Hermes Agent ทำงานแบบไม่มีผู้ดูแลโดยมุ่งเป้ากระทรวงการคลังของไทย และบันทึกของมันถูกปล่อยออนไลน์

ระหว่างวันที่ 9 ถึง 13 กรกฎาคม 2026 บริษัทข่าวกรองภัยคุกคาม Hunt.io และนักวิจัย Bob Diachenko พบไดเรกทอรีเปิดสามแห่งบนเซิร์ฟเวอร์สเตจจิงในฮ่องกงซึ่งเป็นส่วนหนึ่งของการบุกรุกต่อกระทรวงการคลังของไทย ไฟล์จำนวน 585 ไฟล์และข้อมูลขนาด 470 MB รวมถึงบันทึกของ Hermes Agent ซึ่งเป็นเฟรมเวิร์กเอเจนต์โอเพนซอร์สจาก Nous Research ที่ทำงานในโหมด "YOLO" โดยปิดขั้นตอนการอนุมัติโดยมนุษย์ เอเจนต์นี้ทำงานโดยไม่มีผู้ดูแล รันการตรวจสอบสิทธิ์ด้วย LinPEAS แจกแจงไบนารี SUID และไล่รวบรวมข้อมูลเว็บรูทของสำนักงานปลัดกระทรวงการคลังแบบเรียกซ้ำ พร้อมจัดทำแคตตาล็อกบันทึกข้อมูลบุคลากรย้อนหลังไปถึงปี 2012 โฮสต์เดียวกันยังมีอิมแพลนต์ภาษา Go ที่ไม่เคยมีรายงานมาก่อน ซึ่งผู้ปฏิบัติการเรียกมันว่า Hades Hunt.io ไม่พบหลักฐานว่ามีการนำไฟล์ออกไป และไม่สามารถระบุได้ว่าผู้บุกรุกเข้ามาได้อย่างไรในครั้งแรก รายการฉบับเต็ม ซึ่งลงวันที่ 30 กรกฎาคม 2026 และจัดระดับความเชื่อมั่นเป็น A อยู่ในคลังเหตุการณ์ด้าน AI เคียงข้างบันทึกการบุกรุกที่ขับเคลื่อนโดยเอเจนต์อื่น ๆ ในชุดนี้

ไดเรกทอรีเหล่านั้นอยู่บน 43.246.208[.]207 ซึ่งเป็นโฮสต์บน AS132883 (TOPIDC) ในฮ่องกง และ Attack Capture ของ Hunt.io ได้เก็บถาวรไว้เมื่อวันที่ 9, 10 และ 13 กรกฎาคม: 145 ไฟล์ จากนั้น 62 แล้วก็ 378 รวมทั้งหมด 585 ไฟล์ ไอพีนี้มีประวัติที่บันทึกไว้ในฐานะตัวควบคุม ShadowPad และกำลังรันเซิร์ฟเวอร์ command-and-control ของ VShell บนพอร์ต 21083 เมื่อ Hunt.io เข้าไปตรวจสอบ นักวิจัยกล่าวว่าพวกเขา "ไม่มีหลักฐานยืนยันหรือปฏิเสธ" ว่า VShell ถูกใช้โจมตีกระทรวงหรือไม่ ไฟล์เก็บถาวรกำหนดวันที่ของบันทึกไว้เป็น 30 กรกฎาคม 2026 งานวิจัยเบื้องหลังนั้นเก่ากว่า โดยเผยแพร่โดย Hunt.io เมื่อวันที่ 23 กรกฎาคม หลังจากช่วงเปิดเผยข้อมูลเจ็ดวัน และได้รับการรายงานโดย The Record เมื่อวันที่ 27 กรกฎาคม และ Dark Reading เมื่อวันที่ 28 กรกฎาคม

