Hermes Agent работал без присмотра против Министерства финансов Таиланда, а его логи остались в открытом доступе

В период с 9 по 13 июля 2026 года компания по анализу угроз Hunt.io и исследователь Боб Диаченко обнаружили три открытых каталога на гонконгском сервере подготовки, связанном со вторжением в Министерство финансов Таиланда. Материалы объёмом 470 МБ в 585 файлах включали журналы Hermes Agent — открытого агентского фреймворка от Nous Research, запущенного в режиме «YOLO» с отключённым этапом человеческого одобрения. Без надзора он выполнял проверки привилегий LinPEAS, перечислял SUID-бинарники и рекурсивно обходил веб-корень, принадлежащий Управлению постоянного секретаря по финансам, каталогизируя кадровые записи, датируемые 2012 годом. На том же хосте находился ранее не упоминавшийся Go-имплант, который оператор назвал Hades. Hunt.io не обнаружила доказательств того, что файлы были похищены, и не смогла установить, как злоумышленники изначально получили доступ. Полная запись, датированная 30 июля 2026 года и оценённая уровнем достоверности A, находится в архиве инцидентов с ИИ рядом с другими записями об инцидентах, управляемых агентами, в этой серии.

Каталоги находились на 43.246.208[.]207 — хосте в AS132883 (TOPIDC) в Гонконге, — и Attack Capture от Hunt.io архивировал их 9, 10 и 13 июля: 145 файлов, затем 62, затем 378, всего 585. У этого IP была документированная история как у контроллера ShadowPad, и на момент проверки Hunt.io на порте 21083 работал командный сервер VShell. Исследователи заявляют, что у них «нет доказательств, подтверждающих или опровергающих» использование VShell против министерства. В архиве запись датирована 30 июля 2026 года; исследование, лежащее в её основе, старше, опубликовано Hunt.io 23 июля после семидневного окна раскрытия, и о нём сообщили The Record 27 июля и Dark Reading 28 июля.

Пять журналов вызовов агента

В каталоге за 9 июля находилась папка с названием hermes-results, содержащая пять файлов, каждый с именем call_00_, за которым шла случайная строка. Hunt.io описывает их как записи собственных вызовов агента и резюмирует, что вернул каждый. Первый — оценка повышения привилегий и сканирование уязвимостей ядра на хосте министерства. Второй — повторный запуск LinPEAS с перечислением служб. Третий перечисляет бинарные файлы с SUID и SGID с помощью find. Четвёртый перечисляет контейнеры и файловые системы и перемежается ошибками broken pipe, которые Hunt.io интерпретирует как то, что агент выдавал больше вывода, чем сервер мог передать. Пятый — самый важный: рекурсивный поиск по веб-корню, связанному с офисом Постоянного секретаря, где хранились стандартные документы Office, формы оценки эффективности и кадровые записи, датирующиеся 2012 годом.

Ничего из этого не требовало человека за клавиатурой. Hunt.io сообщает, что оператор запускал Hermes Agent «в режиме без присмотра или YOLO, обходя запросы на подтверждение для команд, которые могут считаться опасными». Фреймворк, выпущенный в феврале 2026 года, работает как постоянный демон и сохраняет память между сессиями; YOLO — это опция, устраняющая запросы на подтверждение. Hunt.io сообщает, что к июлю 2026 года проект преодолел отметку в 140 000 звёзд на GitHub. Анализ журналов Cloud Security Alliance описывает агента, который оценивает каждый результат и выбирает следующий шаг, — рабочий процесс, который со стороны напоминает то, как действовал бы человек-аналитик, но в машинном темпе.

Hunt.io осторожно относится к тому, что подтверждают журналы. Обход корневого веб-каталога показывает, что агент добирается до кадровых файлов, но не показывает, что они покидают сервер. «Нет доказательств того, что файлы были похищены», — говорится в отчёте. Его общий вывод по всему серверу таков: файлы «описывают вторжение, которое всё ещё продолжается: инструментарий размещён, внутренний доступ расширяется, и нет признаков того, что данные покинули сеть, хотя оператор явно каталогизировал веб-содержимое».

Работа, которую человек всё ещё выполнял

Разделение труда — самое полезное в отчёте. Агент занимался общей, повторяемой разведкой — работой, которую можно автоматизировать скриптами и которая не требует знания цели. Оператор предоставил то, чего агент не мог знать: словарь паролей, составленный из аббревиатур внутренних подразделений и программ министерства, внутренних имён хостов, немаршрутизируемых адресов, а также скрипты, написанные под конкретные сервисы. Исследовательская записка Cloud Security Alliance, опубликованная 26 июля, подтверждает ту же мысль: человек сохранил «специфичные для цели приёмы разведки», тогда как агент выполнял масштабируемые части.

