Hunt.io veröffentlichte in der vergangenen Woche einen Bericht über eine Spionageoperation, die sich gegen Thailands Finanzministerium richtete. Ausgangspunkt der Analyse war eine von den Angreifern betriebene Infrastruktur, auf der während der noch laufenden Kompromittierung Hunderte Dateien öffentlich zugänglich waren. Diese Dateien legten laut den Forschern das Innenleben der Kampagne offen.
Zu den entdeckten Artefakten zählten Malware, gestohlene Zugangsdaten, Angriffsskripte, Protokolle eines KI-Agenten sowie Belege für bereits erfolgte Zugriffe auf mehrere Systeme innerhalb des Ministeriums. Hunt.io konnte nach eigenen Angaben nicht feststellen, wie die Angreifer ursprünglich in das Netzwerk eingedrungen waren.
Eine zentrale Rolle spielte offenbar Hermes, ein Open-Source-KI-Agent, den Nous Research in diesem Jahr veröffentlicht hatte. Laut Hunt.io wurde die Software von den Angreifern im sogenannten YOLO-Modus betrieben. Dadurch konnte der Agent Befehle eigenständig ausführen, ohne auf eine Freigabe durch Menschen zu warten. Nach Darstellung der Forscher erkundete der Agent selbstständig das Netzwerk des Ministeriums, durchsuchte interne Dateien, sammelte Systeminformationen und suchte nach Möglichkeiten zur Ausweitung von Berechtigungen.
Auf der offengelegten Infrastruktur fanden sich außerdem Exploits für mehrere bekannte Software-Schwachstellen, speziell auf das Ministerium zugeschnittene Skripte, gestohlene Anmeldedaten, aktive Authentifizierungs-Cookies und eine bislang nicht dokumentierte Malware-Familie, die Hunt.io Hades nannte. Diese Malware wirke wie eine maßgeschneiderte Hintertür, die nach dem ersten Einbruch einen dauerhaften Zugriff auf kompromittierte Systeme sichern solle. Hunt.io fand sowohl Windows- als auch Linux-Varianten, die aus der Ferne Befehle ausführen und Dateien übertragen konnten.
Dass das thailändische Finanzministerium das wahrscheinliche Ziel war, leiteten die Forscher aus mehreren wiedergefundenen Skripten ab. Diese verwiesen ausdrücklich auf interne Infrastrukturen der Behörde, darunter administrative Webportale, E-Mail-Systeme und Plattformen zur Dokumentenverwaltung. Weitere Werkzeuge waren darauf ausgelegt, E-Mail-Passwörter des Ministeriums zu testen und mit bestimmten internen Systemen zu interagieren.
Obwohl Hunt.io Hinweise auf bereits kompromittierte Systeme fand, entdeckten die Forscher nach eigenen Angaben keine Anzeichen für einen Abfluss von Daten. Die beobachteten Aktivitäten deuteten stattdessen auf Aufklärung, den Diebstahl von Zugangsdaten und die Vermessung des Netzwerks für mögliche spätere Operationen hin. Einer bekannten Hackergruppe schrieb das Unternehmen die Kampagne nicht zu, erklärte aber, mehrere Indikatoren deuteten auf chinesischsprachige Akteure hin.
Nach Angaben von Hunt.io wurden ThaiCERT und die National Cyber Security Agency am 15. Juli über den Vorfall informiert. Die Forscher verfolgten die bösartige Aktivität mindestens bis in die Mitte bis das Ende Juni zurück. Das Finanzministerium hat den Vorfall bislang nicht öffentlich eingeräumt und reagierte nicht auf eine Bitte um Stellungnahme.
Thailändische Cybersicherheitsverantwortliche erklärten am Montag, sie wollten die Abwehr des Landes gegen Cyberangriffe mit KI-Agenten verstärken. Zwar bezogen sie sich nicht ausdrücklich auf die Hunt.io-Untersuchung, die Maßnahmen wirken jedoch darauf ausgerichtet, Thailands Fähigkeiten zur Erkennung und Reaktion auf KI-gestützte Bedrohungen zu verbessern. Theerawut Wittayakorn, stellvertretender Generalsekretär von Thailands National Cyber Security Committee, sagte nach einem Treffen: „Thailand muss KI in vollem Umfang nutzen können und zugleich die damit verbundenen Risiken systematisch steuern, um auf künftige Cyberbedrohungen vorbereitet zu sein.“