Hermes Agent vận hành không giám sát nhắm vào Bộ Tài chính Thái Lan, và nhật ký của nó bị để lộ trực tuyến

Từ ngày 9 đến 13 tháng 7 năm 2026, công ty tình báo mối đe dọa Hunt.io và nhà nghiên cứu Bob Diachenko đã phát hiện ba thư mục mở trên một máy chủ staging ở Hồng Kông thuộc về một vụ xâm nhập nhắm vào Bộ Tài chính Thái Lan. 585 tệp và 470 MB tài liệu bao gồm nhật ký của Hermes Agent, khung tác nhân mã nguồn mở của Nous Research, được chạy ở chế độ "YOLO" với bước phê duyệt của con người bị tắt. Không có giám sát, nó đã chạy các kiểm tra đặc quyền LinPEAS, liệt kê các tệp nhị phân SUID và thu thập thông tin đệ quy một thư mục gốc web thuộc Văn phòng Thư ký Thường trực Bộ Tài chính, lập danh mục hồ sơ nhân sự có niên đại từ năm 2012. Cùng máy chủ đó còn có một implant Go chưa từng được báo cáo mà người vận hành gọi là Hades. Hunt.io không tìm thấy bằng chứng nào cho thấy các tệp đã bị lấy đi và không thể xác định cách những kẻ xâm nhập lần đầu tiên vào được. Mục đầy đủ, đề ngày 30 tháng 7 năm 2026 và được xếp hạng độ tin cậy A, nằm trong kho lưu trữ sự cố AI cùng với các bản ghi xâm nhập do tác nhân điều khiển khác trong loạt bài này.

Các thư mục nằm trên 43.246.208[.]207, một máy chủ thuộc AS132883 (TOPIDC) ở Hồng Kông, và Attack Capture của Hunt.io đã lưu trữ chúng vào các ngày 9, 10 và 13 tháng 7: 145 tệp, rồi 62, rồi 378, tổng cộng 585. IP này có lịch sử được ghi nhận là bộ điều khiển ShadowPad và đang chạy máy chủ chỉ huy và điều khiển VShell trên cổng 21083 khi Hunt.io kiểm tra. Các nhà nghiên cứu nói rằng họ "không có bằng chứng xác nhận hay phủ nhận" rằng VShell đã được sử dụng chống lại bộ. Bản lưu trữ ghi ngày của hồ sơ là 30 tháng 7 năm 2026; nghiên cứu đằng sau nó cũ hơn, được Hunt.io công bố vào ngày 23 tháng 7 sau thời hạn tiết lộ bảy ngày, và được The Record đưa tin vào ngày 27 tháng 7 và Dark Reading vào ngày 28 tháng 7.

Năm nhật ký cuộc gọi của nhân viên

Bên trong thư mục ngày 9 tháng 7 có một thư mục tên là hermes-results chứa năm tệp, mỗi tệp có tên call_00_ theo sau là một chuỗi ngẫu nhiên. Hunt.io mô tả chúng là bản ghi các lệnh gọi của chính tác nhân và tóm tắt nội dung mà mỗi lệnh trả về. Tệp đầu tiên là một đánh giá leo thang đặc quyền và quét lỗ hổng nhân chống lại một máy chủ của bộ. Tệp thứ hai là một lần chạy LinPEAS thứ hai, liệt kê các dịch vụ. Tệp thứ ba liệt kê các tệp nhị phân SUID và SGID bằng find. Tệp thứ tư liệt kê các container và hệ thống tệp và có xen kẽ các lỗi broken-pipe, mà Hunt.io hiểu là tác nhân tạo ra nhiều đầu ra hơn mức máy chủ có thể chịu được. Tệp thứ năm là tệp quan trọng nhất: một tìm kiếm đệ quy trong thư mục gốc web được kết nối với văn phòng của Thư ký thường trực, nơi chứa các tài liệu Office tiêu chuẩn, biểu mẫu đánh giá hiệu suất và hồ sơ nhân sự có niên đại từ năm 2012.

