Hermes Agent liep onbeheerd tegen het Thaise ministerie van Financiën, en de logs bleven online staan

Tussen 9 en 13 juli 2026 vonden het dreigingsinlichtingenbedrijf Hunt.io en onderzoeker Bob Diachenko drie open directories op een Hongkongse stagingserver die deel uitmaakte van een inbraak tegen het ministerie van Financiën van Thailand. De 585 bestanden en 470 MB aan materiaal omvatten de logs van Hermes Agent, het open-source agentframework van Nous Research, uitgevoerd in de "YOLO"-modus met de stap voor menselijke goedkeuring uitgeschakeld. Zonder toezicht voerde het LinPEAS-privilegecontroles uit, somde het SUID-binaries op en doorzocht het recursief een webroot die hoorde bij het Office of the Permanent Secretary for Finance, waarbij het personeelsdossiers vanaf 2012 catalogiseerde. Dezelfde host bevatte een eerder niet gemelde Go-implant die de operator Hades noemde. Hunt.io vond geen bewijs dat er bestanden waren weggenomen en kon niet vaststellen hoe de indringers aanvankelijk binnenkwamen. De volledige vermelding, gedateerd 30 juli 2026 en met betrouwbaarheidsniveau A, staat in het AI-incidentarchief naast de andere door agents aangedreven inbraakregistraties in deze reeks.

De mappen stonden op 43.246.208[.]207, een host op AS132883 (TOPIDC) in Hong Kong, en Hunt.io's Attack Capture archiveerde ze op 9, 10 en 13 juli: 145 bestanden, dan 62, dan 378, in totaal 585. Het IP had een gedocumenteerde geschiedenis als ShadowPad-controller en draaide een VShell-command-and-controlserver op poort 21083 toen Hunt.io keek. De onderzoekers zeggen dat ze "geen bewijs hebben dat bevestigt of ontkent" dat VShell tegen het ministerie is gebruikt. Het archief dateert de registratie op 30 juli 2026; het onderliggende onderzoek is ouder, gepubliceerd door Hunt.io op 23 juli na een openbaarmakingstermijn van zeven dagen, en werd gemeld door The Record op 27 juli en Dark Reading op 28 juli.

De vijf gesprekslogs van de agent

In de map van 9 juli stond een map met de naam hermes-results, met daarin vijf bestanden, elk met de naam call_00_ gevolgd door een willekeurige tekenreeks. Hunt.io beschrijft ze als registraties van de eigen calls van de agent en vat samen wat elk ervan opleverde. Het eerste is een beoordeling van privilege-escalatie en een kwetsbaarheidsscan van de kernel tegen een host van een ministerie. Het tweede is een tweede LinPEAS-run, waarbij diensten worden geënumerreerd. Het derde enumereert SUID- en SGID-binaire bestanden met find. Het vierde vermeldt containers en bestandssystemen en wordt onderbroken door broken-pipe-fouten, wat Hunt.io opvat als de agent die meer uitvoer produceerde dan de server kon verwerken. Het vijfde is het belangrijkste: een recursieve zoekopdracht in de webroot die verbonden is met het kantoor van de permanente secretaris, met daarin standaard Office-documenten, formulieren voor prestatiebeoordeling en personeelsdossiers die teruggaan tot 2012.

Niets daarvan had een persoon achter het toetsenbord nodig. Hunt.io zegt dat de operator Hermes Agent heeft uitgevoerd "in unattended- of YOLO-modus, waarbij goedkeuringsprompts voor opdrachten die als gevaarlijk konden worden beschouwd, werden omzeild." Het framework, in februari 2026 uitgebracht, draait als een persistente daemon en bewaart geheugen tussen sessies; YOLO is de optie die de prompts verwijdert. Hunt.io meldt dat het project in juli 2026 meer dan 140.000 GitHub-sterren had. De analyse van de logs door de Cloud Security Alliance beschrijft een agent die elk resultaat beoordeelt en de volgende stap kiest — een workflow die van buitenaf bezien lijkt op hoe een menselijke analist te werk zou gaan, zij het in machinetempo.

