Hunt.io konnte den ursprünglichen Zugangsweg nach eigenen Angaben nicht eindeutig bestimmen. Die von den Forschern beobachtete Angreifer-Infrastruktur zeigte jedoch umfangreiche Werkzeuge für die Phase nach dem Eindringen. Dazu gehörten Web-Shells und vorbereiteter Exploit-Code zur Rechteausweitung für Linux und Windows. Die Dateien in der entdeckten Infrastruktur würden „ein noch laufendes Eindringen beschreiben“, schrieb Hunt.io: Werkzeuge seien bereitgestellt worden, während sich der interne Zugriff weiter ausgedehnt habe.

Besonders auffällig war laut Blogbeitrag ein auf das Ministerium zugeschnittenes Set an Skripten. Diese zielten auf eine Hadoop-Infrastruktur des Finanzministeriums und nutzten einen HiveServer2-Client mit fest eincodierten Zugangsdaten sowie eine bösartige Hive-UDF, die Befehle ausführt und Ergebnisse über WebHDFS zurückliefert. Hunt.io empfiehlt deshalb unter anderem, den Authentifizierungsmodus von HiveServer2 zu prüfen. In der Voreinstellung akzeptiere dieser „beliebige über SASL PLAIN übergebene Zugangsdaten, ohne sie zu validieren, und das Skript des Operators war genau darauf ausgelegt“. Zudem raten die Forscher dazu, die UDF-Sperrliste für HiveServer2 durchzusetzen, Web-Root-Verzeichnisse rekursiv auf ähnliche PHP-Dateien zu prüfen und sudo sowie polkit gegen die vom Angreifer eingesetzten Exploits zu patchen.

In der beobachteten Umgebung identifizierten die Forscher außerdem „Hades“, eine speziell angepasste Schadsoftware für Windows und Linux, die in Go geschrieben wurde. Sie wurde gemeinsam mit ministeriumsspezifischen Werkzeugen für Aufklärung, Ausnutzung und den Zugriff auf Anmeldedaten gehostet. Wo genau Hades innerhalb der Umgebung des Ministeriums eingesetzt wurde, ließ die Untersuchung offen. Als Kernfunktionen nennt Hunt.io jedoch interaktiven Fernzugriff auf die Shell, Persistenzaufgaben, Ausführung im Speicher, Dateiübertragungen und SOCKS-Proxying, also die Nutzung kompromittierter Systeme als Relaisstationen für Netzwerkverkehr.

Hermes unterstützte diese Fähigkeiten nach Angaben der Forscher bei der Systemenumeration, der Rechteausweitung, der Suche nach Dateien und Diensten sowie bei der Netzwerkerkundung. Außerdem habe der Agent das Open-Source-Projekt LinPEAS genutzt, um sich weiter im Netzwerk zu bewegen. Zusätzliche Protokolle deuteten darauf hin, dass der Operator den Agenten anwies, ein Inhaltsverzeichnis mit PDF-, DOC- und XLS-Dateien sowie Personalunterlagen aus dem Büro des ständigen Staatssekretärs für Finanzen zu erfassen. Hunt.io betonte jedoch ausdrücklich, dass es keine Hinweise auf einen Abfluss dieser Dateien gebe. Auch Esteban Borges, Forschungsleiter bei Hunt.io, sagte Dark Reading, sein Unternehmen habe keine Anzeichen dafür gefunden, dass Daten aus der Ministeriums-Umgebung exfiltriert wurden.

Zur Urheberschaft äußert sich Hunt.io vorsichtig. Weil die identifizierte Infrastruktur zuvor als ShadowPad-Controller genutzt worden sei, weil die Infrastruktur in Hongkong gehostet wurde und weil es mehrere Hinweise in chinesischer Sprache gebe, komme man zu einer Einschätzung mit niedriger bis mittlerer Sicherheit, dass der Akteur chinesischsprachig sei oder mit der Sprache sehr vertraut.

Hunt.io verweist zudem auf ein Muster bei KI-gestützten Operationen: mangelhafte operative Sicherheit. Im Fall des thailändischen Finanzministeriums seien drei Verzeichnisse offen zugänglich gewesen. Schon bei einer früheren, vor zwei Wochen von Hunt.io beschriebenen Kampagne, bei der mutmaßlich chinesische Akteure Claude Code und DeepSeek gegen Finanzsysteme in vier Ländern einsetzten, sei ebenfalls offen einsehbare Infrastruktur der Grund für die Entdeckung gewesen. Borges sagte, die Automatisierung habe in beiden Fällen große Mengen an Spuren erzeugt, die von den Betreibern nicht abgesichert worden seien.