Hermes automatizza l’attacco al ministero delle Finanze thailandese

🛡️ Executive Summary

• Un operatore ha impiegato Hermes in modalità YOLO per automatizzare ricognizione, analisi dei privilegi e ricerca di dati nella rete ministeriale.
• L’infrastruttura esponeva credenziali, cookie di sessione, webshell e 62 payload Windows e Linux, compreso il nuovo impianto Go Hades.
• Il vettore iniziale resta sconosciuto: occorre monitorare agenti autonomi, attività LinPEAS, webshell, tunnel HTTP e accessi anomali ai sistemi Hadoop.

Un attore non identificato ha utilizzato l’agente autonomo open source Hermes per automatizzare attività di post-exploitation contro sistemi riconducibili al ministero delle Finanze della Thailandia. L’agente operava in modalità YOLO, configurazione che elimina le richieste di approvazione prima dell’esecuzione dei comandi considerati pericolosi. I file recuperati mostrano attività di enumerazione, ricerca di escalation dei privilegi e analisi di directory contenenti documenti amministrativi e dati sul personale. L’operazione includeva inoltre Hades, un impianto multipiattaforma scritto in Go, webshell, tunnel HTTP e script sviluppati specificamente per l’infrastruttura ministeriale. Il metodo impiegato per ottenere l’accesso iniziale resta sconosciuto.

Tre directory espongono l’operazione in corso

La campagna è emersa dopo l’individuazione di tre directory lasciate pubblicamente accessibili sul server 43.246.208[.]207, ospitato a Hong Kong. Tra il 9 e il 13 luglio 2026, i ricercatori hanno archiviato 585 file per circa 470 MB, contenenti exploit, webshell, credenziali, cookie di sessione, strumenti di tunneling, payload compilati e registri prodotti da Hermes. La ricostruzione tecnica pubblicata da Hunt.io attribuisce alle tre directory funzioni differenti: la prima conservava codice di attacco, materiale relativo alle sessioni ministeriali e i log dell’agente AI; la seconda distribuiva eseguibili Windows e Linux; la terza raccoglieva ulteriori exploit e file che descrivevano gli accessi interni.

Le evidenze indicano la compromissione di più sistemi, anche se il ministero non aveva confermato pubblicamente l’incidente al momento della ricerca. Cookie attivi, webshell installate e riferimenti a indirizzi non raggiungibili da Internet mostrano comunque che l’operatore disponeva di una visibilità più profonda rispetto a una semplice scansione esterna.

Hermes esegue i comandi senza approvazione umana

Hermes è un agente open source capace di funzionare come servizio persistente, mantenere memoria tra le sessioni, interagire con strumenti ed eseguire comandi sulla base degli obiettivi ricevuti. La modalità YOLO disabilita i passaggi nei quali il sistema dovrebbe chiedere a una persona l’autorizzazione prima di procedere con operazioni potenzialmente distruttive o invasive. I log recuperati mostrano che l’attore aveva deliberatamente attivato questa configurazione e lasciato l’agente libero di portare avanti attività ripetitive senza supervisione continua.

Hermes ha cercato vulnerabilità nel kernel, servizi esposti, binari SUID e SGID, container, directory sensibili e possibili percorsi di escalation dei privilegi. Ha inoltre elaborato l’output di una versione modificata di LinPEAS, strumento utilizzato per raccogliere configurazioni, permessi e debolezze sfruttabili sui sistemi Linux. L’agente non ha scelto autonomamente il ministero come obiettivo: l’operatore gli ha fornito sistemi, istruzioni e strumenti, lasciandogli però l’esecuzione concreta delle procedure. Il caso distingue quindi l’autonomia operativa dalla decisione strategica, ancora riconducibile a un essere umano.

La ricerca attraversa documenti e dati del personale

Una delle attività affidate a Hermes consisteva nell’esplorazione ricorsiva di una directory web associata all’Office of the Permanent Secretary del ministero. L’agente ha catalogato file PDF, DOC e XLS, individuando valutazioni delle prestazioni e documenti sul personale risalenti anche al 2012. Le evidenze disponibili non dimostrano che questi file siano stati effettivamente esfiltrati, ma confermano che l’attore era in grado di cercare autonomamente materiale rilevante all’interno dell’ambiente compromesso. La distinzione è importante: la presenza di dati nei log di enumerazione non equivale alla prova della loro sottrazione. Mostra però come un agente possa ridurre drasticamente il lavoro manuale necessario per classificare migliaia di file, identificare quelli potenzialmente sensibili e preparare le fasi successive dell’operazione. Lo stesso passaggio dall’assistenza all’automazione è emerso nelle campagne ransomware di JadePuffer supportate da modelli AI, dove agenti autonomi sono stati impiegati per collegare ricognizione, furto di credenziali, movimento laterale ed esecuzione dei payload.

Gli script colpiscono Hadoop e i pannelli amministrativi

I file esposti contenevano riferimenti diretti a hostname, indirizzi interni e servizi del ministero. Gli obiettivi comprendevano un pannello amministrativo, un cluster Apache Hadoop, la relativa piattaforma di gestione Ambari, infrastrutture email e una console GlassFish. Uno script utilizzava credenziali incorporate per connettersi a HiveServer2, mentre una funzione utente malevola di Hive consentiva di eseguire comandi e restituirne l’output attraverso WebHDFS. Questo livello di personalizzazione indica che l’attore non stava distribuendo una batteria generica di exploit contro bersagli casuali, ma aveva preparato strumenti destinati alla topologia specifica della vittima.

