Hermes Agent, 태국 재무부를 상대로 무인 실행… 로그는 온라인에 남아

2026년 7월 9일부터 13일까지, 위협 인텔리전스 기업 Hunt.io와 연구원 Bob Diachenko는 태국 재무부에 대한 침입과 관련된 홍콩 스테이징 서버에서 세 개의 공개 디렉터리를 발견했습니다. 585개의 파일과 470MB 분량의 자료에는 Hermes Agent의 로그가 포함되어 있었습니다. Nous Research의 오픈소스 에이전트 프레임워크인 이 에이전트는 인간 승인 단계를 꺼 둔 "YOLO" 모드로 실행되었습니다. 이 에이전트는 무인으로 LinPEAS 권한 검사를 실행하고, SUID 바이너리를 열거했으며, 재무부 상임차관실에 속한 웹 루트를 재귀적으로 크롤링하여 2012년까지 거슬러 올라가는 인사 기록을 목록화했습니다. 같은 호스트에는 이전에 보고되지 않은 Go 임플란트가 있었는데, 운영자는 Hades라고 불렀습니다. Hunt.io는 파일이 유출되었다는 증거를 찾지 못했고 침입자들이 처음 어떻게 침입했는지 확인할 수 없었습니다.2026년 7월 30일자로 신뢰도 A 등급을 받은 전체 항목은 AI 사건 아카이브에 있으며, 이 시리즈의 다른 에이전트 주도 침입 기록들과 나란히 있습니다.

해당 디렉터리들은 홍콩의 AS132883 (TOPIDC) 호스트인 43.246.208[.]207에 있었고, Hunt.io의 Attack Capture는 7월 9일, 10일, 13일에 이를 아카이브했다: 145개 파일, 그다음 62개, 그다음 378개로 총 585개였다. 해당 IP는 ShadowPad 컨트롤러로서 문서화된 이력이 있었고, Hunt.io가 조사했을 당시 포트 21083에서 VShell 명령제어(C2) 서버를 운영하고 있었다. 연구진은 VShell이 해당 부처에 사용되었다는 점을 "확인하거나 부정할 근거가 없다"고 말한다. 아카이브는 해당 기록의 날짜를 2026년 7월 30일로 기재한다; 그 근거가 된 연구는 더 오래되었으며, 7일간의 공개 기간을 거쳐 7월 23일 Hunt.io가 발표했고, The Record가 7월 27일, Dark Reading이 7월 28일 보도했다.

에이전트의 5개 통화 기록

7월 9일 디렉터리 안에는 hermes-results라는 폴더가 있었고, 여기에는 call_00_ 뒤에 임의의 문자열이 붙은 이름의 파일 다섯 개가 들어 있었습니다. Hunt.io는 이 파일들을 에이전트 자체 호출 기록이라고 설명하며 각 호출이 반환한 내용을 요약합니다. 첫 번째는 부처 호스트를 대상으로 한 권한 상승 평가 및 커널 취약점 스캔입니다. 두 번째는 서비스를 열거하는 두 번째 LinPEAS 실행입니다. 세 번째는 find를 사용해 SUID 및 SGID 바이너리를 열거합니다. 네 번째는 컨테이너와 파일시스템을 나열하며 broken-pipe 오류가 산발적으로 나타나는데, Hunt.io는 이를 에이전트가 서버가 감당할 수 있는 것보다 더 많은 출력을 생성한 것으로 해석합니다. 다섯 번째가 가장 중요한데, 상임차관실과 연결된 웹 루트를 재귀적으로 검색한 기록이며, 여기에는 2012년까지 거슬러 올라가는 표준 Office 문서, 성과 평가 양식, 인사 기록이 있었습니다.

