Agent Hermes działał bez nadzoru przeciwko Ministerstwu Finansów Tajlandii, a jego logi pozostawiono online.

W dniach od 9 do 13 lipca 2026 r. firma zajmująca się analizą zagrożeń Hunt.io oraz badacz Bob Diachenko znaleźli trzy otwarte katalogi na serwerze stagingowym w Hongkongu związanym z atakiem na Ministerstwo Finansów Tajlandii. 585 plików i 470 MB materiałów obejmowało logi Hermes Agent, framework agentowy o otwartym kodzie źródłowym od Nous Research, uruchomiony w trybie „YOLO” z wyłączonym etapem zatwierdzania przez człowieka. Działając bez nadzoru, przeprowadził kontrole uprawnień LinPEAS, wyliczył pliki binarne z bitem SUID i rekurencyjnie przeskanował katalog główny serwera WWW należący do Urzędu Stałego Sekretarza ds. Finansów, katalogując dokumentację kadrową sięgającą 2012 r. Ten sam host zawierał wcześniej niezgłoszony implant Go, który operator nazwał Hades. Hunt.io nie znalazł dowodów na wykradzenie plików i nie był w stanie ustalić, w jaki sposób intruzi po raz pierwszy weszli do systemu. Pełny wpis, datowany na 30 lipca 2026 r. i oceniony na poziom pewności A, znajduje się w archiwum incydentów AI obok innych rekordów wtargnięć napędzanych przez agentów w tej serii.

Katalogi znajdowały się na 43.246.208[.]207, hoście w AS132883 (TOPIDC) w Hongkongu, a Attack Capture firmy Hunt.io zarchiwizował je 9, 10 i 13 lipca: 145 plików, następnie 62, a potem 378, łącznie 585. Adres IP miał udokumentowaną historię jako kontroler ShadowPad i w momencie sprawdzania przez Hunt.io działał jako serwer dowodzenia i kontroli VShell na porcie 21083. Naukowcy twierdzą, że „nie mają dowodów potwierdzających ani wykluczających” użycie VShell przeciwko ministerstwu. Archiwum datuje ten rekord na 30 lipca 2026 r.; badania stanowiące jego podstawę są starsze, opublikowane przez Hunt.io 23 lipca po siedmiodniowym okresie na ujawnienie, a następnie opisane przez The Record 27 lipca i Dark Reading 28 lipca.

Pięć dzienników połączeń agenta

W katalogu z 9 lipca znajdował się folder o nazwie hermes-results zawierający pięć plików, każdy o nazwie call_00_ z losowym ciągiem znaków po niej. Hunt.io opisuje je jako zapisy własnych wywołań agenta i podsumowuje, co zwróciło każde z nich. Pierwszy to ocena eskalacji uprawnień i skan podatności jądra na hoście ministerstwa. Drugi to drugi przebieg LinPEAS, wyliczający usługi. Trzeci wylicza pliki binarne SUID i SGID za pomocą find. Czwarty zawiera listę kontenerów i systemów plików oraz jest przerywany błędami broken pipe, które Hunt.io interpretuje jako wytwarzanie przez agenta większej ilości danych wyjściowych, niż serwer mógł przenieść. Piąty jest najważniejszy: rekurencyjne przeszukanie katalogu głównego serwera WWW powiązanego z biurem Sekretarza Stałego, w którym znajdowały się standardowe dokumenty pakietu Office, formularze oceny wyników i akta personelu sięgające 2012 roku.

Nic z tego nie wymagało osoby przy klawiaturze. Hunt.io twierdzi, że operator uruchomił Hermes Agent „w trybie pracy bez nadzoru lub YOLO, z pominięciem monitów zatwierdzenia dla poleceń, które można uznać za niebezpieczne”. Ten framework, wydany w lutym 2026 r., działa jako stały demon i zachowuje pamięć między sesjami; YOLO to opcja, która usuwa monity. Hunt.io podaje, że do lipca 2026 r. projekt przekroczył 140 000 gwiazdek GitHub. Analiza logów przeprowadzona przez Cloud Security Alliance opisuje agenta oceniającego każdy wynik i wybierającego następny krok — proces, który z zewnątrz przypomina sposób postępowania ludzkiego analityka, tyle że w tempie maszyny.

