Hermes Agent kördes obevakat mot Thailands finansministerium – och dess loggar lämnades online

Mellan 9 och 13 juli 2026 hittade hotintelligensföretaget Hunt.io och forskaren Bob Diachenko tre öppna kataloger på en staging-server i Hongkong som tillhörde ett intrång mot Thailands finansministerium. De 585 filerna och 470 MB material omfattade loggarna från Hermes Agent, Nous Researchs agentramverk med öppen källkod, som kördes i "YOLO"-läge med steget för mänskligt godkännande avstängt. Utan tillsyn körde det LinPEAS-behörighetskontroller, räknade upp SUID-binärer och genomsökte rekursivt en webbrot som tillhörde kansliet för den ständige sekreteraren vid finansministeriet, och katalogiserade personaluppgifter som går tillbaka till 2012. Samma värd innehöll ett tidigare orapporterat Go-implantat som operatören kallade Hades. Hunt.io hittade inga bevis för att filer hade tagits och kunde inte fastställa hur inträngarna först kom in. Det fullständiga inlägget, daterat 30 juli 2026 och graderat till förtroendegrad A, finns i AI-incidentarkivet bredvid de andra agentdrivna intrångsposterna i den här serien.

Katalogerna fanns på 43.246.208[.]207, en värd på AS132883 (TOPIDC) i Hongkong, och Hunt.io:s Attack Capture arkiverade dem den 9, 10 och 13 juli: 145 filer, sedan 62, sedan 378, totalt 585. IP-adressen hade en dokumenterad historik som ShadowPad-styrenhet och körde en VShell command-and-control-server på port 21083 när Hunt.io undersökte den. Forskarna säger att de inte har "några bevis som bekräftar eller motsäger" att VShell användes mot ministeriet. Arkivet daterar posten till den 30 juli 2026; forskningen bakom den är äldre, publicerad av Hunt.io den 23 juli efter ett sju dagars avslöjandefönster, och rapporterad av The Record den 27 juli och Dark Reading den 28 juli.

Agentens fem samtalsloggar

I katalogen för den 9 juli låg en mapp med namnet hermes-results som innehöll fem filer, var och en med namnet call_00_ följt av en slumpmässig sträng. Hunt.io beskriver dem som poster över agentens egna anrop och sammanfattar vad varje anrop returnerade. Den första är en privilegieeskaleringsbedömning och en sårbarhetsskanning av kärnan mot en värddator tillhörande ett ministerium. Den andra är en andra LinPEAS-körning som räknar upp tjänster. Den tredje räknar upp SUID- och SGID-binärer med find. Den fjärde listar containrar och filsystem och innehåller återkommande broken pipe-fel, vilket Hunt.io tolkar som att agenten producerade mer utdata än servern kunde hantera. Den femte är den viktigaste: en rekursiv sökning i webbroten som var kopplad till den ständige sekreterarens kontor, och som innehöll vanliga Office-dokument, prestationsbedömningsformulär och personalakter som sträcker sig tillbaka till 2012.

Inget av det där krävde en person vid tangentbordet. Hunt.io säger att operatören körde Hermes Agent "i obevakat läge eller YOLO-läge, med kringgående av godkännandepromptar för kommandon som kunde anses farliga." Ramverket, som släpptes i februari 2026, körs som en beständig daemon och behåller minnet mellan sessioner; YOLO är alternativet som tar bort promptarna. Hunt.io rapporterar att projektet hade passerat 140 000 GitHub-stjärnor i juli 2026. Cloud Security Alliances analys av loggarna beskriver en agent som utvärderar varje resultat och väljer nästa steg – ett arbetsflöde som utifrån sett liknar hur en mänsklig analytiker skulle fortsätta, i maskintakt.

Hunt.io är noggrann med vad loggarna fastställer. Genomsökningen av webbroten visar att agenten når personalfiler; den visar inte att de lämnar. "Det finns inga bevis för att filerna exfiltrerades," säger rapporten. Dess sammanfattning av hela servern är att filerna "beskriver ett intrång som fortfarande pågår: verktyg klargjorda, intern åtkomst expanderar, och inga tecken på att data hade lämnat nätverket, även om operatören uppenbarligen katalogiserade webbinnehåll."

Det arbete som människan fortfarande utförde

Arbetsfördelningen är det mest användbara inslaget i rapporten. Agenten hanterade generisk, repeterbar rekognosering – arbete som kan skriptas och inte kräver någon kunskap om målet. Operatören bidrog med det agenten inte kunde veta: en lösenordsordlista byggd från förkortningar av ministeriets interna avdelningar och program, interna värdnamn, icke-routbara adresser och skript skrivna kring specifika tjänster. Cloud Security Alliances forskningsnotis, publicerad den 26 juli, framför samma poäng: människan behöll "målspecifik hantverkskunskap" medan agenten skötte de delar som går att skala.