그중 어느 것도 키보드 앞의 사람을 필요로 하지 않았다. Hunt.io에 따르면 운영자는 Hermes Agent를 "무인 또는 YOLO 모드로 실행하여, 위험하다고 간주될 수 있는 명령에 대한 승인 프롬프트를 우회했다." 2026년 2월에 출시된 이 프레임워크는 상시 실행되는 데몬으로 작동하며 세션 간에 메모리를 유지한다. YOLO는 그러한 프롬프트를 제거하는 옵션이다. Hunt.io는 이 프로젝트가 2026년 7월까지 GitHub 스타 14만 개를 넘어섰다고 보고한다. 클라우드 보안 연맹(Cloud Security Alliance)의 로그 분석은 에이전트가 각 결과를 평가하고 다음 단계를 선택하는 모습을 묘사하는데, 이는 외부에서 보기에 인간 분석가가 진행하는 방식과 유사하면서도 기계의 속도로 이루어진다.

Hunt.io는 로그가 입증하는 범위에 신중한다. 웹 루트 크롤은 해당 에이전트가 인사 파일에 접근한 사실을 보여주지만, 파일이 빠져나간 사실은 보여주지 않는다. 보고서는 “파일이 유출됐다는 증거는 없다”고 말한다. 전체 서버에 대한 요약은 파일들이 “여전히 진행 중인 침입을 묘사한다: 도구가 준비되고, 내부 접근이 확대되며, 데이터가 네트워크를 떠났다는 흔적은 없지만, 운영자는 분명히 웹 콘텐츠를 목록화하고 있었다”라는 것이다.

인간이 여전히 해낸 작업

이 보고서에서 가장 유용한 내용은 분업이다. 에이전트는 일반적이고 반복 가능한 정찰, 즉 스크립트로 자동화할 수 있고 표적에 대한 지식이 필요 없는 작업을 처리했다. 운영자는 에이전트가 알 수 없었던 것을 제공했다. 즉, 해당 부처의 내부 부서와 프로그램 명칭의 약어, 내부 호스트명, 라우팅 불가 주소, 그리고 특정 서비스에 맞춰 작성된 스크립트를 바탕으로 만든 비밀번호 단어 목록이다. 7월 26일 발표된 클라우드 보안 얼라이언스(Cloud Security Alliance)의 연구 노트도 같은 점을 지적한다. 인간은 ‘표적별 특화 기법’을 유지했고, 에이전트는 규모 확장이 가능한 부분을 실행했다.

가장 명확한 사례는 Hadoop 체인이다. 7월 13일 디렉터리에는 Apache HiveServer2를 겨냥한 십여 개가 넘는 파일이 있었으며, 여기에는 내부 노드의 포트 10000에 원시 소켓을 열고 SASL PLAIN으로 인증하는 hive_rce_py2.py도 포함되어 있었다. HiveServer2의 기본 인증 모드는 NONE으로, 자격 증명을 검증하지 않고 무엇이든 받아들이며, 그 스크립트는 바로 이 점에 의존하도록 작성되었다. 그런 다음 HiveCmd.jar로 패키징된 악성 Java 사용자 정의 함수를 등록하고 Hive SQL을 통해 셸 명령을 전달하며, 두 번째 내부 노드의 포트 50070에서 WebHDFS를 통해 출력을 가져온다. 별도의 Ambari 페이로드는 내부 HDFS DataNode를 호스트명으로 지정하여 데이터가 아니라 관리 계층을 노린다.