บันทึกการโทรทั้งห้ารายการของเอเจนต์

ภายในไดเรกทอรีวันที่ 9 กรกฎาคม มีโฟลเดอร์ชื่อ hermes-results ซึ่งบรรจุไฟล์ห้าไฟล์ โดยแต่ละไฟล์มีชื่อ call_00_ ตามด้วยสตริงแบบสุ่ม Hunt.io อธิบายว่าไฟล์เหล่านี้เป็นบันทึกการเรียกของเอเจนต์เอง และสรุปสิ่งที่แต่ละครั้งส่งกลับมา ไฟล์แรกเป็นการประเมินการยกระดับสิทธิ์และการสแกนช่องโหว่เคอร์เนลกับโฮสต์ของกระทรวง ไฟล์ที่สองคือการรัน LinPEAS ครั้งที่สอง ซึ่งแจกแจงบริการ ไฟล์ที่สามแจกแจงไบนารี SUID และ SGID ด้วย find ไฟล์ที่สี่แสดงรายการคอนเทนเนอร์และระบบไฟล์ และมีข้อผิดพลาด broken-pipe คั่นเป็นระยะ ซึ่ง Hunt.io ตีความว่าเอเจนต์สร้างเอาต์พุตมากเกินกว่าที่เซิร์ฟเวอร์จะรับได้ ไฟล์ที่ห้าคือไฟล์ที่สำคัญที่สุด: การค้นหาแบบเรียกซ้ำในเว็บรูทที่เชื่อมโยงกับสำนักงานปลัดกระทรวง ซึ่งเก็บเอกสาร Office มาตรฐาน แบบฟอร์มประเมินผลการปฏิบัติงาน และบันทึกข้อมูลบุคลากรย้อนหลังไปถึงปี 2012

ทั้งหมดนั้นไม่จำเป็นต้องมีคนอยู่ที่คีย์บอร์ด Hunt.io กล่าวว่าผู้ปฏิบัติการได้รัน Hermes Agent "ในโหมดไม่ต้องมีคนเฝ้า หรือโหมด YOLO โดยข้ามข้อความแจ้งขออนุมัติสำหรับคำสั่งที่อาจถือได้ว่าเป็นอันตราย" เฟรมเวิร์กนี้เปิดตัวในเดือนกุมภาพันธ์ 2026 ทำงานเป็นดีมอนแบบคงอยู่ถาวรและเก็บหน่วยความจำข้ามเซสชัน ส่วน YOLO คือตัวเลือกที่ลบข้อความแจ้งขออนุมัติเหล่านั้นออก Hunt.io รายงานว่าโครงการนี้มีดาว GitHub เกิน 140,000 ดวงภายในเดือนกรกฎาคม 2026 การวิเคราะห์บันทึกของ Cloud Security Alliance อธิบายว่าเอเจนต์ประเมินแต่ละผลลัพธ์และเลือกขั้นตอนถัดไป — ซึ่งเป็นเวิร์กโฟลว์ที่เมื่อมองจากภายนอกคล้ายกับวิธีที่นักวิเคราะห์มนุษย์จะดำเนินการ แต่ด้วยความเร็วของเครื่อง

Hunt.io ระมัดระวังเกี่ยวกับสิ่งที่บันทึกยืนยัน การครอว์ลเว็บรูทแสดงให้เห็นว่าเอเจนต์เข้าถึงไฟล์บุคลากร แต่ไม่ได้แสดงว่าไฟล์เหล่านั้นถูกนำออกไป รายงานระบุว่า “ไม่มีหลักฐานว่าไฟล์ถูกส่งออกไปภายนอก” สรุปเกี่ยวกับเซิร์ฟเวอร์ทั้งหมดคือ ไฟล์เหล่านั้น “บรรยายถึงการบุกรุกที่ยังดำเนินอยู่: มีการจัดวางเครื่องมือ การเข้าถึงภายในขยายวงขึ้น และไม่มีสัญญาณว่าข้อมูลได้ออกจากเครือข่าย แม้ว่าผู้ปฏิบัติการกำลังจัดหมวดหมู่เนื้อหาเว็บอย่างชัดเจน”

งานที่มนุษย์ยังคงทำอยู่

การแบ่งงานกันทำเป็นสิ่งที่มีประโยชน์ที่สุดในรายงานฉบับนี้ เอเจนต์รับผิดชอบการสำรวจข้อมูลทั่วไปที่ทำซ้ำได้ ซึ่งเป็นงานที่สามารถเขียนสคริปต์ได้และไม่ต้องมีความรู้เกี่ยวกับเป้าหมาย ผู้ปฏิบัติงานจัดหาสิ่งที่เอเจนต์ไม่สามารถรู้ได้ ได้แก่ รายการคำรหัสผ่านที่สร้างจากคำย่อของหน่วยงานภายในและโครงการต่าง ๆ ของกระทรวง ชื่อโฮสต์ภายใน ที่อยู่ที่ไม่สามารถกำหนดเส้นทางได้ และสคริปต์ที่เขียนขึ้นสำหรับบริการเฉพาะ บันทึกวิจัยของ Cloud Security Alliance ที่เผยแพร่เมื่อวันที่ 26 กรกฎาคม ชี้ประเด็นเดียวกันว่า มนุษย์ยังคงรักษา "เทคนิคการปฏิบัติงานเฉพาะเป้าหมาย" ไว้ ขณะที่เอเจนต์ทำงานในส่วนที่ขยายขนาดได้