Không có phần nào trong đó cần một người ngồi trước bàn phím. Hunt.io cho biết người vận hành đã chạy Hermes Agent “ở chế độ không cần giám sát hoặc YOLO, bỏ qua các lời nhắc phê duyệt đối với những lệnh có thể bị coi là nguy hiểm.” Bộ khung này, được phát hành vào tháng 2 năm 2026, chạy như một daemon thường trực và duy trì bộ nhớ xuyên phiên; YOLO là tùy chọn loại bỏ các lời nhắc. Hunt.io báo cáo rằng dự án đã vượt qua 140.000 sao GitHub vào tháng 7 năm 2026. Phân tích của Cloud Security Alliance về các nhật ký mô tả một tác nhân đánh giá từng kết quả và chọn bước tiếp theo — một quy trình mà từ bên ngoài trông giống cách một chuyên viên phân tích con người sẽ tiến hành, nhưng với tốc độ máy.

Hunt.io thận trọng về những gì nhật ký xác nhận. Quá trình quét thư mục gốc web cho thấy tác nhân truy cập được các tệp nhân sự; nhưng không cho thấy chúng bị đưa ra ngoài. “Không có bằng chứng cho thấy các tệp đã bị rút trích trái phép,” báo cáo cho biết. Bản tóm tắt của báo cáo về toàn bộ máy chủ nói rằng các tệp “mô tả một cuộc xâm nhập vẫn đang diễn ra: công cụ đã được bố trí sẵn, quyền truy cập nội bộ đang mở rộng, và không có dấu hiệu dữ liệu đã rời khỏi mạng, mặc dù kẻ vận hành rõ ràng đang kiểm kê nội dung web.”

Công việc mà con người vẫn thực hiện

Phân công lao động là điều hữu ích nhất trong báo cáo. Tác nhân xử lý hoạt động trinh sát chung, có thể lặp lại — công việc có thể được viết kịch bản và không cần hiểu biết về mục tiêu. Người vận hành cung cấp những gì tác nhân không thể biết: một danh sách từ mật khẩu được xây dựng từ các từ viết tắt của các phòng ban nội bộ và chương trình của bộ, tên máy chủ nội bộ, địa chỉ không định tuyến, và các tập lệnh được viết xoay quanh các dịch vụ cụ thể. Ghi chú nghiên cứu của Cloud Security Alliance, công bố ngày 26 tháng 7, đưa ra cùng một luận điểm: con người giữ lại "kỹ thuật tác nghiệp đặc thù theo mục tiêu" trong khi tác nhân vận hành những phần có thể mở rộng quy mô.

Ví dụ rõ ràng nhất là chuỗi Hadoop. Thư mục ngày 13 tháng 7 chứa hơn một tá tệp nhắm vào Apache HiveServer2, bao gồm hive_rce_py2.py, tệp này mở một socket thô tới một node nội bộ trên cổng 10000 và xác thực bằng SASL PLAIN. Chế độ xác thực mặc định của HiveServer2 là NONE, chấp nhận mọi thông tin đăng nhập mà không xác minh chúng, và script được viết để dựa chính xác vào điều đó. Sau đó, nó đăng ký một hàm do người dùng định nghĩa bằng Java độc hại được đóng gói dưới dạng HiveCmd.jar và truyền các lệnh shell qua Hive SQL, truy xuất đầu ra qua WebHDFS từ một node nội bộ thứ hai trên cổng 50070. Một payload Ambari riêng nêu tên một HDFS DataNode nội bộ bằng hostname, nhắm vào lớp quản lý thay vì dữ liệu.

Phần còn lại của bộ công cụ tuân theo cùng mô thức chuẩn bị. Các tập lệnh Node.js có tiền tố gf_ điều khiển một phiên Chrome không giao diện thông qua proxy SOCKS5 để truy cập bảng điều khiển quản trị GlassFish nội bộ, đăng nhập bằng thông tin xác thực mặc định và triển khai một tệp WAR; Hunt.io không thể xác nhận rằng một trong hai tệp WAR đã được triển khai. Một web shell PHP ngụy trang thành tệp bộ nhớ đệm nhật ký đã được đặt tại /storage/Counter/nine/.journald-cache.php trên một máy chủ web của bộ. Một tập lệnh Perl, mail4.pl, kiểm tra xác thực SMTP đối với hạ tầng thư của bộ bằng các địa chỉ hộp thư được mã hóa cứng và mật khẩu được dựng từ các token đã trích xuất; các tập lệnh Python có tên mail_test.py và mail3.py cũng làm điều tương tự. Một tệp văn bản, alf_cookie.txt, chứa tư liệu phiên Alfresco cho một địa chỉ nội bộ của bộ. Cả hai thư mục cũng chứa mã khai thác cho CVE-2021-3156, lỗi tràn heap của sudo, CVE-2021-4034, PwnKit, và CVE-2017-7269, lỗi tràn WebDAV của IIS 6.0, cùng với shellcode và các đường dẫn trỏ tới mạng nội bộ của bộ.

