Un actor necunoscut a folosit agentul AI open-source Hermes într-o operațiune de spionaj cibernetic, pentru automatizarea unor activități de post exploatare în infrastructura Ministerului Finanțelor din Thailanda.
O investigație realizată de experți ai companiei de threat intel Hunt.io și cercetătorul Bob Diachenko, a descoperit că atacatorul a accesat mai multe sisteme interne, însă instituția nu a confirmat public compromiterea, iar mecanismul inițial de acces rămâne necunoscut.
Incidentul este definit de utilizarea agentului AI autonom „Hermes” în mod „YOLO” (operare neasistată), lucrând în tandem cu un implant multi-platformă (Windows și Linux) denumit „Hades”.
Investigația a pornit de la trei directoare expuse public pe un server din Hong Kong, observate între 9 și 13 iulie. Acestea conțineau 585 de fișiere, însumând aproximativ 470 MB, printre care cod de exploatare, web shell-uri, instrumente de tunelare, credențiale și loguri (jurnale) generate de Hermes.
Această ofensivă automatizată a permis atacatorilor să exploreze infrastructura critică guvernamentală cu o viteză și o autonomie care redefinesc standardele actuale.
Hermes a automatizează recunoașterea internă
Hermes este un agent AI open-source, destinat automatizării unor activități pe sisteme locale sau servere. Dezvoltatorul îl prezintă ca pe un instrument ce poate executa comenzi și opera persistent în mod automat.
În cazul analizat, configurația recuperată de cercetători indica folosirea modului „YOLO”. Documentația oficială arată că această opțiune dezactivează solicitările de aprobare pentru comenzile considerate periculoase, cu excepția unei liste restrânse de operațiuni blocate indiferent de configurație.
Logurile expuse arată că agentul a executat LinPEAS, un instrument de identificare a posibilelor căi de escaladare a privilegiilor pe sistemele Linux.
Hermes ar fi inventariat servicii, fișiere și binare cu permisiuni speciale în Linux (Set User ID- SUID și Set Group ID- SGID) și ar fi parcurs recursiv un director asociat Biroului Secretarului Permanent. Directorul conținea documente Office, evaluări de performanță și înregistrări despre personal, unele datând din 2012.
Utilitare create special pentru infrastructura ministerului
Fișierele analizate includeau scripturi care menționau nume de sisteme, adrese private și servicii interne ale ministerului. Printre ținte se aflau un cluster Hadoop, platforma de administrare Apache Ambari, un server GlassFish, infrastructura de e-mail și un panou administrativ web.
Unul dintre scripturi implementa un lanț de atac împotriva HiveServer2. Codul încerca autentificarea prin SASL PLAIN și înregistrarea unei funcții Java definite de utilizator, concepută pentru executarea comenzilor de sistem.
Documentația Apache HiveServer2 arată că modul implicit de autentificare NONE nu validează credențialele primite, ceea ce poate crea un risc atunci când serviciul este accesibil din zone necontrolate.
Cercetătorii au identificat și un web shell PHP ascuns sub numele .journald-cache.php, despre care afirmă că fusese plasat pe un server web al ministerului. Alte scripturi încercau autentificarea la conturi de email folosind adrese și parole incluse direct în cod.
Serverul de staging găzduia și exploit-uri pentru vulnerabilități mai vechi: CVE-2021-3156 în sudo, CVE-2021-4034 în pkexec și CVE-2017-7269 în WebDAV pentru IIS 6.0.
Prezența codului indică pregătirea unor tentative de escaladare sau exploatare, dar nu confirmă că toate vulnerabilitățile au fost exploatate cu succes.
Implantul Hades pentru Windows și Linux
Într-unul dintre directoare au fost găsite 62 de executabile Go pentru Windows și Linux. Hunt.io a analizat două mostre și le-a atribuit aceluiași implant, denumit intern „Hades”.
Malware-ul comunica prin HTTPS și folosea căi URI asemănătoare fișierelor JavaScript legitime. Traficul era criptat cu AES-256-GCM, utilizând o cheie inclusă în fiecare build.
Implantul oferea shell interactiv, transfer de fișiere, proxy SOCKS și mecanisme de persistență.
Varianta Windows includea și poisibilitatea de a face capturi de ecran și executarea în memorie prin metoda process hollowing.
Potrivit experților, Hades putea fi configurat să fie dezactivat la o dată specifică și să funcționeze în anumite intervale orare, reducând astfel frecvența comunicațiilor în afara programului prestabilit.
Totuși, analiza nu stabilește dacă implantul a fost instalat efectiv în infrastructura ministerului sau doar pregătit pe serverul atacatorului.
Ce rămâne neclar este dacă Hermes a obținut singur accesul inițial sau dacă a desfășurat întreaga operațiune fără instrucțiuni umane.
Deși există indicatori lingvistici și infrastructura a fost localizată în Hong Kong și Malaysia, aceștia sunt insuficienți pentru a stability identitatea și afilierea atacatorului.