Det tydligaste exemplet är Hadoop-kedjan. Katalogen från 13 juli innehöll mer än ett dussin filer riktade mot Apache HiveServer2, inklusive hive_rce_py2.py, som öppnar en rå socket mot en intern nod på port 10000 och autentiserar med SASL PLAIN. HiveServer2s standardautentiseringsläge är NONE, vilket accepterar alla autentiseringsuppgifter utan att validera dem, och skriptet skrevs för att bygga på exakt det. Det registrerar sedan en skadlig Java-användardefinierad funktion paketerad som HiveCmd.jar och skickar skalkommandon via Hive SQL, och hämtar utdata över WebHDFS från en andra intern nod på port 50070. En separat Ambari-nyttolast namnger en intern HDFS DataNode med värdnamn och riktar sig mot hanteringslagret snarare än data.

Resten av verktygslådan följer samma förberedelsemönster. Node.js-skript med prefixet gf_ driver en headless Chrome-instans via en SOCKS5-proxy för att nå en intern GlassFish-administrativ konsol, logga in med standarduppgifter och distribuera en WAR-fil; Hunt.io kunde inte bekräfta att någon av WAR-filerna hade distribuerats. Ett PHP-webskal förklätt till en journalcachelagringsfil placerades på /storage/Counter/nine/.journald-cache.php på en webbserver tillhörande ett departement. Ett Perl-skript, mail4.pl, testar SMTP-autentisering mot departementets e-postinfrastruktur med hårdkodade postlådsadresser och lösenord byggda från de extraherade tokenarna; Python-skripten mail_test.py och mail3.py gör samma sak. En textfil, alf_cookie.txt, innehåller Alfresco-sessionsmaterial för en intern departementsadress. Båda katalogerna innehåller även exploitkod för CVE-2021-3156, sudo-heapoverflowen, CVE-2021-4034, PwnKit, och CVE-2017-7269, IIS 6.0 WebDAV-overflowen, tillsammans med shellcode och sökvägar som pekar mot departementets intranät.

Inget här är nytt hantverk. Det som loggarna tillför är att uppräkningen kördes kontinuerligt, utan de pauser som en mänsklig operatör lämnar mellan kommandon – Cloud Security Alliance-anteckningen argumenterar att detektion som byggs kring tangentbordstaktad aktivitet är dåligt matchad mot den.

Hades, förberett men inte bekräftat igångsatt

Katalogen från den 10 juli var en leveransserver: 62 kompilerade Go-binärer, Windows PE och Linux ELF, många namngivna efter legitima systemprocesser – ctfmon, csrss, conhost och MicrosoftEdgeUpdate på Windows; kworker, multipathd och accounts-daemon på Linux. Två av dem bär projektets namn, hades_linux_amd64 och hades_windows_amd64. Hunt.io analyserade ett prov från varje plattform och fann att de kom från samma kodbas; de övriga 60 har samma storleksintervall och byggkarakteristik men undersöktes inte individuellt.

Statisk och dynamisk analys hittade HTTPS-kommando- och kontrolltrafik förklädd till statiska webbresurser: /assets/app.min.js för check-in, /assets/vendor.js för uppdrag och /assets/main.js för uppladdning. Nyttolaster krypteras med AES-256-GCM under en hårdkodad nyckel per bygge. Miljövariabler omfattar ett kill-datum, HADES_KILLDATE, och ett arbetstidsschema som gör att implantatet sover utanför ett konfigurerat tidsfönster. Windowsbygget upprätthåller persistens via en Run-nyckel i registret och en schemalagd aktivitet, körs i minnet genom reflektiv laddning i en tömd svchost.exe, fångar skärmbilder via GDI och erbjuder en SOCKS-proxy; Linuxbygget använder ett cron-jobb, en standard-PTY och shellcode-körning. Båda stöder bitvis, återupptagbar filöverföring.

De två analyserade proverna pekade på olika kontrollenheter: Windows-körbara filen dwm_33b7.exe beaconar till staging-servern på port 443, och Linux-binärfilen multipathd_04d0 till 202.181.27[.]115 på port 12443 — värden som identifierades via det delade certifikatets fingeravtryck. Hunt.io noterar att namngivningen kan vara ett sammanträffande: i grekisk mytologi vägleder Hermes själar till Hades.

Det som ingen källa fastslår är att Hades kördes inne på ministeriet. Hunt.io återvann binärfilerna från operatörens egen server. Cloud Security Alliance-noten säger att inga återvunna artefakter visar att Hades nådde en maskin på ministeriet, och Dark Reading rapporterar att forskningen inte angav var den hade distribuerats. Implantatet är en kapacitet som operatören hade byggt och förberett, inte något som bekräftat finns på en värddator på ministeriet.