Наиболее наглядный пример — цепочка Hadoop. Каталог за 13 июля содержал более десятка файлов, нацеленных на Apache HiveServer2, включая hive_rce_py2.py, который открывает raw-сокет к внутреннему узлу на порту 10000 и проходит аутентификацию с помощью SASL PLAIN. Режим аутентификации HiveServer2 по умолчанию — NONE, который принимает любые учетные данные без их проверки, и скрипт был написан в расчете именно на это. Затем он регистрирует вредоносную пользовательскую функцию Java, упакованную как HiveCmd.jar, и передает команды оболочки через Hive SQL, извлекая вывод через WebHDFS со второго внутреннего узла на порту 50070. Отдельная полезная нагрузка Ambari указывает внутренний HDFS DataNode по имени хоста, атакуя уровень управления, а не данные.

Остальная часть инструментария следует той же схеме подготовки. Скрипты Node.js с префиксом gf_ управляют экземпляром headless Chrome через прокси SOCKS5, чтобы достичь внутренней административной консоли GlassFish, войти с учётными данными по умолчанию и развернуть WAR-файл; Hunt.io не смогла подтвердить, что хотя бы один из WAR-файлов был развёрнут. PHP-веб-шелл, замаскированный под файл кэша журнала, был размещён по адресу /storage/Counter/nine/.journald-cache.php на веб-сервере министерства. Perl-скрипт mail4.pl проверяет аутентификацию SMTP на почтовой инфраструктуре министерства с жёстко заданными адресами почтовых ящиков и паролями, составленными из извлечённых токенов; Python-скрипты mail_test.py и mail3.py делают то же самое. Текстовый файл alf_cookie.txt содержит сессионные данные Alfresco для внутреннего адреса министерства. Оба каталога также содержат эксплойт-код для CVE-2021-3156 (переполнение кучи в sudo), CVE-2021-4034 (PwnKit) и CVE-2017-7269 (переполнение WebDAV в IIS 6.0), а также шелл-код и пути, указывающие на интранет министерства.

Ничего нового в этих приёмах нет. Журналы добавляют то, что перечисление выполнялось непрерывно — без пауз, которые оператор-человек оставляет между командами; в записке Cloud Security Alliance утверждается, что обнаружение, построенное вокруг активности в темпе клавиатурного ввода, плохо соответствует этому.

Hades: подготовлен, но работа не подтверждена

Каталог от 10 июля представлял собой сервер доставки: 62 скомпилированных бинарника Go — Windows PE и Linux ELF, многие названы в честь легитимных системных процессов: ctfmon, csrss, conhost и MicrosoftEdgeUpdate в Windows; kworker, multipathd и accounts-daemon в Linux. Два из них носят имя проекта — hades_linux_amd64 и hades_windows_amd64. Hunt.io проанализировала по одному образцу с каждой платформы и установила, что они происходят из одной кодовой базы; остальные 60 имеют тот же диапазон размеров и те же характеристики сборки, но по отдельности не изучались.

Статический и динамический анализ выявил HTTPS-канал управления (C2), замаскированный под статические веб-ресурсы: /assets/app.min.js для первичного выхода на связь, /assets/vendor.js для постановки задач, /assets/main.js для выгрузки. Полезные нагрузки шифруются с помощью AES-256-GCM с жестко заданным для каждой сборки ключом. Переменные среды включают дату самоуничтожения, HADES_KILLDATE и расписание рабочих часов, из-за которого имплант бездействует вне заданного временного окна. Windows-сборка закрепляется в системе через ключ Run в реестре и запланированное задание, выполняется в памяти путем рефлексивной загрузки в опустошенный svchost.exe, делает снимки экрана через GDI и предоставляет SOCKS-прокси; Linux-сборка использует задание cron, стандартный PTY и выполнение shellcode. Обе поддерживают передачу файлов частями с возможностью возобновления.

Два анализируемых образца указывали на разных контроллеров: исполняемый файл Windows dwm_33b7.exe шлёт маячки на staging-сервер через порт 443, а Linux-бинарник multipathd_04d0 — на 202.181.27[.]115 через порт 12443; этот хост был найден по общему отпечатку сертификата. Hunt.io отмечает, что такое название может быть случайным: в греческой мифологии Гермес провожает души в Аид.