ตัวอย่างที่ชัดเจนที่สุดคือห่วงโซ่ Hadoop ไดเรกทอรีวันที่ 13 กรกฎาคมมีไฟล์มากกว่าสิบสองไฟล์ที่มุ่งเป้าไปที่ Apache HiveServer2 รวมถึง hive_rce_py2.py ซึ่งเปิดซ็อกเก็ตแบบ raw ไปยังโหนดภายในบนพอร์ต 10000 และยืนยันตัวตนด้วย SASL PLAIN โหมดการยืนยันตัวตนเริ่มต้นของ HiveServer2 คือ NONE ซึ่งยอมรับข้อมูลรับรองใด ๆ โดยไม่ตรวจสอบความถูกต้อง และสคริปต์ถูกเขียนขึ้นเพื่ออาศัยพฤติกรรมดังกล่าวโดยเฉพาะ จากนั้นจึงลงทะเบียนฟังก์ชันที่ผู้ใช้กำหนดเองใน Java ที่เป็นอันตรายซึ่งแพ็กเกจเป็น HiveCmd.jar และส่งคำสั่งเชลล์ผ่าน Hive SQL โดยดึงผลลัพธ์ผ่าน WebHDFS จากโหนดภายในตัวที่สองบนพอร์ต 50070 เพย์โหลด Ambari แยกต่างหากอีกรายการระบุ HDFS DataNode ภายในด้วยชื่อโฮสต์ โดยมุ่งโจมตีชั้นการจัดการแทนที่จะเป็นข้อมูล

ส่วนที่เหลือของชุดเครื่องมือเป็นไปตามรูปแบบการเตรียมการเดียวกัน สคริปต์ Node.js ที่ขึ้นต้นด้วย gf_ จะขับเคลื่อนอินสแตนซ์ Chrome แบบ headless ผ่านพร็อกซี SOCKS5 เพื่อเข้าถึงคอนโซลผู้ดูแลระบบ GlassFish ภายใน ล็อกอินด้วยข้อมูลรับรองเริ่มต้น และติดตั้งไฟล์ WAR; Hunt.io ไม่สามารถยืนยันได้ว่ามี WAR ตัวใดถูกติดตั้งหรือไม่ เว็บเชลล์ PHP ที่ปลอมตัวเป็นไฟล์แคช journal ถูกวางไว้ที่ /storage/Counter/nine/.journald-cache.php บนเว็บเซิร์ฟเวอร์ของกระทรวง สคริปต์ Perl ชื่อ mail4.pl ทดสอบการยืนยันตัวตน SMTP กับโครงสร้างพื้นฐานอีเมลของกระทรวง โดยใช้ที่อยู่อีเมลแบบฮาร์ดโค้ดและรหัสผ่านที่สร้างจากโทเค็นที่ถูกสกัดออกมา สคริปต์ Python ชื่อ mail_test.py และ mail3.py ก็ทำเช่นเดียวกัน ไฟล์ข้อความ alf_cookie.txt เก็บข้อมูลเซสชัน Alfresco สำหรับที่อยู่ภายในของกระทรวง ทั้งสองไดเรกทอรีมีโค้ดเอ็กซ์พลอยต์สำหรับ CVE-2021-3156 ซึ่งเป็นช่องโหว่ heap overflow ของ sudo, CVE-2021-4034 หรือ PwnKit และ CVE-2017-7269 ซึ่งเป็นช่องโหว่ WebDAV overflow ของ IIS 6.0 พร้อมด้วยเชลล์โค้ดและพาธที่ชี้ไปยังอินทราเน็ตของกระทรวง

ไม่มีอะไรในนี้ที่เป็นเทคนิคเฉพาะทางแบบใหม่ สิ่งที่ล็อกเพิ่มเข้ามาคือการแจกแจงทำงานอย่างต่อเนื่อง โดยไม่มีช่วงหยุดพักที่ผู้ปฏิบัติงานที่เป็นมนุษย์เว้นไว้ระหว่างคำสั่ง — บันทึกของ Cloud Security Alliance โต้ว่าการตรวจจับที่ออกแบบโดยอิงกับกิจกรรมในจังหวะการพิมพ์คีย์บอร์ดนั้นเข้ากันได้ไม่ดีกับพฤติกรรมนี้