Hunt.io ostrożnie podchodzi do tego, co wykazują logi. Crawl katalogu głównego witryny pokazuje, że agent dociera do plików kadrowych, ale nie pokazuje, by pliki te opuszczały serwer. „Nie ma dowodów na eksfiltrację tych plików” – czytamy w raporcie. Podsumowanie dotyczące całego serwera mówi, że pliki „opisują nadal trwające włamanie: narzędzia przygotowane, dostęp wewnętrzny się rozszerza, a przy tym brak oznak, by dane opuściły sieć, choć operator wyraźnie katalogował treści internetowe”.

Praca, którą człowiek wciąż wykonywał

Najbardziej użytecznym elementem raportu jest podział pracy. Agent zajmował się ogólnym, powtarzalnym rozpoznaniem — pracą, którą można zautomatyzować skryptem i która nie wymaga wiedzy o celu. Operator dostarczył to, czego agent nie mógł wiedzieć: listę haseł zbudowaną ze skrótów nazw wewnętrznych departamentów i programów ministerstwa, wewnętrznych nazw hostów, adresów nieroutowalnych oraz skryptów napisanych pod konkretne usługi. Nota badawcza Cloud Security Alliance, opublikowana 26 lipca, mówi to samo: człowiek zachował „wiedzę operacyjną dotyczącą konkretnego celu”, podczas gdy agent wykonywał te części, które można skalować.

Najbardziej oczywistym przykładem jest łańcuch Hadoop. Katalog z 13 lipca zawierał ponad tuzin plików wymierzonych w Apache HiveServer2, w tym hive_rce_py2.py, który otwiera surowy socket do wewnętrznego węzła na porcie 10000 i uwierzytelnia się za pomocą SASL PLAIN. Domyślnym trybem uwierzytelniania HiveServer2 jest NONE, który akceptuje dowolne poświadczenia bez ich walidacji, a skrypt został napisany, by polegać dokładnie na tym. Następnie rejestruje złośliwą funkcję zdefiniowaną przez użytkownika w Javie, zapakowaną jako HiveCmd.jar, i przekazuje polecenia powłoki przez Hive SQL, pobierając dane wyjściowe przez WebHDFS z drugiego wewnętrznego węzła na porcie 50070. Osobny ładunek Ambari wskazuje wewnętrzny HDFS DataNode po nazwie hosta, atakując warstwę zarządzania, a nie dane.

Reszta zestawu narzędzi przebiega według tego samego schematu przygotowania. Skrypty Node.js z prefiksem gf_ uruchamiają bezgłową instancję Chrome przez proxy SOCKS5, aby dotrzeć do wewnętrznej konsoli administracyjnej GlassFish, zalogować się przy użyciu domyślnych danych uwierzytelniających i wdrożyć plik WAR; Hunt.io nie mogło potwierdzić, czy którykolwiek z plików WAR został wdrożony. PHP-owy web shell zamaskowany jako plik cache dziennika umieszczono pod /storage/Counter/nine/.journald-cache.php na serwerze WWW ministerstwa. Skrypt Perla mail4.pl testuje uwierzytelnianie SMTP wobec infrastruktury pocztowej ministerstwa przy użyciu zaszytych na stałe adresów skrzynek pocztowych i haseł zbudowanych z wyodrębnionych tokenów; skrypty Pythona o nazwach mail_test.py i mail3.py robią to samo. Plik tekstowy alf_cookie.txt zawiera materiały sesji Alfresco dla wewnętrznego adresu ministerstwa. W obu katalogach znajduje się również kod exploitu dla CVE-2021-3156, przepełnienia sterty w sudo, CVE-2021-4034, PwnKit, oraz CVE-2017-7269, przepełnienia WebDAV w IIS 6.0, wraz z shellcode'em i ścieżkami wskazującymi na intranet ministerstwa.

Nic tutaj nie jest nowatorskim rzemiosłem operacyjnym. Dzienniki pokazują jednak, że enumeracja przebiegała w sposób ciągły, bez przerw, jakie człowiek operator zostawia między poleceniami — notatka Cloud Security Alliance przekonuje, że wykrywanie oparte na aktywności w tempie ludzkiego pisania na klawiaturze jest słabo do tego dopasowane.

Hades, wdrożony, ale nie potwierdzono uruchomienia

Katalog z 10 lipca był serwerem dostarczającym: 62 skompilowanych plików binarnych Go, Windows PE i Linux ELF, wiele nazwanych na wzór legalnych procesów systemowych — ctfmon, csrss, conhost i MicrosoftEdgeUpdate w Windows; kworker, multipathd i accounts-daemon w Linux. Dwa noszą nazwę projektu, hades_linux_amd64 i hades_windows_amd64. Hunt.io przeanalizowało jedną próbkę z każdej platformy i stwierdziło, że pochodzą one z tej samej bazy kodu; pozostałe 60 ma ten sam zakres rozmiarów i cechy kompilacji, ale nie zostały indywidualnie zbadane.