Ни один источник не устанавливает, что Hades работал внутри министерства. Hunt.io восстановил бинарные файлы с собственного сервера оператора. В заметке Cloud Security Alliance говорится, что ни один восстановленный артефакт не свидетельствует о том, что Hades достиг машины министерства, а Dark Reading сообщает, что в исследовании не было указано, где именно он был развёрнут. Имплант представляет собой возможность, которую оператор создал и подготовил, а не подтверждённый резидент на хосте министерства.

Кто за этим стоял?

Hunt.io не назвал группу. Она оценила с уверенностью от низкой до средней, что оператор говорит по-китайски или хорошо знаком с языком, на основании четырёх индикаторов: история хоста как контроллера ShadowPad, инфраструктура в Гонконге, пароль веб-интерфейса Hermes, содержащий китайское слово «Leishen», означающее «бог грома», и API-ключ для FOFA — китайского сервиса разведки интернет-активов. Снимок среды также фиксирует SSH-клиент 103.97.0[.]57 на AS133073 (HK Kwaifong Group Limited), подключающийся к стейджинговому серверу. Ничто из этого не является атрибуцией государству или именованному кластеру, и Hunt.io прямо об этом говорит.

Две вещи, связанные с самим вторжением, остаются неизвестными. Одна из них — путь первоначального доступа: «Метод первоначального доступа остаётся неизвестным», — заключает отчёт. Другая — масштаб. Hunt.io сообщает, что активные сессионные cookie, развёрнутые веб-шеллы и доступ к внутренней сети указывают на то, что оператор «смог скомпрометировать несколько систем в сети MOF», но также предупреждает, что одни лишь значения cookie не доказывают вход в систему, поскольку Laravel выдаёт сессионные и CSRF-токены любому посетителю. Компрометация представляет собой оценку, основанную на артефактах, а не подтверждённый перечень хостов.

Что Таиланд предпринял затем

Hunt.io сообщает, что она и Diachenko уведомили национальный CERT Таиланда и Национальное агентство кибербезопасности 15 июля 2026 года, и что обе организации подтвердили получение в тот же день; затем публикация была задержана на семидневный срок. В материалах, изученных для этой статьи, не было найдено ни одного публичного предупреждения ThaiCERT, касающегося министерства.

27 июля, в день, когда The Record сообщило о вторжении, Национальный комитет по кибербезопасности Таиланда провёл своё второе заседание в 2026 году и утвердил меры, направленные на противодействие угрозам, связанным с ИИ-агентами. Согласно собственному сообщению ведомства, комитет поручил ThaiCERT отслеживать, анализировать и выявлять угрозы ИИ-агентов, предупреждать подверженные риску ведомства и поддерживать реагирование на инциденты и цифровую криминалистику; поставил перед отраслевыми CERT задачи по усилению проверок и отчётности; и одобрил проактивные меры, включая проверки систем, доступных из интернета, управление привилегированными учётными записями, сегментацию сети, резервное копирование и тестирование восстановления. Он также поручил подготовить руководящие принципы безопасного, прозрачного и поддающегося аудиту использования ИИ-агентов внутри организаций, а также совместные учения ThaiCERT и отраслевых CERT, имитирующие атаки ИИ-агентов. В публикации не упоминаются Министерство финансов или Hunt.io, и The Record отметило, что официальные лица «не ссылались напрямую на расследование Hunt.io», оценивая меры, по-видимому направленные на эту угрозу. Любая причинно-следственная связь между заседанием и этим вторжением является предположением, а не заявлением ведомства.

Тхирават Виттаякорн, заместитель генерального секретаря Национального комитета по кибербезопасности, после заседания заявил, что Таиланд «должен иметь возможность в полной мере получать выгоду от ИИ, системно управляя связанными с этим рисками», сообщает The Record. Само Министерство финансов отмалчивалось: 27 июля The Record сообщило, что министерство публично не признало инцидент и не ответило на запрос о комментарии, а на следующий день Dark Reading сообщило, что правительство не дало комментариев. Запись в архиве, датированная 30 июля, фиксирует то же самое.

Что установлено, что оценивается, чего не хватает

Архив классифицирует запись как реализованный инцидент, критическая серьёзность, уверенность A, неоспариваемый, с зафиксированным реальным ущербом и тегом типа WEAPON; он не помечен как знаковый. Оценка уверенности описывает документацию, и документация необычайно прямая: Hunt.io архивировал staging-сервер операторов, а не логи жертвы. Она не описывает независимую проверку, и в этом отношении запись скудна.

• Установлено:три открытых каталога на одном хосте в период с 9 по 13 июля, содержащие 585 файлов и 470 МБ; пять журналов вызовов Hermes, показывающих LinPEAS, перечисление SUID, перечисление контейнеров и сканирование веб-корня; Hermes Agent, работающий в режиме YOLO; 62 Go-бинарника, включая Hades; скрипт HiveServer2 и его UDF; путь веб-оболочки; учетные данные и материалы сеансов; отсутствие свидетельств эксфильтрации; уведомление Hunt.io в ThaiCERT и NCSA от 15 июля, подтвержденное в тот же день.