Không có gì ở đây là kỹ thuật nghiệp vụ mới lạ. Điều mà các nhật ký bổ sung là việc liệt kê đã diễn ra liên tục, không có những khoảng dừng mà người vận hành để lại giữa các lệnh — ghi chú của Cloud Security Alliance lập luận rằng cách phát hiện được xây dựng dựa trên hoạt động có nhịp độ gõ bàn phím không phù hợp với nó.

Hades, đã được dàn dựng nhưng chưa xác nhận là đang chạy

Thư mục ngày 10 tháng 7 là một máy chủ phân phối: 62 tệp nhị phân Go đã biên dịch, Windows PE và Linux ELF, nhiều tệp được đặt tên theo các tiến trình hệ thống hợp lệ — ctfmon, csrss, conhost và MicrosoftEdgeUpdate trên Windows; kworker, multipathd và accounts-daemon trên Linux. Hai tệp mang tên của dự án, hades_linux_amd64 và hades_windows_amd64. Hunt.io đã phân tích một mẫu từ mỗi nền tảng và phát hiện chúng đến từ cùng một cơ sở mã; 60 tệp còn lại có cùng phạm vi kích thước và đặc điểm biên dịch nhưng không được kiểm tra riêng lẻ.

Phân tích tĩnh và động đã phát hiện kênh chỉ huy và điều khiển (C2) qua HTTPS được ngụy trang thành các tài nguyên web tĩnh: /assets/app.min.js dùng để check-in, /assets/vendor.js dùng để giao nhiệm vụ, /assets/main.js dùng để tải lên. Các payload được mã hóa bằng AES-256-GCM với khóa cố định theo từng bản dựng. Các biến môi trường bao gồm một ngày tự hủy (kill date), HADES_KILLDATE, và một lịch giờ làm việc khiến implant ngủ ngoài khung giờ được cấu hình. Bản dựng Windows duy trì hiện diện thông qua khóa Registry Run và một tác vụ theo lịch, thực thi trong bộ nhớ bằng reflective loading vào một svchost.exe đã bị hollowed, chụp ảnh màn hình qua GDI và cung cấp proxy SOCKS; bản dựng Linux dùng cron job, PTY tiêu chuẩn và thực thi shellcode. Cả hai đều hỗ trợ truyền tệp theo từng phần, có thể tiếp tục.

Hai mẫu được phân tích hướng tới các bộ điều khiển khác nhau: tệp thực thi Windows dwm_33b7.exe gửi beacon đến máy chủ staging trên cổng 443, còn tệp nhị phân Linux multipathd_04d0 thì hướng tới 202.181.27[.]115 trên cổng 12443 — máy chủ được phát hiện nhờ dấu vân tay chứng chỉ dùng chung. Hunt.io lưu ý rằng cách đặt tên có thể chỉ là sự trùng hợp: trong thần thoại Hy Lạp, Hermes dẫn dắt các linh hồn xuống Hades.

Điều mà không nguồn nào chứng minh được là việc Hades chạy bên trong bộ. Hunt.io đã thu hồi được các tệp nhị phân từ chính máy chủ của kẻ vận hành. Ghi chú của Cloud Security Alliance nêu rằng không có mẫu vật nào thu hồi được cho thấy Hades tiếp cận được một máy của bộ, và Dark Reading đưa tin rằng nghiên cứu không nêu rõ nó được triển khai ở đâu. Implant này là một năng lực mà kẻ vận hành đã xây dựng và dàn sẵn, chứ không phải một thứ đã được xác nhận là cư trú trên một máy chủ của bộ.