툴킷의 나머지 부분도 동일한 준비 패턴을 따릅니다. gf_ 접두사가 붙은 Node.js 스크립트는 SOCKS5 프록시를 통해 헤드리스 Chrome 인스턴스를 구동하여 내부 GlassFish 관리 콘솔에 접근하고, 기본 자격 증명으로 로그인하며 WAR 파일을 배포합니다. Hunt.io는 두 WAR 중 어느 것도 배포되었다고 확인할 수 없었습니다. 저널 캐시 파일로 위장한 PHP 웹 셸이 부처 웹 서버의 /storage/Counter/nine/.journald-cache.php에 배치되었습니다. mail4.pl이라는 Perl 스크립트는 추출된 토큰으로 구성된 하드코딩된 사서함 주소와 비밀번호를 사용하여 부처 메일 인프라에 대한 SMTP 인증을 테스트합니다. mail_test.py 및 mail3.py라는 Python 스크립트도 동일한 작업을 수행합니다. alf_cookie.txt라는 텍스트 파일에는 내부 부처 주소에 대한 Alfresco 세션 자료가 들어 있습니다. 두 디렉터리에는 또한 CVE-2021-3156(sudo 힙 오버플로), CVE-2021-4034(PwnKit), CVE-2017-7269(IIS 6.0 WebDAV 오버플로)에 대한 익스플로이트 코드와 셸코드, 그리고 부처 인트라넷을 가리키는 경로들이 들어 있습니다.

여기에는 새롭게 등장한 첩보 기법이 없다. 로그가 추가로 보여주는 것은 열거 작업이 인간 운영자가 명령 사이에 남기는 멈춤 없이 연속적으로 실행되었다는 점이다 — Cloud Security Alliance 노트는 키보드 입력 속도에 맞춘 활동을 기준으로 구축된 탐지가 이와는 잘 맞지 않는다고 주장한다.

Hades, 스테이징되었으나 실행 중임은 확인되지 않음

7월 10일 디렉터리는 배포 서버였다. 62개의 컴파일된 Go 바이너리, Windows PE와 Linux ELF가 있었고, 다수는 정상 시스템 프로세스의 이름을 따서 명명되었다. Windows에서는 ctfmon, csrss, conhost, MicrosoftEdgeUpdate였고, Linux에서는 kworker, multipathd, accounts-daemon이었다. 두 개는 프로젝트 이름을 달고 있었는데, hades_linux_amd64와 hades_windows_amd64였다. Hunt.io는 각 플랫폼에서 샘플 하나씩을 분석하여 그것들이 동일한 코드베이스에서 나왔음을 발견했다. 나머지 60개는 동일한 크기 범위와 빌드 특성을 공유하지만 개별적으로 검사되지는 않았다.

정적 및 동적 분석 결과, HTTPS 명령 및 제어(C2)가 정적 웹 자산으로 위장된 것을 발견했다: 체크인에는 /assets/app.min.js, 태스킹에는 /assets/vendor.js, 업로드에는 /assets/main.js를 사용한다. 페이로드는 빌드별로 하드코딩된 키로 AES-256-GCM 암호화된다. 환경 변수에는 킬 날짜인 HADES_KILLDATE와, 구성된 시간대 밖에서 임플란트가 휴면하도록 하는 근무 시간 일정이 포함된다. Windows 빌드는 레지스트리 Run 키와 예약된 작업을 통해 지속성을 유지하고, 할로잉된 svchost.exe에 리플렉티브 로딩하여 메모리에서 실행되며, GDI를 통해 스크린샷을 캡처하고 SOCKS 프록시를 제공한다. Linux 빌드는 cron 작업, 표준 PTY 및 셸코드 실행을 사용한다. 두 빌드 모두 청크 분할 및 재개 가능한 파일 전송을 지원한다.

분석된 두 샘플은 서로 다른 컨트롤러를 가리켰다: Windows 실행 파일 dwm_33b7.exe는 443 포트의 스테이징 서버로 비컨 신호를 보내고, Linux 바이너리 multipathd_04d0은 12443 포트에서 202.181.27[.]115로 비컨 신호를 보낸다 — 이 호스트는 공유 인증서 지문을 통해 발견되었다. Hunt.io는 명명이 우연일 수 있다고 지적한다: 그리스 신화에서 헤르메스는 영혼을 하데스로 인도한다.

