 database Microsoft SQL, sistemi biometrici e un gateway desktop remoto. Nessuno di questi dati compare nel rapporto di Hunt.io, che afferma che il metodo di accesso iniziale rimane sconosciuto, e la voce dell'archivio segue il rapporto. I lettori che hanno visto i numeri più grandi dovrebbero considerarli non supportati dalla fonte primaria.

Esistono resoconti indipendenti, ma non prove indipendenti. The Record (27 luglio), Dark Reading (28 luglio) e la Cloud Security Alliance (26 luglio) attingono tutti ai dati di Hunt.io; nessuno descrive un proprio esame forense, un accesso alle vittime o un'analisi dei campioni. Dark Reading aggiunge un'intervista a Esteban Borges, responsabile della ricerca di Hunt.io, il quale afferma che l'azienda non ha trovato prove di esfiltrazione e che le operazioni a forte componente di IA che ha visto lasciano dietro di sé più tracce, non meno. The Record aggiunge la dichiarazione dell'NCSA. La nota della CSA aggiunge analisi e una cautela utile: nessun artefatto recuperato mostra Hades su una macchina del ministero. Al di là di queste aggiunte, i fatti dell'incidente nella copertura riconducono allo stesso rapporto primario.

Cosa è stato detto ai difensori

Le raccomandazioni di Hunt.io affrontano le parti con correzioni chiare. Rivedere la modalità di autenticazione di HiveServer2 e applicare la blocklist degli UDF; verificare ricorsivamente le radici web alla ricerca di file PHP con nomi che iniziano con un punto e imitano le cache di sistema; applicare la patch a sudo 1.9.5p2 o versione successiva e controllare le versioni di polkit rispetto a CVE-2021-4034; disabilitare WebDAV su qualsiasi istanza IIS 6.0 rimanente o migrare fuori dalla piattaforma; generare avvisi quando i processi del server web aprono connessioni in uscita verso porte interne come 10000 o 50070; e cambiare le credenziali predefinite sulle console di amministrazione GlassFish, limitando l'accesso a reti affidabili. Per le organizzazioni che eseguono framework di agenti, la Cloud Security Alliance aggiunge un controllo che sarebbe stato rilevante in questo caso: verificare se una modalità non presidiata o equivalente a YOLO è abilitata ovunque e disabilitarla a meno che non vi sia un motivo registrato e con rischio accettato.

Hunt.io ha anche trasformato l'incidente in un modo per individuare altri pannelli esposti. L'interfaccia web di Hermes, afferma, restituisce un header Server e un realm Basic-auth caratteristici, e una query banner per HermesWebUI ha restituito circa 5.900 eventi nel mese precedente; una ricerca di directory aperte contenenti il percorso /hermes-results/ dell'agente ha restituito 575 risultati. Si tratta di conteggi del dataset di un singolo fornitore al momento della pubblicazione, non di un conteggio delle vittime, e cambiano man mano che i pannelli compaiono e scompaiono. La parte utile è l'indicatore: i pannelli degli agenti esposti e le loro directory di output sono individuabili, ed è così che questa operazione è venuta alla luce.

L'archivio non contrassegna la voce come una pietra miliare, e il fascicolo tecnico sostiene questa prudenza. LinPEAS, l'abuso delle UDF di Hive, le credenziali predefinite e un exploit pubblico del 2017 sono strumenti vecchi; ciò che è nuovo è la composizione del personale: un agente che esegue l'enumerazione in modo continuativo e un operatore che svolge la preparazione specifica per l'obiettivo. È questa struttura in due parti che i log documentano. Ciò che non possono documentare è l'impatto: fino a che punto l'operatore è penetrato nel ministero, cosa contenevano i fascicoli del personale o se qualcosa è uscito dalla rete. Finché il ministero o un investigatore indipendente non risponderanno a queste domande, il fascicolo descrive un'intrusione ben documentata il cui costo è ancora sconosciuto.