Hades, เตรียมไว้แล้วแต่ยังไม่ยืนยันว่ากำลังรันอยู่

ไดเรกทอรีวันที่ 10 กรกฎาคมเป็นเซิร์ฟเวอร์สำหรับส่งมอบไฟล์: ไบนารี Go ที่คอมไพล์แล้ว 62 ไฟล์ ทั้ง Windows PE และ Linux ELF โดยหลายไฟล์ตั้งชื่อเลียนแบบโปรเซสระบบที่ชอบด้วยกฎหมาย — ctfmon, csrss, conhost และ MicrosoftEdgeUpdate บน Windows; kworker, multipathd และ accounts-daemon บน Linux มีสองไฟล์ที่ใช้ชื่อของโปรเจกต์ คือ hades_linux_amd64 และ hades_windows_amd64 Hunt.io ได้วิเคราะห์ตัวอย่างหนึ่งไฟล์จากแต่ละแพลตฟอร์มและพบว่ามาจากฐานโค้ดเดียวกัน ส่วนอีก 60 ไฟล์ที่เหลือมีช่วงขนาดและลักษณะการบิลด์เดียวกัน แต่ไม่ได้รับการตรวจสอบเป็นรายไฟล์

การวิเคราะห์แบบสแตติกและไดนามิกพบช่องทางการสั่งการและควบคุม (command-and-control) ผ่าน HTTPS ที่ปลอมตัวเป็นไฟล์สินทรัพย์เว็บแบบสแตติก ได้แก่ /assets/app.min.js สำหรับการเช็กอิน /assets/vendor.js สำหรับการสั่งงาน และ /assets/main.js สำหรับการอัปโหลด เพย์โหลดถูกเข้ารหัสด้วย AES-256-GCM โดยใช้คีย์ที่ฮาร์ดโค้ดไว้เฉพาะแต่ละบิลด์ ตัวแปรสภาพแวดล้อมประกอบด้วยวันที่จะหยุดทำงานคือ HADES_KILLDATE และตารางเวลาทำงานที่ทำให้อิมแพลนต์หลับนอกช่วงเวลาที่กำหนดไว้ บิลด์สำหรับ Windows คงอยู่ถาวรผ่านคีย์ Registry Run และ scheduled task รันในหน่วยความจำด้วยการโหลดแบบ reflective loading เข้าไปใน svchost.exe ที่ถูก hollow ออก จับภาพหน้าจอผ่าน GDI และให้บริการ SOCKS proxy ส่วนบิลด์สำหรับ Linux ใช้ cron job, PTY มาตรฐาน และการรันเชลล์โค้ด ทั้งสองบิลด์รองรับการถ่ายโอนไฟล์แบบแบ่งชังก์ที่ทำต่อได้หลังจากหยุดชะงัก

ตัวอย่างที่วิเคราะห์ทั้งสองชี้ไปยังคอนโทรลเลอร์ที่แตกต่างกัน: ไฟล์ปฏิบัติการ Windows ชื่อ dwm_33b7.exe ส่งสัญญาณบีคอนไปยังเซิร์ฟเวอร์ staging บนพอร์ต 443 และไบนารี Linux ชื่อ multipathd_04d0 ไปยัง 202.181.27[.]115 บนพอร์ต 12443 — โฮสต์ที่พบผ่านลายนิ้วมือใบรับรองที่ใช้ร่วมกัน Hunt.io ตั้งข้อสังเกตว่าการตั้งชื่ออาจเป็นเรื่องบังเอิญ: ในตำนานกรีก Hermes นำวิญญาณไปยัง Hades

สิ่งที่ไม่มีแหล่งข่าวใดยืนยันได้คือ Hades กำลังทำงานอยู่ภายในกระทรวง Hunt.io กู้คืนไบนารีจากเซิร์ฟเวอร์ของผู้ดำเนินการเอง บันทึกของ Cloud Security Alliance ระบุว่าไม่มีอาร์ติแฟกต์ที่กู้คืนมาได้ชิ้นใดแสดงว่า Hades เข้าถึงเครื่องของกระทรวง และ Dark Reading รายงานว่าการวิจัยไม่ได้ระบุว่ามันถูกติดตั้งใช้งานที่ใด อิมแพลนต์นี้เป็นขีดความสามารถที่ผู้ดำเนินการได้สร้างและเตรียมไว้ ไม่ใช่สิ่งที่ยืนยันได้ว่าฝังตัวอยู่บนโฮสต์ของกระทรวง

