Hunt.io entdeckte zwischen dem 9. und 13. Juli drei gleichzeitig offen erreichbare Verzeichnisse auf einem in Hongkong gehosteten Server. Darin lagen 585 Dateien mit einem Gesamtumfang von rund 470 Megabyte. Enthalten waren unter anderem Exploit-Code, Web-Shells, Werkzeuge für HTTP-Tunneling, angepasste Skripte, gestohlene Zugangsdaten, kompilierte Schadkomponenten und von Hermes erzeugte Protokolle.
Die gefundenen Dateien verwiesen laut Hunt.io namentlich, per Hostname und über interne IP-Adressen auf Systeme des Finanzministeriums. Zudem fanden die Forscher Skripte, die auf interne Dienste zielten. Einige davon richteten sich gegen die Hadoop-Infrastruktur des Ministeriums, die Verwaltungsplattform Apache Ambari, die Administrationskonsole von GlassFish und ein administratives Web-Panel. Weitere Skripte testeten die Authentifizierung an Mailservern des Ministeriums mit fest eincodierten E-Mail-Adressen und Passwörtern.
Hunt.io identifizierte außerdem eine PHP-Web-Shell, die nach Einschätzung der Firma auf einem Webserver des Finanzministeriums platziert worden war. Die Forscher verknüpften den zuerst gefundenen Server über gemeinsam genutzte TLS-Zertifikate aus demselben Zeitraum mit weiterer von den Angreifern kontrollierter Infrastruktur. Laut Hunt.io teilen diese Zertifikate neben dem gemeinsamen Namen auch einen JA4X-Fingerabdruck, also einen Hash, der aus der Struktur des Zertifikats und nicht aus seinem Inhalt abgeleitet wird. Über diese Spur stießen die Forscher auf zwei weitere zugehörige Hosts in Malaysia und Hongkong. Einer dieser Server wurde später über eine in einer gefundenen Schadkomponente eingebettete Kommando-und-Kontroll-Adresse mit der Operation in Verbindung gebracht.
In den Verzeichnissen lagen zudem Windows- und Linux-Builds einer zuvor nicht dokumentierten, in Go geschriebenen Schadsoftware, die der Betreiber Hades nannte. Den auffälligsten Befund sehen die Forscher jedoch in den Hermes-Protokollen. Hermes ist ein quelloffener KI-Agent, der im Februar 2026 veröffentlicht wurde, als dauerhafter Dienst läuft und Informationen über verschiedene Arbeitssitzungen hinweg speichern kann. Er kann Werkzeuge ansteuern und Befehle im Rahmen vorgegebener Aufgaben ausführen.
Die sichergestellten Umgebungsdaten und Ausgabelogs zeigen laut Hunt.io, dass der Betreiber den unbeaufsichtigten „YOLO“-Modus aktiviert hatte. Dadurch konnte Hermes Befehle ausführen und Systeme weiter analysieren, ohne bei jedem Schritt auf eine menschliche Bestätigung zu warten. Fünf wiederhergestellte Aufrufprotokolle zeigen, dass der Agent eingesetzt wurde, um Wege zur Rechteausweitung zu finden, nach Kernel-Schwachstellen zu suchen, Dienste zu inventarisieren, nach SUID- und SGID-Binärdateien zu suchen, Container zu untersuchen und Dateisysteme zu durchlaufen.
Hermes erhielt zudem den Auftrag, eine angepasste Version des Privilegieneskalations-Skripts LinPEAS zu nutzen, um Informationen von einem Host des Finanzministeriums zu sammeln. In einer weiteren Aufgabe sollte der Agent ein Webverzeichnis durchsuchen, das dem Büro des Ständigen Staatssekretärs für Finanzen zugeordnet war. Hermes katalogisierte dabei PDF-, DOC- und XLS-Dateien, darunter Leistungsbeurteilungen und Personalunterlagen bis zurück ins Jahr 2012. Hinweise auf einen Abfluss dieser Dateien fand Hunt.io nach eigenen Angaben jedoch nicht.
Nach Einschätzung der Forscher deuten die Funde nicht darauf hin, dass Hermes das Ministerium eigenständig als Ziel ausgewählt hätte. Die offengelegten Protokolle zeigen vielmehr einen menschlichen Operator, der Ziele und Werkzeuge vorgab, während der „YOLO“-Modus routinemäßige Befehle nach der Kompromittierung ohne ständige Aufsicht abarbeitete. Hunt.io spricht von einer aktiven Intrusion, bei der Werkzeuge bereitgestellt wurden und der Zugriff auf interne Systeme zunahm. Wie der Erstzugang gelang, konnten die Forscher nicht klären.
Hunt.io und Bob Diachenko informierten ThaiCERT und Thailands National Cyber Security Agency am 15. Juli. Dem Bericht zufolge bestätigten beide Stellen den Eingang der Meldung noch am selben Tag. Das thailändische Finanzministerium hat den berichteten Einbruch bislang nicht bestätigt.