Ai đã đứng sau chuyện đó

Hunt.io không nêu tên nhóm nào. Công ty đánh giá, với độ tin cậy từ thấp đến trung bình, rằng người vận hành nói tiếng Trung hoặc rất am hiểu ngôn ngữ này, dựa trên bốn chỉ dấu: lịch sử của máy chủ với vai trò bộ điều khiển ShadowPad, hạ tầng Hồng Kông, mật khẩu giao diện web Hermes chứa từ tiếng Trung "Leishen", nghĩa là thần sấm, và một khóa API cho FOFA, một dịch vụ trinh sát tài sản internet của Trung Quốc. Một ảnh chụp nhanh môi trường cũng ghi lại máy khách SSH 103.97.0[.]57, trên AS133073 (HK Kwaifong Group Limited), đang kết nối tới máy chủ staging. Không có điều nào trong số đó là quy kết cho một quốc gia hay một cụm có tên, và Hunt.io nói rõ như vậy.

Hai điều về chính vụ xâm nhập vẫn chưa rõ. Một là đường truy cập ban đầu: "Phương thức truy cập ban đầu vẫn chưa được biết," báo cáo kết luận. Điều còn lại là phạm vi. Hunt.io cho biết cookie phiên đang hoạt động, web shell đã triển khai và quyền truy cập mạng nội bộ cho thấy kẻ vận hành "đã có thể xâm phạm nhiều hệ thống trong mạng MOF", nhưng cũng cảnh báo rằng chỉ bản thân các giá trị cookie không chứng minh được việc đăng nhập, vì Laravel cấp token phiên và CSRF cho bất kỳ khách truy cập nào. Việc xâm phạm là một đánh giá được xây dựng từ các dấu vết, không phải một bản kiểm kê máy chủ đã được xác nhận.

Thái Lan đã làm gì tiếp theo

Hunt.io cho biết công ty này và Diachenko đã thông báo cho CERT quốc gia của Thái Lan và Cơ quan An ninh mạng Quốc gia vào ngày 15 tháng 7 năm 2026, và cả hai đã xác nhận đã nhận được thông báo trong cùng ngày; sau đó việc công bố đã được giữ lại trong khung thời gian bảy ngày. Không tìm thấy bản khuyến cáo công khai nào của ThaiCERT đề cập đến bộ này trong các nội dung đưa tin được xem xét cho bài viết này.

Vào ngày 27 tháng 7, ngày The Record đưa tin về vụ xâm nhập, Ủy ban An ninh mạng Quốc gia Thái Lan đã tổ chức cuộc họp thứ hai của năm 2026 và phê duyệt các biện pháp nhằm ứng phó với mối đe dọa từ tác nhân AI. Bài đăng của chính cơ quan này cho biết ủy ban đã giao ThaiCERT theo dõi, phân tích và truy vết các mối đe dọa từ tác nhân AI, cảnh báo các cơ quan đang gặp rủi ro và hỗ trợ ứng phó sự cố cũng như điều tra kỹ thuật số; giao nhiệm vụ cho các CERT ngành tăng cường kiểm tra và báo cáo; và thông qua các bước chủ động bao gồm kiểm tra hệ thống hướng Internet, quản lý tài khoản đặc quyền, phân đoạn mạng, sao lưu và kiểm thử khôi phục. Cơ quan này cũng ban hành hướng dẫn về việc sử dụng tác nhân AI an toàn, minh bạch và có thể kiểm toán trong nội bộ tổ chức, cùng các cuộc diễn tập chung giữa ThaiCERT và các CERT ngành mô phỏng các cuộc tấn công bằng tác nhân AI. Bài đăng không nêu tên Bộ Tài chính hay Hunt.io, và The Record lưu ý rằng các quan chức "không trực tiếp đề cập đến cuộc điều tra của Hunt.io" trong khi đánh giá các biện pháp dường như nhắm tới mối đe dọa này. Bất kỳ mối liên hệ nhân quả nào giữa cuộc họp và vụ xâm nhập này đều là suy luận, không phải tuyên bố của cơ quan.