ใครเป็นผู้อยู่เบื้องหลัง

Hunt.io ไม่ได้ระบุชื่อกลุ่ม โดยประเมินด้วยความมั่นใจระดับต่ำถึงปานกลางว่า ผู้ปฏิบัติการเป็นผู้พูดภาษาจีนหรือมีความคุ้นเคยกับภาษานี้อย่างใกล้ชิด โดยอ้างอิงตัวบ่งชี้สี่ประการ ได้แก่ ประวัติของโฮสต์ในฐานะตัวควบคุม ShadowPad, โครงสร้างพื้นฐานในฮ่องกง, รหัสผ่านของเว็บอินเทอร์เฟซ Hermes ที่มีคำภาษาจีน "Leishen" ซึ่งหมายถึงเทพสายฟ้า และคีย์ API สำหรับ FOFA ซึ่งเป็นบริการสำรวจสินทรัพย์บนอินเทอร์เน็ตของจีน สแนปช็อตสภาพแวดล้อมยังบันทึกไคลเอนต์ SSH 103.97.0[.]57 บน AS133073 (HK Kwaifong Group Limited) ที่เชื่อมต่อกับเซิร์ฟเวอร์สเตจจิง ไม่มีข้อมูลใดในนั้นเป็นการระบุว่าเป็นฝีมือของรัฐหรือคลัสเตอร์ที่มีชื่อ และ Hunt.io ก็กล่าวไว้เช่นนั้น

ยังมีสองสิ่งเกี่ยวกับการบุกรุกนี้เองที่ยังไม่ทราบแน่ชัด หนึ่งคือเส้นทางการเข้าถึงครั้งแรก: รายงานสรุปว่า "วิธีการเข้าถึงครั้งแรกยังไม่ทราบแน่ชัด" อีกสิ่งหนึ่งคือขอบเขต Hunt.io กล่าวว่าคุกกี้เซสชันที่ยังใช้งานอยู่ เว็บเชลล์ที่ถูกติดตั้ง และการเข้าถึงเครือข่ายภายใน บ่งชี้ว่าผู้โจมตี "สามารถเจาะระบบหลายระบบภายในเครือข่าย MOF" ได้ แต่ยังเตือนว่าค่าคุกกี้เพียงอย่างเดียวไม่ได้พิสูจน์การเข้าสู่ระบบ เพราะ Laravel ออกโทเค็นเซสชันและ CSRF ให้กับผู้เยี่ยมชมทุกคน การถูกบุกรุกครั้งนี้เป็นการประเมินที่สร้างขึ้นจากอาร์ติแฟกต์ ไม่ใช่รายการโฮสต์ที่ยืนยันแล้ว

สิ่งที่ประเทศไทยทำต่อไป

Hunt.io ระบุว่า Diachenko ได้แจ้ง Thailand's national CERT และ National Cyber Security Agency ของไทยเมื่อวันที่ 15 กรกฎาคม 2026 และทั้งสองหน่วยงานได้ตอบรับการรับเรื่องในวันเดียวกัน จากนั้นจึงระงับการเผยแพร่ไว้ในช่วงเวลาเจ็ดวัน ทั้งนี้ ไม่พบประกาศเตือนภัยสาธารณะของ ThaiCERT ที่อ้างถึงกระทรวงดังกล่าวในเนื้อหาข่าวที่ตรวจสอบประกอบบทความนี้