Hunt.io is voorzichtig over wat de logs aantonen. De crawl van de web-root toont dat de agent personeelsbestanden bereikt; het laat niet zien dat ze weggaan. "Er is geen bewijs dat de bestanden zijn geëxfiltreerd," staat in het rapport. In zijn samenvatting van de hele server staat dat de bestanden "een nog gaande inbraak beschrijven: tooling is voorbereid, interne toegang breidt uit, en geen aanwijzing dat data het netwerk hadden verlaten, hoewel de operator duidelijk webinhoud catalogiseerde."

Het werk dat de mens nog deed

De arbeidsdeling is het nuttigste deel van het rapport. De agent voerde generieke, herhaalbare verkenning uit — werk dat kan worden geautomatiseerd en geen kennis van het doel vereist. De operator leverde wat de agent niet kon weten: een wachtwoordenlijst samengesteld uit afkortingen van de interne afdelingen en programma's van het ministerie, interne hostnamen, niet-routeerbare adressen en scripts die op specifieke diensten waren gericht. De onderzoeksnotitie van de Cloud Security Alliance, gepubliceerd op 26 juli, maakt hetzelfde punt: de mens behield "doelgerichte tradecraft", terwijl de agent de onderdelen uitvoerde die schaalbaar zijn.

Het duidelijkste voorbeeld is de Hadoop-keten. De map van 13 juli bevatte meer dan twaalf bestanden gericht op Apache HiveServer2, waaronder hive_rce_py2.py, dat een raw socket opent naar een interne node op poort 10000 en authenticeert met SASL PLAIN. De standaardauthenticatiemodus van HiveServer2 is NONE, die elke inloggegevens accepteert zonder ze te valideren, en het script was geschreven om precies daarop te vertrouwen. Vervolgens registreert het een kwaadaardige, door de gebruiker gedefinieerde Java-functie verpakt als HiveCmd.jar en geeft het shellopdrachten door via Hive SQL, waarbij de uitvoer via WebHDFS wordt opgehaald van een tweede interne node op poort 50070. Een afzonderlijke Ambari-payload noemt een interne HDFS DataNode bij hostnaam en richt zich op de beheerslaag, niet op de gegevens.

De rest van de toolkit volgt hetzelfde patroon van voorbereiding. Node.js-scripts met het voorvoegsel gf_ sturen een headless Chrome-instantie via een SOCKS5-proxy naar een interne GlassFish-beheerconsole, melden zich aan met standaardinloggegevens en rollen een WAR-bestand uit; Hunt.io kon niet bevestigen dat een van beide WAR-bestanden werd uitgerold. Een PHP-webshell, vermomd als een journal-cachebestand, werd geplaatst op /storage/Counter/nine/.journald-cache.php op een webserver van het ministerie. Een Perl-script, mail4.pl, test SMTP-authenticatie tegen de e-mailinfrastructuur van het ministerie met hardgecodeerde mailboxadressen en wachtwoorden die uit de geëxtraheerde tokens zijn samengesteld; Python-scripts genaamd mail_test.py en mail3.py doen hetzelfde. Een tekstbestand, alf_cookie.txt, bevat Alfresco-sessiemateriaal voor een intern adres van het ministerie. Beide mappen bevatten ook exploitcode voor CVE-2021-3156, de sudo-heapoverflow, CVE-2021-4034, PwnKit, en CVE-2017-7269, de IIS 6.0 WebDAV-overflow, samen met shellcode en paden die naar het intranet van het ministerie wijzen.

Niets hier is vernieuwende tradecraft. Wat de logs toevoegen, is dat de enumeratie continu draaide, zonder de pauzes die een menselijke operator tussen commando's laat — de notitie van de Cloud Security Alliance betoogt dat detectie die is gebouwd rond activiteit met toetsenbordtempo daar slecht bij past.

Hades, voorbereid maar niet bevestigd draaiend

De map van 10 juli was een leveringsserver: 62 gecompileerde Go-binaries, Windows PE en Linux ELF, waarvan vele de naam droegen van legitieme systeemprocessen — ctfmon, csrss, conhost en MicrosoftEdgeUpdate op Windows; kworker, multipathd en accounts-daemon op Linux. Twee dragen de naam van het project, hades_linux_amd64 en hades_windows_amd64. Hunt.io analyseerde één sample van elk platform en stelde vast dat ze uit dezelfde codebase afkomstig waren; de overige 60 delen hetzelfde formaatbereik en dezelfde buildkenmerken, maar werden niet afzonderlijk onderzocht.