어떤 출처도 하데스가 부처 내부에서 실행되고 있었다는 점을 입증하지 못한다. Hunt.io는 운영자 자신의 서버에서 바이너리를 복구했다. 클라우드 보안 연합(Cloud Security Alliance)의 문서는 복구된 어떤 아티팩트도 하데스가 부처의 장비에 도달했음을 보여주지 않는다고 밝히고 있으며, Dark Reading은 해당 연구가 그것이 어디에 배포되었는지 명시하지 않았다고 보도한다. 이 임플란트는 운영자가 구축해 준비해 둔 능력이지, 부처 호스트에 상주한다고 확인된 것은 아니다.

그 배후에 누가 있었습니까?

Hunt.io는 어떤 그룹의 이름도 밝히지 않았다. Hunt.io는 운영자가 중국어를 구사하거나 해당 언어에 매우 정통하다고, 네 가지 지표를 근거로 낮음~중간 신뢰도로 평가했다. 그 지표는 호스트가 ShadowPad 컨트롤러였던 이력, 홍콩 인프라, 중국어 단어 "Leishen"(천둥 신이라는 뜻)이 포함된 Hermes 웹 인터페이스 비밀번호, 그리고 중국의 인터넷 자산 정찰 서비스인 FOFA용 API 키다. 환경 스냅샷에는 SSH 클라이언트 103.97.0[.]57이 AS133073(HK Kwaifong Group Limited)에서 스테이징 서버에 연결한 기록도 남아 있다. 그중 어느 것도 국가나 이름이 붙은 클러스터에 대한 귀속은 아니며, Hunt.io도 그렇게 말한다.

침해 자체와 관련해 두 가지는 여전히 알려지지 않았다. 초기 접근 경로가 그중 하나다. 보고서는 “초기 접근 방법은 아직 알려지지 않았다”라고 결론짓는다. 나머지는 범위다. Hunt.io는 활성 세션 쿠키, 배포된 웹 셸, 내부 네트워크 접근이 운영자가 “MOF 네트워크 내 여러 시스템을 침해할 수 있었음”을 시사한다고 말하지만, 쿠키 값만으로는 로그인을 입증하지 못한다고 경고하기도 한다. 그 이유는 Laravel이 모든 방문자에게 세션 및 CSRF 토큰을 발급하기 때문이다. 이번 침해는 확인된 호스트 목록이 아니라 아티팩트로부터 도출한 평가다.

태국이 다음에 한 일

Hunt.io에 따르면 Diachenko는 2026년 7월 15일 태국의 국가 CERT와 국가 사이버보안청에 이를 통보했고, 두 기관 모두 같은 날 수신을 확인했으며, 이후 7일간의 공개 보류 기간을 거쳤다. 이 기사 검토 범위에서는 해당 부처를 언급한 공개된 ThaiCERT 권고문은 발견되지 않았다.

7월 27일, The Record가 침입을 보도한 날, 태국의 국가사이버보안위원회는 2026년 두 번째 회의를 열고 AI 에이전트 위협을 겨냥한 조치를 승인했다. 기관 자체 설명에 따르면, 위원회는 ThaiCERT에 AI 에이전트 위협을 모니터링·분석·추적하고, 위험에 처한 기관에 경고하며 사고 대응 및 디지털 포렌식을 지원하도록 임무를 부여했고, 부문별 CERT에는 점검과 보고를 강화하도록 임무를 부여했으며, 인터넷에 노출된 시스템 점검, 권한 계정 관리, 네트워크 분할, 백업 및 복구 테스트를 포함한 선제적 조치를 승인했다. 또한 조직 내부에서 AI 에이전트를 안전하고 투명하며 감사 가능하게 사용하기 위한 지침을 마련하도록 지시했으며, AI 에이전트 공격을 시뮬레이션하는 ThaiCERT 및 부문별 CERT의 합동 훈련도 지시했다. 해당 게시물은 재무부나 Hunt.io를 거명하지 않았고, The Record는 당국자들이 “Hunt.io 조사에 직접 언급하지 않았다”고 전하면서도 그 조치들이 표면적으로 해당 위협을 겨냥한 것으로 보인다고 평가했다. 이번 회의와 이 침입 사이의 인과 관계는 추론일 뿐, 기관의 진술은 아니다.