• Оценка: оператор говорит на китайском языке, уверенность — низкая–средняя; несколько систем министерства были скомпрометированы; меры NCSA от 27 июля стали ответом на это вторжение.

• Отсутствует: путь первоначального доступа; сколько хостов или записей удалось достичь оператору; покидал ли сеть какой-либо файл; подтверждение от министерства; публичное уведомление ThaiCERT; независимое криминалистическое исследование.

Один вторичный источник зашёл дальше первичного отчёта. Китайскоязычный дайджест новостей безопасности iThome за 27 июля, резюмирующий то же исследование Hunt.io, утверждает, что злоумышленники проникли через PHP-веб-шелл на сервере министерства, доступном из интернета, и что в среде было как минимум 47 хостов, 54,9 ТБ государственных финансовых данных, 14 баз данных Microsoft SQL, биометрические системы и шлюз удалённого рабочего стола. Ни одна из этих цифр не фигурирует в отчёте Hunt.io, где говорится, что метод первоначального доступа остаётся неизвестным, и архивная запись следует отчёту. Читателям, которые видели более крупные цифры, следует считать их не подтверждёнными первичным источником.

Независимые публикации есть, но независимых доказательств нет. The Record (27 июля), Dark Reading (28 июля) и Cloud Security Alliance (26 июля) все опираются на данные Hunt.io; ни одна из них не описывает собственного форензического исследования, доступа к пострадавшим или анализа образцов. Dark Reading добавляет интервью с руководителем исследований Hunt.io Эстебаном Боргесом, который говорит, что фирма не нашла доказательств эксфильтрации и что операции с активным применением ИИ, которые он видел, оставляют после себя больше следов, а не меньше. The Record добавляет заявление NCSA. Заметка CSA добавляет анализ и одно полезное предостережение: ни один восстановленный артефакт не свидетельствует о наличии Hades на компьютере министерства. Помимо этих дополнений, факты об инциденте в публикациях восходят к одному и тому же первичному отчету.

Что сказали защитникам

Рекомендации Hunt.io касаются тех частей, для которых есть чёткие исправления. Проверьте режим аутентификации HiveServer2 и применяйте блок-лист UDF; рекурсивно проверьте веб-корни на наличие PHP-файлов с именами, начинающимися с точки, которые имитируют системные кэши; обновите sudo до 1.9.5p2 или более поздней версии и проверьте версии polkit на предмет CVE-2021-4034; отключите WebDAV на любом оставшемся экземпляре IIS 6.0 или откажитесь от этой платформы; настройте оповещения о процессах веб-сервера, открывающих исходящие подключения к внутренним портам, таким как 10000 или 50070; и смените учётные данные по умолчанию на административных консолях GlassFish, ограничив доступ доверенными сетями. Для организаций, использующих фреймворки агентов, Cloud Security Alliance добавляет меру контроля, которая имела бы значение здесь: проверьте, не включён ли где-либо режим без участия оператора или эквивалент YOLO, и отключите его, если только нет зарегистрированной причины с принятым риском.

Hunt.io также превратила этот инцидент в способ находить другие открытые панели. По её словам, веб-интерфейс Hermes возвращает характерный заголовок Server и область Basic-auth, а запрос по баннеру для HermesWebUI вернул около 5 900 событий за предыдущий месяц; поиск открытых каталогов, содержащих путь агента /hermes-results/, дал 575 совпадений. Это цифры из набора данных одного поставщика на момент публикации, а не количество пострадавших, и они меняются по мере появления и исчезновения панелей. Полезной частью является индикатор: открытые панели агентов и их выходные каталоги можно обнаружить, именно так эта операция и стала известна.

Архив не помечает эту запись как веху, и технические материалы подтверждают такую сдержанность. LinPEAS, злоупотребление Hive UDF, учетные данные по умолчанию и публичный эксплойт 2017 года — старые инструменты; новым является состав исполнителей — агент, непрерывно выполняющий перечисление, и оператор, выполняющий подготовку под конкретную цель. Именно эту двухчастную схему и документируют логи. Чего они документировать не могут — так это воздействие: насколько глубоко оператор проник в министерство, что содержалось в кадровых файлах или покинуло ли что-либо сеть. Пока министерство или независимый следователь не ответит на эти вопросы, запись описывает хорошо документированное вторжение, стоимость которого все еще неизвестна.