Statische en dynamische analyses vonden HTTPS-command-and-control vermomd als statische webbestanden: /assets/app.min.js voor check-in, /assets/vendor.js voor taakopdrachten, /assets/main.js voor upload. Payloads zijn versleuteld met AES-256-GCM onder een hardgecodeerde sleutel per build. Omgevingsvariabelen omvatten een kill-datum, HADES_KILLDATE, en een werktijdschema waardoor het implant buiten een geconfigureerd tijdvenster in slaapstand gaat. De Windows-build blijft aanwezig via een Run-sleutel in het register en een geplande taak, wordt in het geheugen uitgevoerd door reflectief laden in een geholllowd svchost.exe, maakt screenshots via GDI en biedt een SOCKS-proxy; de Linux-build gebruikt een cronjob, een standaard PTY en shellcode-uitvoering. Beide ondersteunen gefragmenteerde, hervatbare bestandsoverdracht.

De twee geanalyseerde samples wezen naar verschillende controllers: de Windows-executable dwm_33b7.exe zendt beacon-signalen naar de staging-server op poort 443, en de Linux-binary multipathd_04d0 naar 202.181.27[.]115 op poort 12443 — de host die via de gedeelde certificaatvingerafdruk werd gevonden. Hunt.io merkt op dat de naamgeving mogelijk toeval is: in de Griekse mythologie begeleidt Hermes zielen naar Hades.

Wat geen enkele bron vaststelt, is dat Hades binnen het ministerie draait. Hunt.io heeft de binaries teruggevonden op de eigen server van de operator. De nota van de Cloud Security Alliance zegt dat geen enkel teruggevonden artefact erop wijst dat Hades een machine van het ministerie bereikt, en Dark Reading meldt dat het onderzoek niet specificeerde waar het was ingezet. De implant is een capaciteit die de operator had gebouwd en klaargezet, geen bevestigd aanwezige op een host van het ministerie.

Wie zat erachter?

Hunt.io noemde geen groep. Het beoordeelde met lage tot gemiddelde zekerheid dat de operator Chinees spreekt of zeer vertrouwd is met de taal, op basis van vier indicatoren: de geschiedenis van de host als ShadowPad-controller, infrastructuur in Hongkong, een wachtwoord voor de Hermes-webinterface dat het Chinese woord "Leishen" bevat, wat dondergod betekent, en een API-sleutel voor FOFA, een Chinese dienst voor verkenning van internetassets. Een snapshot van de omgeving vermeldt ook SSH-client 103.97.0[.]57 op AS133073 (HK Kwaifong Group Limited), die verbinding maakt met de staging-server. Niets daarvan is een toeschrijving aan een staat of een bij naam genoemd cluster, en Hunt.io zegt dat ook.

Twee dingen over de inbraak zelf blijven onbekend. Het pad van de eerste toegang is er één: "De methode van eerste toegang blijft onbekend," concludeert het rapport. Het andere is de reikwijdte. Hunt.io stelt dat actieve sessiecookies, geïmplementeerde webshells en interne netwerktoegang erop wijzen dat de operator "meerdere systemen binnen het MOF-netwerk kon compromitteren", maar waarschuwt ook dat de cookiewaarden op zichzelf geen login bewijzen, omdat Laravel aan elke bezoeker sessie- en CSRF-tokens uitgeeft. De compromittering is een beoordeling op basis van artefacten, geen bevestigde inventaris van hosts.

Wat Thailand daarna deed

Hunt.io zegt dat het en Diachenko op 15 juli 2026 de nationale CERT van Thailand en de National Cyber Security Agency hebben gemeld, en dat beide dezelfde dag de ontvangst bevestigden; de publicatie werd vervolgens zeven dagen vastgehouden. In de berichtgeving die voor dit artikel werd beoordeeld, werd geen openbare ThaiCERT-advisory gevonden die naar het ministerie verwijst.