Theerawut Wittayakorn, phó tổng thư ký Ủy ban An ninh mạng Quốc gia, cho biết sau cuộc họp rằng Thái Lan "phải có khả năng hưởng lợi đầy đủ từ AI trong khi quản lý một cách có hệ thống các rủi ro liên quan", The Record đưa tin. Bản thân Bộ Tài chính vẫn im lặng: The Record đưa tin vào ngày 27 tháng 7 rằng bộ này đã không thừa nhận công khai sự cố và không phản hồi yêu cầu bình luận, và Dark Reading đưa tin vào ngày hôm sau rằng chính phủ đã không bình luận. Mục lưu trữ, đề ngày 30 tháng 7, ghi lại điều tương tự.

Những gì đã được xác lập, những gì được đánh giá, những gì còn thiếu

Kho lưu trữ phân loại mục này là một sự cố đã xảy ra, mức độ nghiêm trọng là tới hạn, độ tin cậy A, không bị tranh cãi, có ghi nhận thiệt hại thực tế và thẻ loại WEAPON; mục này không được đánh dấu là dấu mốc. Cấp độ tin cậy mô tả tài liệu, và tài liệu này trực tiếp một cách bất thường: Hunt.io đã lưu trữ máy chủ staging của các đối tượng vận hành, không phải nhật ký của nạn nhân. Nó không mô tả việc xác minh độc lập, và ở điểm đó, hồ sơ còn mỏng.

• Đã xác định:ba thư mục mở trên một máy chủ từ ngày 9 đến 13 tháng 7, chứa 585 tệp và 470 MB; năm nhật ký cuộc gọi Hermes cho thấy LinPEAS, liệt kê SUID, liệt kê container và quét thư mục gốc web; Hermes Agent chạy ở chế độ YOLO; 62 tệp nhị phân Go bao gồm Hades; tập lệnh HiveServer2 và UDF của nó; đường dẫn web-shell; thông tin xác thực và dữ liệu phiên; không có bằng chứng về rò rỉ dữ liệu; thông báo của Hunt.io gửi ThaiCERT và NCSA vào ngày 15 tháng 7, được xác nhận cùng ngày.

• Đánh giá: rằng tác nhân vận hành là người nói tiếng Trung, với độ tin cậy từ thấp đến trung bình; rằng nhiều hệ thống của bộ đã bị xâm phạm; rằng các biện pháp của NCSA ngày 27 tháng 7 là phản ứng đối với vụ xâm nhập này.

• Thiếu: đường truy cập ban đầu; số lượng máy chủ hoặc bản ghi mà đơn vị vận hành đã chạm tới; liệu có tệp nào rời khỏi mạng hay không; bất kỳ xác nhận nào từ bộ; bất kỳ khuyến cáo công khai nào của ThaiCERT; bất kỳ cuộc giám định pháp y độc lập nào.

Một bản tường thuật thứ cấp đã đi xa hơn báo cáo chính. Bản tin tóm tắt an ninh bằng tiếng Trung của iThome ngày 27 tháng 7, tóm tắt cùng nghiên cứu của Hunt.io, nêu rằng những kẻ xâm nhập đã vào qua một web shell PHP trên máy chủ của bộ có lộ diện trên internet và rằng môi trường có ít nhất 47 máy chủ, 54,9 TB dữ liệu tài chính chính phủ, 14 cơ sở dữ liệu Microsoft SQL, các hệ thống sinh trắc học và một cổng máy tính từ xa. Không có con số nào trong số đó xuất hiện trong báo cáo của Hunt.io, báo cáo này nói rằng phương thức truy cập ban đầu vẫn chưa được biết, và hồ sơ của kho lưu trữ tuân theo báo cáo. Những độc giả đã thấy những con số lớn hơn nên coi chúng là không được nguồn chính hỗ trợ.