Analiza statyczna i dynamiczna wykryła kanał command-and-control oparty na HTTPS, ukryty jako statyczne zasoby webowe: {{1}}/assets/app.min.js{{/1}} do check-inu, {{2}}/assets/vendor.js{{/2}} do przekazywania zadań, {{3}}/assets/main.js{{/3}} do przesyłania plików. Ładunki są szyfrowane algorytmem AES-256-GCM przy użyciu zaszytego na stałe klucza dla każdej kompilacji. Zmienne środowiskowe obejmują datę zakończenia działania, {{4}}HADES_KILLDATE{{/4}}, oraz harmonogram godzin pracy, który powoduje, że implant śpi poza skonfigurowanym przedziałem czasowym. Kompilacja dla Windows utrzymuje trwałość poprzez klucz Run w rejestrze i zaplanowane zadanie, wykonuje się w pamięci przez refleksyjne ładowanie do wydrążonego {{5}}svchost.exe{{/5}}, przechwytuje zrzuty ekranu przez GDI i udostępnia proxy SOCKS; kompilacja dla Linuksa używa zadania cron, standardowego PTY i wykonywania shellcode. Obie obsługują przesyłanie plików w fragmentach z możliwością wznawiania.

Dwie analizowane próbki wskazywały na różne kontrolery: plik wykonywalny Windows {{1}}dwm_33b7.exe{{/1}} wysyła sygnały beacon do serwera stagingowego na porcie 443, a binarka dla Linuksa {{2}}multipathd_04d0{{/2}} do {{3}}202.181.27[.]115{{/3}} na porcie 12443 — hosta odnalezionego dzięki wspólnemu odciskowi certyfikatu. {{4}}Hunt.io{{/4}} zauważa, że nazewnictwo może być przypadkowe: w mitologii greckiej Hermes prowadzi dusze do Hadesu.

Żadne źródło nie ustala, że Hades działał wewnątrz ministerstwa. Hunt.io odzyskało pliki binarne z własnego serwera operatora. Nota Cloud Security Alliance stwierdza, że żaden odzyskany artefakt nie wskazuje, by Hades dotarł do maszyny ministerstwa, a Dark Reading donosi, że badanie nie określiło, gdzie go wdrożono. Implant jest zdolnością, którą operator zbudował i przygotował, a nie potwierdzonym rezydentem na hoście ministerstwa.

Kto za tym stał?

Hunt.io nie podało nazwy grupy. Oceniło z pewnością od niskiej do średniej, że operator mówi po chińsku lub jest bardzo dobrze zaznajomiony z tym językiem, na podstawie czterech wskaźników: historii hosta jako kontrolera ShadowPad, infrastruktury w Hongkongu, hasła do interfejsu webowego Hermes zawierającego chińskie słowo „Leishen”, oznaczające boga piorunów, oraz klucza API do FOFA, chińskiej usługi rozpoznawania zasobów internetowych. Snapshot środowiska również odnotowuje klienta SSH 103.97.0[.]57, w AS133073 (HK Kwaifong Group Limited), łączącego się z serwerem staging. Żadne z tych elementów nie stanowi atrybucji wobec państwa ani nazwanego klastra, i Hunt.io mówi to wprost.

Dwie rzeczy dotyczące samego włamania pozostają nieznane. Pierwszą jest ścieżka początkowego dostępu: „Metoda początkowego dostępu pozostaje nieznana” — konkluduje raport. Drugą jest zakres. Hunt.io twierdzi, że aktywne pliki cookie sesji, wdrożone web shelle i dostęp do sieci wewnętrznej wskazują, że operator „był w stanie skompromitować wiele systemów w sieci MOF”, ostrzega jednak również, że same wartości plików cookie nie dowodzą logowania, ponieważ Laravel wydaje tokeny sesji i CSRF każdemu odwiedzającemu. Włamanie to ocena oparta na artefaktach, a nie potwierdzony inwentarz hostów.

Co Tajlandia zrobiła następnie

Hunt.io podaje, że on i Diachenko powiadomili krajowy CERT Tajlandii oraz Krajową Agencję Cyberbezpieczeństwa 15 lipca 2026 r. i że oba podmioty potwierdziły otrzymanie tego samego dnia; publikację wstrzymano wówczas na siedmiodniowy okres. W materiałach przeanalizowanych na potrzeby tego artykułu nie znaleziono żadnego publicznego komunikatu ThaiCERT odnoszącego się do ministerstwa.