Op 27 juli, de dag dat The Record over de inbraak berichtte, hield het Nationale Cyberveiligheidscomité van Thailand zijn tweede vergadering van 2026 en keurde het maatregelen goed gericht op AI-agentdreigingen. In de eigen lezing van de instantie staat dat het comité ThaiCERT opdroeg om AI-agentdreigingen te monitoren, analyseren en volgen, instanties die risico lopen te waarschuwen en ondersteuning te bieden bij incidentrespons en digitale forensiek; dat het sectorale CERT's opdroeg om controles en rapportage te verscherpen; en dat het proactieve stappen onderschreef, waaronder controles van systemen die aan internet zijn blootgesteld, beheer van geprivilegieerde accounts, netwerksegmentatie, back-ups en hersteltests. Het gaf ook opdracht tot richtlijnen voor veilig, transparant en auditeerbaar gebruik van AI-agenten binnen organisaties, en tot gezamenlijke oefeningen door ThaiCERT en de sectorale CERT's die AI-agentaanvallen simuleren. In de post worden het Ministerie van Financiën en Hunt.io niet genoemd, en The Record merkte op dat functionarissen “niet direct verwezen naar het Hunt.io-onderzoek”, terwijl het de maatregelen beoordeelde die kennelijk op de dreiging waren gericht. Elke causale link tussen de vergadering en deze inbraak is een gevolgtrekking, geen uitspraak van de instantie.

Theerawut Wittayakorn, adjunct-secretaris-generaal van het Nationale Cyberveiligheidcomité, zei na de vergadering dat Thailand "volledig moet kunnen profiteren van AI terwijl het de bijbehorende risico's systematisch beheert", zo meldde The Record. Het ministerie van Financiën zelf bleef stil: The Record meldde op 27 juli dat het ministerie het incident niet publiekelijk had erkend en niet op een verzoek om commentaar had gereageerd, en Dark Reading meldde de volgende dag dat de regering geen commentaar had gegeven. De vermelding in het archief, gedateerd 30 juli, vermeldt hetzelfde.

Wat is vastgesteld, wat is beoordeeld, wat ontbreekt

Het archief classificeert de vermelding als een daadwerkelijk incident, ernst kritiek, betrouwbaarheid A, onbetwist, met vastgelegde werkelijke schade en het type-label WEAPON; het is niet als mijlpaal gemarkeerd. De betrouwbaarheidsgraad beschrijft de documentatie, en die documentatie is ongewoon direct: Hunt.io archiveerde de staging-server van de operators, niet de logbestanden van een slachtoffer. Ze beschrijft geen onafhankelijke verificatie, en op dat punt is de registratie dun.

• Vastgesteld: drie open directories op één host tussen 9 en 13 juli, met 585 bestanden en 470 MB; vijf Hermes-calllogs die LinPEAS, SUID-enumeratie, het oplijsten van containers en de crawl van de web-root tonen; Hermes Agent draaiend in YOLO-modus; 62 Go-binaries, waaronder Hades; het HiveServer2-script en zijn UDF; het pad naar de web-shell; inloggegevens en sessiemateriaal; geen bewijs van exfiltratie; de melding van Hunt.io aan ThaiCERT en NCSA op 15 juli, die dezelfde dag werd bevestigd.

• Beoordeeld: dat de operator Chineessprekend is, met laag tot gemiddeld vertrouwen; dat meerdere systemen van het ministerie zijn gecompromitteerd; dat de NCSA-maatregelen van 27 juli een reactie op deze inbraak waren.

• Ontbrekend: het initiële toegangspad; hoeveel hosts of records de operator heeft bereikt; of er bestanden het netwerk hebben verlaten; enige bevestiging van het ministerie; enig openbaar ThaiCERT-advies; enig onafhankelijk forensisch onderzoek.