เมื่อวันที่ 27 กรกฎาคม ซึ่งเป็นวันที่ The Record รายงานการบุกรุกดังกล่าว คณะกรรมการความมั่นคงปลอดภัยไซเบอร์แห่งชาติของไทยได้จัดการประชุมครั้งที่สองในปี 2026 และอนุมัติมาตรการที่มุ่งรับมือภัยคุกคามจากเอเจนต์ AI ตามคำชี้แจงของหน่วยงานเอง ระบุว่าคณะกรรมการได้มอบหมายให้ ThaiCERT ติดตาม วิเคราะห์ และเฝ้าติดตามภัยคุกคามจากเอเจนต์ AI เตือนหน่วยงานที่มีความเสี่ยง และสนับสนุนการตอบสนองต่อเหตุการณ์และนิติวิทยาศาสตร์ดิจิทัล มอบหมายให้ CERT ภาคส่วนต่าง ๆ เข้มงวดการตรวจสอบและการรายงาน และรับรองมาตรการเชิงรุก ซึ่งรวมถึงการตรวจสอบระบบที่เชื่อมต่ออินเทอร์เน็ต การจัดการบัญชีที่มีสิทธิ์สูง การแบ่งส่วนเครือข่าย การสำรองข้อมูล และการทดสอบการกู้คืน ยังได้สั่งการให้มีแนวปฏิบัติสำหรับการใช้เอเจนต์ AI ภายในองค์กรอย่างปลอดภัย โปร่งใส และตรวจสอบย้อนหลังได้ รวมถึงการฝึกซ้อมร่วมกันระหว่าง ThaiCERT และ CERT ภาคส่วนต่าง ๆ เพื่อจำลองการโจมตีด้วยเอเจนต์ AI โพสต์ดังกล่าวไม่ได้ระบุชื่อกระทรวงการคลังหรือ Hunt.io และ The Record ตั้งข้อสังเกตว่าเจ้าหน้าที่ “ไม่ได้กล่าวถึงการสอบสวนของ Hunt.io โดยตรง” ขณะที่ประเมินว่ามาตรการเหล่านี้ดูเหมือนมุ่งเป้าไปที่ภัยคุกคามดังกล่าว ความเชื่อมโยงเชิงสาเหตุใด ๆ ระหว่างการประชุมกับการบุกรุกครั้งนี้เป็นข้อสันนิษฐาน ไม่ใช่ถ้อยแถลงของหน่วยงาน

ธีรวุฒิ วิทยากร รองเลขาธิการคณะกรรมการความมั่นคงปลอดภัยไซเบอร์แห่งชาติ กล่าวภายหลังการประชุมว่า ประเทศไทย "ต้องสามารถได้รับประโยชน์อย่างเต็มที่จาก AI พร้อมทั้งบริหารจัดการความเสี่ยงที่เกี่ยวข้องอย่างเป็นระบบ" The Record รายงาน กระทรวงการคลังเองยังคงเงียบ โดย The Record รายงานเมื่อวันที่ 27 กรกฎาคมว่า กระทรวงฯ ไม่ได้ยอมรับเหตุการณ์ดังกล่าวต่อสาธารณะ และไม่ได้ตอบสนองต่อคำขอให้แสดงความคิดเห็น และ Dark Reading รายงานในวันถัดมาว่า รัฐบาลไม่ได้แสดงความคิดเห็น บันทึกของคลังข้อมูล ซึ่งลงวันที่ 30 กรกฎาคม บันทึกไว้เช่นเดียวกัน

อะไรที่ยืนยันแล้ว อะไรที่ถูกประเมิน และอะไรที่ยังขาดอยู่

คลังข้อมูลจัดประเภทบันทึกนี้เป็นเหตุการณ์ที่เกิดขึ้นจริง โดยมีความรุนแรงระดับวิกฤต ความเชื่อมั่นระดับ A ไม่มีข้อโต้แย้ง มีการบันทึกความเสียหายที่เกิดขึ้นจริง และมีแท็กประเภท WEAPON; ไม่ได้ทำเครื่องหมายว่าเป็นเหตุการณ์สำคัญ ระดับความเชื่อมั่นนี้อธิบายถึงเอกสารประกอบ และเอกสารนั้นตรงไปตรงมาอย่างผิดปกติ: Hunt.io เก็บถาวรเซิร์ฟเวอร์ staging ของผู้ปฏิบัติการ ไม่ใช่บันทึกของเหยื่อ ระดับความเชื่อมั่นไม่ได้อธิบายถึงการตรวจสอบยืนยันโดยอิสระ และในประเด็นนั้นบันทึกมีข้อมูลจำกัด

• ระบุว่า: ไดเรกทอรีเปิดสามแห่งบนโฮสต์เดียวระหว่างวันที่ 9 ถึง 13 กรกฎาคม ซึ่งมี 585 ไฟล์และ 470 MB; บันทึกการเรียกของ Hermes ห้ารายการที่แสดง LinPEAS การแจกแจง SUID การแสดงรายการคอนเทนเนอร์ และการครอวล์เว็บรูท; Hermes Agent ทำงานในโหมด YOLO; ไบนารี Go 62 ไฟล์ รวมถึง Hades; สคริปต์ HiveServer2 และ UDF ของสคริปต์; พาธเว็บเชลล์; ข้อมูลรับรองและข้อมูลเซสชัน; ไม่มีหลักฐานการส่งข้อมูลออก; การแจ้งเตือนของ Hunt.io ไปยัง ThaiCERT และ NCSA เมื่อวันที่ 15 กรกฎาคม ซึ่งได้รับการตอบรับในวันเดียวกัน