27 lipca, w dniu, w którym The Record poinformował o włamaniu, Krajowy Komitet Cyberbezpieczeństwa Tajlandii zwołał swoje drugie posiedzenie w 2026 r. i zatwierdził środki wymierzone w zagrożenia ze strony agentów AI. We własnym komunikacie agencja podała, że komitet wyznaczył ThaiCERT do monitorowania, analizowania i śledzenia zagrożeń ze strony agentów AI, ostrzegania zagrożonych agencji oraz wspierania reagowania na incydenty i informatyki śledczej; zobowiązał sektorowe CERT-y do zaostrzenia kontroli i sprawozdawczości; oraz poparł proaktywne działania, w tym kontrole systemów dostępnych z internetu, zarządzanie kontami uprzywilejowanymi, segmentację sieci, kopie zapasowe i testowanie odtwarzania. Zalecił także wytyczne dotyczące bezpiecznego, przejrzystego i poddającego się audytowi użytkowania agentów AI w organizacjach oraz wspólne ćwiczenia ThaiCERT i sektorowych CERT-ów symulujące ataki z użyciem agentów AI. We wpisie nie wymieniono Ministerstwa Finansów ani Hunt.io, a The Record zauważył, że urzędnicy „nie odnieśli się bezpośrednio do dochodzenia Hunt.io”, oceniając przy tym, że środki najwyraźniej są wymierzone w to zagrożenie. Wszelki związek przyczynowy między tym posiedzeniem a tym włamaniem jest domysłem, a nie stwierdzeniem agencji.

Theerawut Wittayakorn, zastępca sekretarza generalnego Narodowego Komitetu Bezpieczeństwa Cybernetycznego, powiedział po spotkaniu, że Tajlandia „musi móc czerpać pełne korzyści z AI, jednocześnie systematycznie zarządzając związanymi z tym ryzykami” – poinformał The Record. Samo Ministerstwo Finansów zachowało milczenie: The Record poinformował 27 lipca, że ministerstwo nie potwierdziło publicznie incydentu i nie odpowiedziało na prośbę o komentarz, a Dark Reading następnego dnia poinformował, że rząd nie skomentował sprawy. Wpis w archiwum datowany na 30 lipca odnotowuje to samo.

Co jest ustalone, co jest oceniane, czego brakuje

Archiwum klasyfikuje wpis jako incydent, który miał miejsce, o wadze krytycznej, pewności A, niekwestionowany, z odnotowaną realną szkodą i znacznikiem typu WEAPON; nie jest oznaczony jako wydarzenie przełomowe. Ocena pewności dotyczy dokumentacji, a ta jest wyjątkowo bezpośrednia: Hunt.io zarchiwizowało serwer staging operatorów, a nie logi ofiary. Nie mówi ona o niezależnej weryfikacji i pod tym względem zapis jest skąpy.

• Ustalono: trzy otwarte katalogi na jednym hoście w dniach od 9 do 13 lipca, zawierające 585 plików i 470 MB; pięć logów wywołań Hermes pokazujących LinPEAS, enumerację SUID, listowanie kontenerów i przeszukiwanie katalogu głównego serwera web; Hermes Agent działający w trybie YOLO; 62 pliki binarne Go, w tym Hades; skrypt HiveServer2 i jego UDF; ścieżkę web-shell; dane uwierzytelniające i sesyjne; brak dowodów na eksfiltrację; powiadomienie Hunt.io skierowane do ThaiCERT i NCSA z 15 lipca, potwierdzone tego samego dnia.

• Oceniono: że operator posługuje się językiem chińskim, z niską do średniej pewnością; że wiele systemów ministerstw zostało naruszonych; że środki NCSA z 27 lipca były odpowiedzią na to naruszenie.

• Brakuje: początkowej ścieżki dostępu; liczby hostów lub rekordów, do których dotarł operator; informacji, czy jakikolwiek plik opuścił sieć; potwierdzenia ze strony ministerstwa; jakiegokolwiek publicznego komunikatu ThaiCERT; jakiegokolwiek niezależnego badania kryminalistycznego.