Een secundaire bron ging verder dan het primaire rapport. De Chinees-talige veiligheidsdigest van iThome voor 27 juli, waarin hetzelfde onderzoek van Hunt.io wordt samengevat, stelt dat de indringers binnenkwamen via een PHP-webshell op een naar internet blootgestelde server van een ministerie en dat de omgeving ten minste 47 hosts, 54,9 TB aan financiële gegevens van de overheid, 14 Microsoft SQL-databases, biometrische systemen en een remote-desktopgateway bevatte. Geen van die cijfers komt voor in het rapport van Hunt.io, dat zegt dat de methode voor de eerste toegang onbekend blijft, en de archiefvermelding volgt het rapport. Lezers die de grotere aantallen hebben gezien, moeten deze beschouwen als niet ondersteund door de primaire bron.

Onafhankelijke berichtgeving bestaat, maar onafhankelijk bewijs niet. The Record (27 juli), Dark Reading (28 juli) en de Cloud Security Alliance (26 juli) baseren zich allemaal op gegevens van Hunt.io; geen enkele beschrijft een eigen forensisch onderzoek, toegang tot slachtoffers of analyse van monsters. Dark Reading voegt een interview toe met Esteban Borges, hoofd onderzoek bij Hunt.io, die zegt dat het bedrijf geen bewijs van exfiltratie heeft gevonden en dat de AI-intensieve operaties die hij heeft gezien meer achterlaten, niet minder. The Record voegt de verklaring van de NCSA toe. De CSA-notitie voegt analyse toe, en één nuttige waarschuwing: geen enkel teruggevonden artefact toont Hades op een machine van een ministerie. Naast die toevoegingen zijn de incidentfeiten in de berichtgeving te herleiden tot dezelfde primaire bron.

Wat verdedigers te horen kregen

De aanbevelingen van Hunt.io pakken de onderdelen met duidelijke oplossingen aan. Controleer de authenticatiemodus van HiveServer2 en handhaaf de UDF-blokkeerlijst; doorzoek webroots recursief op PHP-bestanden met namen die met een punt beginnen en systeemcaches nabootsen; patch sudo naar versie 1.9.5p2 of hoger en controleer polkit-versies tegen CVE-2021-4034; schakel WebDAV uit op elke resterende IIS 6.0-instantie of migreer naar een ander platform; stel waarschuwingen in voor webserverprocessen die uitgaande verbindingen openen naar interne poorten zoals 10000 of 50070; en wijzig de standaardinloggegevens op GlassFish-beheerconsoles en beperk de toegang tot vertrouwde netwerken. Voor organisaties die agentframeworks gebruiken, voegt de Cloud Security Alliance een beheersmaatregel toe die hier van belang zou zijn geweest: controleer of ergens een onbeheerde modus of een YOLO-equivalente modus is ingeschakeld, en schakel deze uit tenzij er een vastgelegde reden is waarvoor het risico is geaccepteerd.

Hunt.io maakte van het incident ook een manier om andere blootgestelde panels te vinden. De Hermes-webinterface, zo stelt het bedrijf, retourneert een kenmerkende Server-header en Basic-auth-realm, en een bannerquery voor HermesWebUI leverde ongeveer 5.900 gebeurtenissen op in de voorgaande maand; een zoekopdracht naar open directories die het pad /hermes-results/ van de agent bevatten, leverde 575 treffers op. Dat zijn aantallen uit de dataset van één leverancier op het moment van publicatie, geen aantal slachtoffers, en ze veranderen wanneer panels verschijnen en verdwijnen. Het nuttige deel is de indicator: blootgestelde agentpanels en hun uitvoermappen zijn vindbaar, en zo is deze operatie aan het licht gekomen.

Het archief markeert de vermelding niet als mijlpaal, en het technische dossier ondersteunt die terughoudendheid. LinPEAS, misbruik van Hive-UDF's, standaardinloggegevens en een publiek exploit uit 2017 zijn oude tools; wat nieuw is, is de personele inzet — een agent die continu enumeratie uitvoert, en een operator die de doelgerichte voorbereiding doet. Die tweedelige opzet is wat de logboeken documenteren. Wat ze niet kunnen documenteren, is de impact: hoe ver de operator in het ministerie is doorgedrongen, wat de personeelsdossiers bevatten, of er iets het netwerk heeft verlaten. Tot het ministerie of een onafhankelijk onderzoeker die vragen beantwoordt, beschrijft het dossier een goed gedocumenteerde inbraak waarvan de kosten nog onbekend zijn.