Vem stod bakom det?

Hunt.io namngav inte någon grupp. Det bedömde, med låg till medelhög konfidens, att operatören är kinesisktalande eller djupt bekant med språket, utifrån fyra indikatorer: värdens historik som ShadowPad-styrenhet, infrastruktur i Hongkong, ett lösenord för Hermes webbgränssnitt som innehöll det kinesiska ordet "Leishen", som betyder åskgud, och en API-nyckel för FOFA, en kinesisk tjänst för rekognosering av internetresurser. En miljöögonblicksbild registrerar också SSH-klienten 103.97.0[.]57, på AS133073 (HK Kwaifong Group Limited), som ansluter till staging-servern. Inget av detta är attribution till en stat eller ett namngivet kluster, och det säger Hunt.io också.

Två saker om själva intrånget är fortfarande okända. Den initiala åtkomstvägen är en: "Metoden för initial åtkomst är fortfarande okänd", konstaterar rapporten. Den andra är omfattningen. Hunt.io säger att aktiva sessionscookies, utplacerade webbskal och intern nätverksåtkomst tyder på att operatören "kunde kompromettera flera system inom MOF-nätverket", men varnar också för att enbart cookievärdena inte bevisar en inloggning, eftersom Laravel utfärdar sessions- och CSRF-token till alla besökare. Intrånget är en bedömning som bygger på artefakter, inte en bekräftad förteckning över värdar.

Vad Thailand gjorde härnäst

Hunt.io uppger att företaget och Diachenko meddelade Thailands nationella CERT och National Cyber Security Agency den 15 juli 2026, och att båda bekräftade mottagandet samma dag; publiceringen hölls därefter tillbaka under ett sju dagar långt fönster. Inget offentligt rådgivningsmeddelande från ThaiCERT som hänvisade till ministeriet hittades i den bevakning som granskades för den här artikeln.

Den 27 juli, dagen då The Record rapporterade om intrånget, höll Thailands nationella cybersäkerhetskommitté sitt andra möte 2026 och godkände åtgärder riktade mot hot från AI-agenter. Myndighetens egen redogörelse säger att kommittén gav ThaiCERT i uppdrag att övervaka, analysera och spåra hot från AI-agenter, varna myndigheter i riskzonen och stödja incidenthantering och digital forensik; gav sektorsspecifika CERT:ar i uppdrag att skärpa kontroller och rapportering; och godkände proaktiva åtgärder, bland annat kontroller av internetexponerade system, hantering av privilegierade konton, nätverkssegmentering, säkerhetskopior och test av återställning. Den utfärdade också riktlinjer för säker, transparent och granskningsbar användning av AI-agenter inom organisationer samt gemensamma övningar mellan ThaiCERT och de sektorsspecifika CERT:arna som simulerar attacker från AI-agenter. Inlägget nämner inte finansministeriet eller Hunt.io, och The Record noterade att tjänstemännen "inte direkt hänvisade till Hunt.io-utredningen" när de bedömde åtgärderna som till synes riktade mot hotet. Ett eventuellt orsakssamband mellan mötet och detta intrång är en slutledning, inte ett uttalande från myndigheten.

Theerawut Wittayakorn, biträdande generalsekreterare för Nationella cybersäkerhetskommittén, sade efter mötet att Thailand "måste kunna dra full nytta av AI samtidigt som man systematiskt hanterar de därmed förknippade riskerna", rapporterade The Record. Finansministeriet självt förhöll sig tyst: The Record rapporterade den 27 juli att ministeriet inte offentligt hade erkänt incidenten och inte svarat på en förfrågan om kommentar, och Dark Reading rapporterade dagen därpå att regeringen inte hade kommenterat. Arkivposten, daterad den 30 juli, anger samma sak.

Vad som är fastställt, vad som bedöms, vad som saknas

Arkivet klassificerar posten som en inträffad incident, allvarlighetsgrad kritisk, tillförlitlighet A, obestridd, med verklig skada registrerad och typtaggen WEAPON; den är inte markerad som milstolpe. Tillförlitlighetsgraden beskriver dokumentationen, och dokumentationen är ovanligt direkt: Hunt.io arkiverade operatörernas staging-server, inte en victims loggar. Den beskriver inte oberoende verifiering, och på den punkten är underlaget tunt.

• Fastställt: tre öppna kataloger på en värd mellan 9 och 13 juli, innehållande 585 filer och 470 MB; fem Hermes-anropsloggar som visar LinPEAS, SUID-enumeration, containerlistning och genomsökning av webbroten; Hermes Agent som körs i YOLO-läge; 62 Go-binärer inklusive Hades; HiveServer2-skriptet och dess UDF; sökvägen till web-shellet; autentiseringsuppgifter och sessionsmaterial; inga tecken på exfiltrering; Hunt.io:s underrättelse till ThaiCERT och NCSA den 15 juli, som kvitterades samma dag.