• ประเมินว่าผู้ปฏิบัติการเป็นผู้พูดภาษาจีน โดยมีความมั่นใจระดับต่ำถึงปานกลาง; มีระบบของกระทรวงหลายระบบถูกบุกรุก; และมาตรการของ NCSA เมื่อวันที่ 27 กรกฎาคมเป็นการตอบสนองต่อการบุกรุกครั้งนี้

• ข้อมูลที่ยังขาด: เส้นทางการเข้าถึงเริ่มต้น; จำนวนโฮสต์หรือระเบียนที่ผู้ดำเนินการเข้าถึง; มีไฟล์ใดออกจากเครือข่ายหรือไม่; การยืนยันจากกระทรวง; ประกาศสาธารณะจาก ThaiCERT; การตรวจสอบทางนิติวิทยาศาสตร์โดยอิสระ

แหล่งข่าวทุติยภูมิแหล่งหนึ่งให้รายละเอียดมากกว่าที่รายงานหลักระบุ บทสรุปข่าวความปลอดภัยภาษาจีนของ iThome ประจำวันที่ 27 กรกฎาคม ซึ่งสรุปงานวิจัยของ Hunt.io ชิ้นเดียวกัน ระบุว่าผู้บุกรุกเข้ามาผ่านเว็บเชลล์ PHP บนเซิร์ฟเวอร์ของกระทรวงที่เชื่อมต่อกับอินเทอร์เน็ต และสภาพแวดล้อมนั้นมีโฮสต์อย่างน้อย 47 โฮสต์ ข้อมูลการเงินของรัฐบาล 54.9 TB ฐานข้อมูล Microsoft SQL 14 ฐาน ระบบไบโอเมตริก และเกตเวย์รีโมทเดสก์ท็อป ไม่มีตัวเลขใดในนั้นปรากฏในรายงานของ Hunt.io ซึ่งระบุว่าวิธีการเข้าถึงในระยะแรกยังไม่ทราบ และบันทึกของคลังข้อมูลเป็นไปตามรายงาน ผู้อ่านที่เห็นตัวเลขที่มากกว่านั้นควรถือว่าตัวเลขเหล่านั้นไม่มีแหล่งข้อมูลปฐมภูมิรองรับ

มีรายงานข่าวอิสระอยู่ แต่หลักฐานอิสระกลับไม่มี The Record (27 กรกฎาคม), Dark Reading (28 กรกฎาคม) และ Cloud Security Alliance (26 กรกฎาคม) ต่างอ้างอิงข้อมูลของ Hunt.io; ไม่มีรายใดอธิบายการตรวจสอบทางฟอเรนซิกของตนเอง การเข้าถึงเหยื่อ หรือการวิเคราะห์ตัวอย่าง Dark Reading เสริมด้วยบทสัมภาษณ์ Esteban Borges หัวหน้าฝ่ายวิจัยของ Hunt.io ซึ่งกล่าวว่าบริษัทไม่พบหลักฐานการขโมยข้อมูลออกไป และปฏิบัติการที่ใช้ AI อย่างหนักซึ่งเขาเคยเห็นนั้นทิ้งร่องรอยไว้มากกว่า ไม่ใช่น้อยกว่า The Record เสริมด้วยแถลงการณ์ของ NCSA บันทึกของ CSA เสริมการวิเคราะห์ และคำเตือนที่มีประโยชน์หนึ่งประการ: ไม่มีสิ่งที่กู้คืนได้ชิ้นใดแสดงว่า Hades อยู่บนเครื่องของกระทรวง นอกเหนือจากส่วนเสริมเหล่านั้น ข้อเท็จจริงของเหตุการณ์ในการรายงานข่าวทั้งหมดสืบย้อนไปยังรายงานต้นทางฉบับเดียวกัน