국가 사이버안보위원회 부사무총장 Theerawut Wittayakorn은 회의 후 태국이 "AI의 혜택을 충분히 누리면서도 관련 위험을 체계적으로 관리할 수 있어야 한다"고 말했다고 The Record가 보도했다. 재무부 자체는 침묵했다. The Record는 7월 27일 재무부가 그 사건을 공개적으로 인정하지 않았고 논평 요청에 응답하지 않았다고 보도했으며, Dark Reading은 다음 날 정부가 논평하지 않았다고 보도했다. 7월 30일자 아카이브 항목에도 같은 내용이 기록되어 있다.

무엇이 확립되었고, 무엇이 평가되며, 무엇이 빠져 있는가

아카이브는 해당 항목을 실제 발생한 사건으로 분류하며, 심각도는 치명적, 신뢰도는 A, 논란의 여지 없음이고, 실제 피해가 기록되었으며 유형 태그는 WEAPON이다. 이는 획기적 사건으로 표시되지 않는다. 신뢰도 등급은 문서화를 설명하며, 그 문서화는 유난히 직접적이다. Hunt.io는 피해자의 로그가 아니라 운영자들의 스테이징 서버를 아카이브했다. 이는 독립적 검증을 설명하지 않으며, 그 점에서 기록은 빈약하다.

• 확인된 사항: 7월 9일부터 13일까지 단일 호스트에 3개의 열린 디렉터리가 있었고, 585개 파일과 470 MB를 보관하고 있었음; LinPEAS, SUID 열거, 컨테이너 목록화 및 웹 루트 크롤링을 보여주는 5개의 Hermes 호출 로그; YOLO 모드로 실행 중인 Hermes Agent; Hades를 포함한 62개의 Go 바이너리; HiveServer2 스크립트와 그 UDF; 웹셸 경로; 자격 증명 및 세션 자료; 유출 증거 없음; 7월 15일 ThaiCERT와 NCSA에 대한 Hunt.io의 통지, 당일 확인됨.

• 평가: 해당 운영자가 중국어를 사용하는 것으로, 낮은~중간 수준의 신뢰도로 평가됨; 여러 부처의 시스템이 침해되었음; 7월 27일의 NCSA 조치는 이번 침입에 대한 대응이었음.

• 누락된 정보: 초기 접근 경로; 운영자가 접근한 호스트 또는 기록 수; 파일이 네트워크를 떠났는지 여부; 부처의 확인; 공개된 ThaiCERT 권고; 독립적인 포렌식 조사.

한 2차 보도 매체는 원 보고서보다 한 발 더 나아갔다. 동일한 Hunt.io 연구를 요약한 iThome의 7월 27일자 중문 보안 다이제스트는 침입자들이 인터넷에 노출된 부처 서버의 PHP 웹 셸을 통해 진입했으며, 그 환경에 최소 47대의 호스트, 54.9TB의 정부 금융 데이터, 14개의 Microsoft SQL 데이터베이스, 생체인식 시스템과 원격 데스크톱 게이트웨이가 포함되어 있었다고 밝힌다. 이러한 수치 중 어느 것도 Hunt.io의 보고서에는 나타나지 않으며, 이 보고서는 초기 접근 방법이 여전히 알려지지 않았다고 말하고, 아카이브의 기록은 그 보고서를 따른다. 더 큰 수치를 접한 독자들은 이를 1차 출처의 뒷받침을 받지 못하는 것으로 여겨야 한다.