Jeden wtórny przekaz zaszedł dalej niż raport pierwotny. Chińskojęzyczny przegląd bezpieczeństwa iThome z 27 lipca, podsumowujący te same badania Hunt.io, stwierdza, że intruzi weszli przez web shell PHP na wystawionym na internet serwerze ministerstwa, a środowisko zawierało co najmniej 47 hostów, 54,9 TB rządowych danych finansowych, 14 baz danych Microsoft SQL, systemy biometryczne oraz bramę pulpitu zdalnego. Żadna z tych liczb nie pojawia się w raporcie Hunt.io, który podaje, że metoda początkowego dostępu pozostaje nieznana, a zapis archiwum opiera się na raporcie. Czytelnicy, którzy widzieli większe liczby, powinni traktować je jako niepotwierdzone przez źródło pierwotne.

Niezależne reportaże istnieją, lecz niezależnych dowodów nie. The Record (27 lipca), Dark Reading (28 lipca) i Cloud Security Alliance (26 lipca) opierają się na danych Hunt.io; żaden z tych tekstów nie opisuje własnego badania kryminalistycznego, dostępu do ofiar ani analizy próbek. Dark Reading dodaje wywiad z Estebanem Borgesem, szefem działu badań Hunt.io, który twierdzi, że firma nie znalazła dowodów na eksfiltrację, a operacje w dużym stopniu oparte na AI, które zaobserwował, pozostawiają po sobie więcej, a nie mniej. The Record dodaje oświadczenie NCSA. Nota CSA dodaje analizę oraz jedną przydatną przestrogę: żaden odzyskany artefakt nie wskazuje na obecność Hadesa na maszynie ministerstwa. Poza tymi uzupełnieniami fakty dotyczące incydentu w relacjach wywodzą się z tego samego raportu pierwotnego.

Co powiedziano obrońcom

Zalecenia Hunt.io dotyczą tych obszarów, dla których istnieją jednoznaczne poprawki. Zweryfikuj tryb uwierzytelniania HiveServer2 i wymuś stosowanie listy zablokowanych UDF; przeaudytuj rekurencyjnie katalogi główne serwera WWW pod kątem plików PHP o nazwach rozpoczynających się od kropki, które imitują systemowe cache; zaktualizuj sudo do wersji 1.9.5p2 lub nowszej i sprawdź wersje polkit pod kątem CVE-2021-4034; wyłącz WebDAV w każdej pozostałej instancji IIS 6.0 albo odejdź od tej platformy; ustaw alerty dotyczące procesów serwera WWW otwierających połączenia wychodzące do portów wewnętrznych, takich jak 10000 lub 50070; oraz zmień domyślne poświadczenia w konsolach administracyjnych GlassFish, ograniczając dostęp do zaufanych sieci. Organizacjom uruchamiającym frameworki agentowe Cloud Security Alliance dodaje kontrolę, która w tym przypadku miałaby znaczenie: sprawdź, czy gdziekolwiek włączony jest tryb bez nadzoru lub odpowiednik YOLO, i wyłącz go, chyba że istnieje udokumentowany w logach powód, którego ryzyko zostało zaakceptowane.

Hunt.io wykorzystało również ten incydent jako sposób na znajdowanie innych ujawnionych paneli. Jak podaje, interfejs WWW Hermes zwraca charakterystyczny nagłówek Server i realm uwierzytelniania podstawowego, a zapytanie o banner dla HermesWebUI zwróciło około 5900 zdarzeń w poprzednim miesiącu; wyszukiwanie otwartych katalogów zawierających ścieżkę /hermes-results/ agenta zwróciło 575 trafień. Są to liczby z zestawu danych jednego dostawcy w momencie publikacji, a nie liczba ofiar, i zmieniają się wraz z pojawianiem się i znikaniem paneli. Przydatny jest wskaźnik: ujawnione panele agentów i ich katalogi wyjściowe można wykryć, i właśnie w ten sposób ta operacja wyszła na jaw.

Archiwum nie oznacza tego wpisu jako przełomowego, a dokumentacja techniczna potwierdza tę powściągliwość. LinPEAS, nadużywanie Hive UDF, domyślne dane uwierzytelniające oraz publiczny exploit z 2017 r. to stare narzędzia; nowością jest obsada — agent prowadzący enumerację w sposób ciągły i operator wykonujący przygotowania ukierunkowane na cel. To dwuczęściowe rozwiązanie dokumentują logi. Czego nie mogą udokumentować, to wpływu: jak głęboko w ministerstwie dotarł operator, co zawierały akta osobowe ani czy cokolwiek opuściło sieć. Dopóki ministerstwo lub niezależny śledczy nie odpowie na te pytania, dokumentacja opisuje dobrze udokumentowane włamanie, którego koszt pozostaje nieznany.