สิ่งที่ผู้พิทักษ์ได้รับแจ้ง

ข้อแนะนำของ Hunt.io จัดการกับส่วนต่าง ๆ ด้วยแนวทางแก้ไขที่ชัดเจน ตรวจสอบโหมดการรับรองความถูกต้องของ HiveServer2 และบังคับใช้ blocklist ของ UDF; ตรวจสอบเว็บรูทแบบเรียกซ้ำเพื่อค้นหาไฟล์ PHP ที่มีชื่อขึ้นต้นด้วยจุดซึ่งเลียนแบบแคชของระบบ; แพตช์ sudo เป็น 1.9.5p2 หรือใหม่กว่า และตรวจสอบเวอร์ชัน polkit เทียบกับ CVE-2021-4034; ปิดใช้งาน WebDAV บนอินสแตนซ์ IIS 6.0 ที่ยังเหลืออยู่ หรือย้ายออกจากแพลตฟอร์ม; แจ้งเตือนเมื่อกระบวนการของเว็บเซิร์ฟเวอร์เปิดการเชื่อมต่อขาออกไปยังพอร์ตภายใน เช่น 10000 หรือ 50070; และเปลี่ยนข้อมูลรับรองค่าเริ่มต้นบนคอนโซลผู้ดูแลระบบของ GlassFish โดยจำกัดการเข้าถึงเฉพาะเครือข่ายที่เชื่อถือได้ สำหรับองค์กรที่ใช้งานเฟรมเวิร์กเอเจนต์ Cloud Security Alliance ได้เพิ่มการควบคุมหนึ่งซึ่งจะมีความสำคัญในกรณีนี้: ตรวจสอบว่ามีการเปิดใช้งานโหมดที่ไม่ต้องมีผู้ดูแลหรือโหมดเทียบเท่า YOLO ที่ใดหรือไม่ และปิดใช้งาน เว้นแต่จะมีเหตุผลที่บันทึกไว้และยอมรับความเสี่ยงแล้ว

Hunt.io ยังเปลี่ยนเหตุการณ์นี้ให้เป็นวิธีค้นหาแผงควบคุมอื่นที่เปิดเผย กล่าวว่า อินเทอร์เฟซเว็บ Hermes ส่งคืน Server header และ Basic-auth realm ที่มีลักษณะเฉพาะ และการค้นหาแบนเนอร์สำหรับ HermesWebUI ส่งคืนเหตุการณ์ประมาณ 5,900 รายการในเดือนก่อนหน้า การค้นหาไดเรกทอรีที่เปิดอยู่ซึ่งมีเส้นทาง /hermes-results/ ของเอเจนต์ส่งคืนผลลัพธ์ 575 รายการ ตัวเลขเหล่านี้เป็นจำนวนจากชุดข้อมูลของผู้ให้บริการรายหนึ่ง ณ เวลาที่เผยแพร่ ไม่ใช่จำนวนเหยื่อ และเปลี่ยนแปลงได้เมื่อแผงควบคุมปรากฏและหายไป ส่วนที่มีประโยชน์คือตัวบ่งชี้: แผงควบคุมเอเจนต์ที่เปิดเผยและไดเรกทอรีเอาต์พุตของแผงเหล่านั้นสามารถถูกค้นพบได้ ซึ่งเป็นเหตุให้ปฏิบัติการนี้ถูกเปิดเผย

คลังข้อมูลไม่ได้ระบุรายการนี้ว่าเป็นเหตุการณ์สำคัญ และบันทึกทางเทคนิคก็สนับสนุนแนวทางที่ระมัดระวังนี้ LinPEAS การใช้ Hive UDF ในทางที่ผิด ข้อมูลรับรองค่าเริ่มต้น และช่องโหว่ที่เปิดเผยต่อสาธารณะจากปี 2017 ล้วนเป็นเครื่องมือเก่า สิ่งที่ใหม่คือการจัดกำลังคน — เอเจนต์หนึ่งรายทำการสำรวจอย่างต่อเนื่อง และผู้ปฏิบัติการอีกหนึ่งรายเตรียมการเฉพาะเจาะจงเป้าหมาย การจัดวางแบบสองส่วนนี้คือสิ่งที่บันทึกเหตุการณ์ได้บันทึกไว้ สิ่งที่บันทึกเหล่านั้นไม่อาจบันทึกได้คือผลกระทบ: ผู้ปฏิบัติการเข้าไปในกระทรวงได้ลึกเพียงใด ไฟล์บุคลากรมีเนื้อหาอะไร หรือมีสิ่งใดหลุดออกจากเครือข่ายหรือไม่ จนกว่ากระทรวงหรือผู้สอบสวนอิสระจะตอบคำถามเหล่านี้ บันทึกดังกล่าวพรรณนาถึงการบุกรุกที่ได้รับการบันทึกไว้อย่างดีซึ่งยังไม่ทราบมูลค่าความเสียหาย