Hunt.io zufolge war der menschliche Angreifer bereits im Netzwerk, bevor der Agent zum Einsatz kam. Die Firma rekonstruierte eine versteckte Web-Shell auf einem Webserver des Ministeriums, Skripte für namentlich bezeichnete interne Hadoop-Systeme sowie in einem Mail-Testskript fest einprogrammierte Passwörter für kompromittierte Postfächer. Wie der erste Zugang gelang, ist unbekannt. Thailands nationales CERT und die Cybersicherheitsbehörde wurden am 15. Juli informiert; als The Hacker News am 24. Juli nachprüfte, hatten beide noch nichts veröffentlicht.
Die Hermes-Protokolle zeigen laut Hunt.io vor allem die automatisierte Abarbeitung wiederkehrender Schritte: Scans ausführen, Ausgaben lesen, den nächsten Prüfschritt wählen und weitere Befehle starten. In den geborgenen Materialien gibt es laut Bericht keinen Hinweis darauf, dass der Agent selbst ein neues Leck entdeckt oder das Ziel ausgewählt hätte. Zu sehen sind vielmehr bekannte Werkzeuge und Routinebefehle, darunter LinPEAS zur Suche nach Möglichkeiten zur Rechteausweitung unter Linux, die Suche nach Dateien mit erhöhten Berechtigungen sowie Verzeichnis- und Dateisystem-Auflistungen.
Der entscheidende Unterschied lag nach Darstellung des Quelltexts darin, dass keine Freigabe für jeden einzelnen Befehl mehr nötig war. Hermes bietet diesen Modus auf drei Wegen an: mit dem Startparameter „–yolo“, per „/yolo“-Befehl in einer laufenden Sitzung oder über die Umgebungsvariable „HERMES_YOLO_MODE=1“. Die Konfigurationsanleitung des Projekts empfiehlt, dies „nur in vertrauenswürdigen, isolierten Umgebungen“ zu verwenden. Eine harte Sperrliste bleibt trotzdem aktiv und blockiert weiterhin Befehle, die die Maschine löschen würden, auf der der Agent läuft.
Fünf Dateien mit Namen nach dem Muster „call_00_*.txt“ dokumentieren einzelne Arbeitsschritte des Agenten: einen Kernel-Schwachstellenscan gegen einen Host des Ministeriums, einen zweiten LinPEAS-Durchlauf, eine Suche nach Binärdateien mit erhöhten Rechten, eine Dateisystemauflistung und einen rekursiven Durchlauf durch das Web-Stammverzeichnis des Büros des Ständigen Staatssekretärs. In diesem Ordner lagen den Protokollen zufolge Office-Dokumente, Leistungsbeurteilungen und Personalunterlagen ab 2012. Die Logs zeigen, dass der Agent das Verzeichnis las; sie zeigen aber nicht, dass Dateien das Netzwerk verließen.
Besonders aufschlussreich ist laut Hunt.io, worauf die vorbereiteten Skripte abzielten: auf einen Hadoop-Dienst, der standardmäßig jedes Passwort akzeptiert. Ein Skript namens „hive_rce_py2.py“ verbindet sich mit HiveServer2, dem SQL-Frontend des Clusters, auf Port 10000 eines internen Systems und sendet ein Passwort. Die Apache-Dokumentation beschreibt den Standardmodus der Authentifizierung als „NONE“, also ohne Prüfung des gelieferten Passworts. Nach erfolgreicher Verbindung installiert das Skript ein bösartiges Java-Zusatzmodul namens „HiveCmd.jar“ als benutzerdefinierte Funktion. Damit lassen sich Betriebssystembefehle über reguläre Datenbankabfragen ausführen und deren Ausgabe zurücklesen. Cloudera warnt laut Quelltext, dass jeder, der eine solche Funktion installieren kann, beliebigen Code im Kontext des Hive-Dienstkontos ausführen und auf sensible Daten zugreifen kann.
Daneben fanden die Forscher eine angepasste „linpeas.sh“, die vier Linux-Kernel-Lücken aus 2026 über drei Familien prüfen sollte: Copy Fail (CVE-2026-31431), Dirty Frag (CVE-2026-43284 und CVE-2026-43500) sowie DirtyClone (CVE-2026-43503). Laut Quelltext können alle einem lokalen Nutzer unter passenden Voraussetzungen Root-Rechte verschaffen; für Dirty Frag und DirtyClone ist dazu CAP_NET_ADMIN nötig. Ob eine dieser Lücken auf Systemen des Ministeriums tatsächlich vorhanden war oder ausgenutzt wurde, geht aus den Funden nicht hervor.
Die offengelegten Artefakte enthalten auch Hinweise auf die mutmaßliche Herkunft des Betreibers, jedoch ohne Zuschreibung an eine konkrete Gruppe. Die eigene SSH-Sitzung des Operators auf den Staging-Server kam von der Hongkonger Adresse 103.97.0[.]57. Das Passwort der Weboberfläche des Agenten enthält das chinesische Wort „Leishen“, und daneben lag ein Schlüssel für FOFA, einen chinesischen Dienst zur Asset-Suche. Derselbe Server beherbergte zuvor einen ShadowPad-Controller und betreibt nun einen VShell-Command-and-Control-Listener. Hunt.io bewertet daher mit niedriger bis mittlerer Sicherheit, dass der Betreiber chinesischsprachig ist oder die Sprache fließend beherrscht.
Ebenfalls auf dem Server lagen 62 Varianten eines bislang nicht dokumentierten Go-Implantats namens Hades für Windows und Linux. Hunt.io analysierte je eine Probe pro Plattform und stellte denselben Codebestand fest; die übrigen 60 Exemplare wurden nicht einzeln untersucht. Zwar verknüpfen fest einprogrammierte Adressen den Staging-Server mit einem zweiten Host in Hongkong, doch keines der geborgenen Artefakte zeigt, dass Hades ein System des Ministeriums erreicht hat. Weitere Skripte prüften Standardzugangsdaten an einer internen GlassFish-Konsole; auch hier ist eine erfolgreiche Ausbringung nicht bestätigt.
Hunt.io beschreibt den Fall auch als Lehrstück dafür, wie sich solche Installationen aufspüren lassen. Die Weboberfläche liefert einen „HermesWebUI“-Server-Header; eine Suche danach ergab im Monat vor dem Bericht vom 23. Juli rund 5.900 Scan-Ereignisse, wobei es sich um Sichtungen und nicht um einzelne Maschinen handelt. Aussagekräftiger sei der Ablageort der Resultate: ein einheitlicher Ordner „/hermes-results/“ mit vorhersagbaren Dateinamen. In Hunt.ios Index offengelegter Verzeichnisse tauchte dieses Muster am selben Tag 575-mal auf, jeweils als Kombination aus Host und Dateiname. Nicht eine Schutzfunktion enttarnte den hier untersuchten Betreiber, sondern eine aktivierte Verzeichnisauflistung.