• Bedömt: att operatören är kinesisktalande, med låg till medelhög tillförlitlighet; att flera ministeriers system har komprometterats; att NCSA:s åtgärder den 27 juli var ett svar på detta intrång.

• Saknas: den initiala åtkomstvägen; hur många värdar eller poster operatören nådde; om någon fil lämnade nätverket; någon bekräftelse från ministeriet; någon offentlig ThaiCERT-rådgivning; någon oberoende forensisk undersökning.

En sekundär redogörelse gick längre än primärrapporten. iThomes kinesiskspråkiga säkerhetssammanfattning för den 27 juli, som sammanfattar samma Hunt.io-forskning, anger att inträngarna tog sig in via ett PHP-webskal på en internetexponerad server vid ett ministerium och att miljön innehöll minst 47 värdar, 54,9 TB statliga finansiella data, 14 Microsoft SQL-databaser, biometriska system och en fjärrskrivbordsgateway. Ingen av dessa siffror förekommer i Hunt.io:s rapport, som säger att metoden för det initiala inträdet fortfarande är okänd, och arkivets post följer rapporten. Läsare som har sett de större siffrorna bör behandla dem som utan stöd i den primära källan.

Oberoende rapportering finns, men oberoende bevis finns inte. The Record (27 juli), Dark Reading (28 juli) och Cloud Security Alliance (26 juli) bygger alla på Hunt.io:s data; ingen beskriver sin egen forensiska undersökning, åtkomst till offer eller analys av prover. Dark Reading tillägger en intervju med Hunt.io:s forskningschef, Esteban Borges, som säger att företaget inte hittade några bevis på exfiltrering och att de AI-intensiva operationer han har sett lämnar mer efter sig, inte mindre. The Record tillägger NCSA:s uttalande. CSA:s notis tillför analys, och en användbar varning: inget återvunnet artefakt visar Hades på en dator vid ett ministerium. Utöver dessa tillägg kan incidentfakta i rapporteringen härledas till samma primärrapport.

Vad försvararna fick höra

Hunt.io:s rekommendationer adresserar de delar där det finns tydliga åtgärder. Granska autentiseringsläget för HiveServer2 och tillämpa UDF-blocklistan; granska webbrottar rekursivt efter PHP-filer med namn som börjar med punkt och som imiterar systemcachar; patchа sudo till 1.9.5p2 eller senare och kontrollera polkit-versioner mot CVE-2021-4034; inaktivera WebDAV på alla kvarvarande IIS 6.0-instanser eller flytta bort från plattformen; larma när webbserverprocesser öppnar utgående anslutningar till interna portar som 10000 eller 50070; och ändra standardinloggningsuppgifter på GlassFish-administratörskonsoler och begränsa åtkomsten till betrodda nätverk. För organisationer som kör agentramverk lägger Cloud Security Alliance till en kontroll som skulle ha varit relevant här: granska om ett obevakat läge eller YOLO-motsvarande läge är aktiverat någonstans, och inaktivera det om det inte finns en loggad, riskaccepterad orsak.

Hunt.io gjorde också incidenten till ett sätt att hitta andra exponerade paneler. Enligt företaget returnerar Hermes webbgränssnitt en distinkt Server-header och Basic-auth-realm, och en bannerfråga efter HermesWebUI returnerade omkring 5 900 händelser under föregående månad; en sökning efter öppna kataloger som innehöll agentens /hermes-results/-sökväg returnerade 575 träffar. Det är siffror från en leverantörs datamängd vid publiceringen, inte ett antal offer, och de förändras när paneler dyker upp och försvinner. Det användbara är indikatorn: exponerade agentpaneler och deras utdatakataloger går att hitta, och det var så den här operationen kom i dagen.

Arkivet klassar inte posten som ett landmärke, och de tekniska uppgifterna stöder återhållsamheten. LinPEAS, missbruk av Hive UDF, standarduppgifter och ett offentligt exploit från 2017 är gamla verktyg; det nya är bemanningen – en agent som gör inventeringen kontinuerligt och en operatör som gör den målspecifika förberedelsen. Det är den tvådelade ordningen som loggarna dokumenterar. Det de inte kan dokumentera är effekten: hur långt in i ministeriet operatören kom, vad personalakterna innehöll eller om något lämnade nätverket. Fram till dess att ministeriet eller en oberoende utredare besvarar dessa frågor beskriver uppteckningen ett väl dokumenterat intrång vars kostnad fortfarande är okänd.