Báo cáo độc lập thì có, nhưng bằng chứng độc lập thì không. The Record (ngày 27 tháng 7), Dark Reading (ngày 28 tháng 7) và Cloud Security Alliance (ngày 26 tháng 7) đều dựa vào dữ liệu của Hunt.io; không nguồn nào mô tả cuộc điều tra pháp y, việc tiếp cận nạn nhân hay phân tích mẫu của riêng mình. Dark Reading bổ sung một cuộc phỏng vấn với trưởng bộ phận nghiên cứu của Hunt.io, Esteban Borges, người nói rằng công ty không tìm thấy bằng chứng về việc rò rỉ dữ liệu và rằng các chiến dịch dựa nhiều vào AI mà ông đã thấy để lại nhiều dấu vết hơn, chứ không phải ít hơn. The Record bổ sung tuyên bố của NCSA. Ghi chú của CSA bổ sung phân tích, và một lưu ý hữu ích: không có mẫu vật nào được khôi phục cho thấy Hades trên một máy của bộ. Ngoài những bổ sung đó, các dữ kiện về sự cố trong các bài đưa tin đều bắt nguồn từ cùng một báo cáo gốc.

Các hậu vệ đã được cho biết điều gì

Các khuyến nghị của Hunt.io giải quyết những phần có cách khắc phục rõ ràng. Xem xét lại chế độ xác thực của HiveServer2 và áp đặt danh sách chặn UDF; kiểm tra đệ quy các thư mục gốc web để tìm các tệp PHP có tên bắt đầu bằng dấu chấm nhằm mô phỏng bộ nhớ đệm hệ thống; vá sudo lên phiên bản 1.9.5p2 hoặc mới hơn và kiểm tra phiên bản polkit đối chiếu với CVE-2021-4034; tắt WebDAV trên bất kỳ phiên bản IIS 6.0 nào còn lại hoặc chuyển khỏi nền tảng đó; cảnh báo khi các tiến trình máy chủ web mở các kết nối ra ngoài tới những cổng nội bộ như 10000 hoặc 50070; và thay đổi thông tin đăng nhập mặc định trên các bảng điều khiển quản trị GlassFish, đồng thời giới hạn quyền truy cập vào các mạng tin cậy. Đối với các tổ chức đang vận hành framework agent, Cloud Security Alliance bổ sung một biện pháp kiểm soát lẽ ra sẽ có ý nghĩa trong trường hợp này: kiểm tra xem có chỗ nào đang bật chế độ không cần giám sát hoặc chế độ tương đương YOLO hay không, và tắt chế độ đó trừ khi có lý do đã được ghi nhận và chấp nhận rủi ro.

Hunt.io cũng biến sự cố này thành một cách để tìm ra các bảng điều khiển bị lộ khác. Theo công ty, giao diện web Hermes trả về một tiêu đề Server và realm Basic-auth đặc trưng, và một truy vấn banner cho HermesWebUI đã trả về khoảng 5.900 sự kiện trong tháng trước; tìm kiếm các thư mục mở chứa đường dẫn /hermes-results/ của tác nhân đã trả về 575 kết quả trùng khớp. Đó là số đếm từ tập dữ liệu của một nhà cung cấp tại thời điểm công bố, không phải số lượng nạn nhân, và chúng thay đổi khi các bảng điều khiển xuất hiện và biến mất. Phần hữu ích chính là chỉ báo: các bảng điều khiển tác nhân bị lộ và thư mục đầu ra của chúng có thể được phát hiện, và đó là cách chiến dịch này được đưa ra ánh sáng.

Kho lưu trữ không đánh dấu mục này là một cột mốc, và hồ sơ kỹ thuật ủng hộ sự tiết chế đó. LinPEAS, việc lạm dụng Hive UDF, thông tin đăng nhập mặc định và một exploit công khai từ năm 2017 đều là những công cụ cũ; điều mới mẻ nằm ở việc bố trí nhân sự — một đặc vụ thực hiện việc liệt kê liên tục, và một người vận hành thực hiện việc chuẩn bị chuyên biệt cho mục tiêu. Chính sự sắp xếp hai phần đó là điều mà các bản log ghi lại. Điều chúng không thể ghi lại là tác động: người vận hành đã đi sâu đến đâu vào bộ, các hồ sơ nhân sự chứa những gì, hay liệu có bất cứ thứ gì đã rời khỏi mạng lưới. Cho đến khi bộ hoặc một điều tra viên độc lập trả lời những câu hỏi đó, hồ sơ chỉ mô tả một vụ xâm nhập được ghi chép kỹ lưỡng mà chi phí vẫn còn chưa rõ.