Nelle directory comparivano inoltre codici per vulnerabilità note, tra cui CVE-2021-4034, conosciuta come PwnKit, CVE-2021-3156 in sudo e CVE-2017-7269 in IIS WebDAV. La presenza degli exploit non prova che ciascuna falla sia stata utilizzata con successo, ma descrive un arsenale predisposto per sistemi Windows e Linux con livelli di aggiornamento differenti.

Hades mantiene l’accesso su Windows e Linux

Il server esponeva 62 payload multipiattaforma, comprese varianti di un impianto Go precedentemente non documentato e denominato Hades dall’operatore. Le versioni analizzate comprendevano eseguibili Windows e binari ELF per Linux, collegati a server di comando e controllo attraverso indirizzi incorporati direttamente nel codice. Una variante Windows comunicava con il server di staging di Hong Kong sulla porta 443, mentre un campione Linux raggiungeva un secondo nodo sulla porta 12443.

Hades utilizzava percorsi che imitavano normali risorse JavaScript, come /assets/app.min.js, /assets/vendor.js e /assets/main.js, per gestire registrazione, ricezione dei comandi e invio dei risultati. Le configurazioni prevedevano cifratura AES-256-GCM, finestre operative, tempi di sospensione e date oltre le quali il malware avrebbe interrotto l’attività. Hermes svolgeva quindi il lavoro di analisi ed enumerazione, mentre Hades offriva una presenza più stabile sui sistemi compromessi. La combinazione separa l’intelligenza operativa dal canale persistente, evitando che l’intera campagna dipenda dall’agente AI.

Certificati TLS collegano tre server asiatici

L’analisi dei certificati TLS ha permesso di associare il server principale ad altri due indirizzi in Malaysia e Hong Kong. I sistemi condividevano la stessa impronta JA4X e utilizzavano certificati con nomi comuni e organizzazioni emittenti generiche, come “Web Services”, “Cloud Platform” e “Digital Solutions”. Uno dei nodi individuati attraverso questo collegamento è stato successivamente confermato come server C2 di Hades grazie all’indirizzo incorporato in un payload. Il server principale aveva inoltre ospitato in passato un controller ShadowPad e risultava associato a un servizio VShell, ma non esistono prove sufficienti per stabilire che questi strumenti siano stati utilizzati nella compromissione del ministero. L’infrastruttura, gli indicatori in lingua cinese e la precedente attività osservata sui server portano Hunt.io a valutare con confidenza bassa o media la possibile presenza di un operatore sinofono. Non è stata formulata un’attribuzione a un gruppo specifico e tali elementi non consentono di assegnare direttamente l’operazione a uno Stato.

Gli agenti AI riducono il costo della post-exploitation

Il valore operativo di Hermes non consiste nell’avere inventato nuove tecniche di attacco, ma nell’aver eseguito in modo continuativo procedure già note. Enumerare directory, leggere l’output di LinPEAS, cercare binari con permessi elevati, controllare container e classificare documenti sono attività che un operatore dovrebbe normalmente svolgere attraverso numerosi comandi e verifiche manuali. Un agente può concatenarle, interpretarne i risultati e decidere il passaggio successivo sulla base dell’obiettivo assegnato. Questa automazione aumenta la velocità dell’intrusione e permette a un singolo attaccante di seguire più sistemi contemporaneamente. La dinamica è diversa dagli attacchi che manipolano agenti AI attraverso repository e contenuti malevoli: nel caso thailandese l’agente non è la vittima della manipolazione, ma uno strumento deliberatamente configurato dall’attore per operare nella rete compromessa. Anche l’attacco autonomo contro Hugging Face durante una valutazione di sicurezza aveva mostrato come un sistema dotato di terminale, memoria e strumenti possa concatenare vulnerabilità e credenziali oltre il perimetro previsto.

La difesa deve rilevare l’automazione e non soltanto il malware

La presenza di un agente autonomo non elimina gli indicatori tradizionali. Hermes ha comunque generato processi, letto file, avviato strumenti di enumerazione e interagito con servizi interni. Le organizzazioni devono quindi monitorare l’esecuzione anomala di LinPEAS, la ricerca massiva di file SUID e SGID, l’accesso ricorsivo a directory documentali, l’uso inatteso di interpreti e la creazione di tunnel HTTP come suo5. Nei sistemi Hadoop occorre controllare autenticazioni anomale verso HiveServer2, caricamenti di funzioni UDF e richieste WebHDFS provenienti da host non autorizzati. Webshell, cookie di sessione esportati e connessioni verso infrastrutture esterne devono essere trattati come segnali di compromissione già avvenuta, non come semplici tentativi. La priorità resta individuare il vettore iniziale, ancora ignoto, revocare le sessioni sottratte, ruotare le credenziali e ricostruire i movimenti laterali. Il caso thailandese mostra che il rischio degli agenti offensivi non nasce da un’intelligenza capace di decidere autonomamente chi attaccare, ma dalla possibilità di affidare a un software persistente e senza approvazioni una parte crescente del lavoro che segue l’accesso iniziale.