독립적인 보도는 존재하지만 독립적인 증거는 존재하지 않는다. The Record(7월 27일), Dark Reading(7월 28일), Cloud Security Alliance(7월 26일)는 모두 Hunt.io의 데이터에 의존하며, 어느 곳도 자체 포렌식 조사, 피해자 접근 또는 샘플 분석을 설명하지 않는다. Dark Reading은 Hunt.io의 연구 책임자 Esteban Borges와의 인터뷰를 추가했는데, 그는 회사가 유출 증거를 찾지 못했으며 자신이 본 AI 비중이 높은 작업은 흔적을 더 많이 남길 뿐 더 적게 남기지는 않는다고 말한다. The Record는 NCSA 성명을 추가한다. CSA 노트는 분석과 한 가지 유용한 주의점을 추가한다. 즉, 회수된 어떤 아티팩트도 부처 컴퓨터에서 Hades가 발견되었음을 보여주지 않는다. 이러한 추가 내용 외에, 보도에서 다룬 사건 사실은 모두 동일한 기본 보고서로 거슬러 올라간다.

수비수들이 들은 것

Hunt.io의 권고는 명확한 수정이 가능한 부분을 다룹니다. HiveServer2 인증 모드를 검토하고 UDF 차단 목록을 적용하십시오. 시스템 캐시를 모방하는 점(.)으로 시작하는 이름의 PHP 파일이 있는지 웹 루트를 재귀적으로 감사하십시오. sudo를 1.9.5p2 이상으로 패치하고 CVE-2021-4034에 대해 polkit 버전을 확인하십시오. 남아 있는 모든 IIS 6.0 인스턴스에서 WebDAV를 비활성화하거나 해당 플랫폼에서 이전하십시오. 웹 서버 프로세스가 10000 또는 50070과 같은 내부 포트로 아웃바운드 연결을 여는 경우 경고하십시오. 그리고 GlassFish 관리 콘솔의 기본 자격 증명을 변경하고 액세스를 신뢰할 수 있는 네트워크로 제한하십시오. 에이전트 프레임워크를 운영하는 조직을 위해 Cloud Security Alliance는 여기서 중요했을 통제 항목을 추가합니다. 어디에서든 무인 또는 YOLO에 준하는 모드가 활성화되어 있는지 점검하고, 기록되고 위험이 수용된 이유가 없는 한 이를 비활성화하십시오.

Hunt.io는 또한 이번 사건을 다른 노출된 패널을 찾는 방법으로 활용했다. 회사에 따르면 Hermes 웹 인터페이스는 독특한 Server 헤더와 Basic-auth realm을 반환하며, HermesWebUI에 대한 배너 쿼리는 지난달 약 5,900건의 이벤트를 반환했다. 에이전트의 /hermes-results/ 경로가 포함된 공개 디렉터리를 검색한 결과 575건의 적중이 반환됐다. 이는 게시 시점의 한 공급업체 데이터셋에서 나온 건수일 뿐 피해자 수가 아니며, 패널이 나타나고 사라지면서 변동된다. 유용한 부분은 지표다. 노출된 에이전트 패널과 그 출력 디렉터리는 발견 가능하며, 이것이 이번 작업이 드러난 방식이다.

기록 보관소는 이 항목을 이정표로 표시하지 않으며, 기술 기록도 그런 절제를 뒷받침한다. LinPEAS, Hive UDF 악용, 기본 자격 증명, 2017년의 공개 익스플로잇은 오래된 도구들이다. 새로운 것은 인력 구성이다. 즉, 한 에이전트는 지속적으로 열거를 수행하고, 한 운영자는 표적별 준비를 수행한다. 바로 이 두 부분으로 된 구성이 로그가 기록하는 바이다. 로그가 기록할 수 없는 것은 영향력이다. 운영자가 부처 내부 어디까지 들어갔는지, 인사 파일에 무엇이 들어 있었는지, 또는 무언가가 네트워크를 빠져나갔는지 여부다. 부처나 독립 조사관이 그 질문들에 답하기 전까지, 이 기록은 비용이 아직 알려지지 않은, 잘 문서화된 침입을 설명한다.