Im Zentrum der beobachteten Aktivität stand DeepSeek als Denk- und Entscheidungsinstanz hinter Hermes Agent. Das Open-Source-Framework kann mit Betriebssystem-Terminals interagieren, Befehle ausführen und Verbindungen ins Internet herstellen. Besonders relevant ist laut Unit 42 der „Yolo“-Modus, in dem der Agent auch riskante Kommandos ausführen kann, ohne zuvor die Zustimmung des Operators einzuholen.

Hermes war so eingerichtet, dass es Anweisungen über einen Telegram-Kanal entgegennimmt, benutzerdefinierte Offensivfähigkeiten nutzt und mit der Internet-Asset-Suchmaschine FOFA zusammenarbeitet. Unit 42 rekonstruierte eine Sitzung aus dem Mai 2026, in der der Operator offenbar nur eine Anfangsaufgabe vorgab. Danach erledigte der Agent die weiteren Schritte selbstständig und ohne Rückmeldungen durch einen Menschen.

Zunächst nahm der Agent im Internet erreichbare Langflow-Server ins Visier, die für CVE-2026-33017 anfällig waren. Er lud einen öffentlich verfügbaren Proof-of-Concept-Exploit herunter, identifizierte über FOFA 84 exponierte Instanzen und prüfte sie auf verwundbare Konfigurationen. Nachdem sich diese Ziele nicht ausnutzen ließen, suchte das System selbstständig nach weiteren möglichen Schwachstellen und passenden Geräten für neue Scans.

Anschließend analysierte DeepSeek mehrere öffentliche Exploit-Repositorien und entschied sich dann für die Workflow-Automatisierungsplattform n8n als neues Ziel. Über FOFA wurden dort mehr als 647.000 exponierte Instanzen gefunden. Der Agent lud einen Exploit herunter, der CVE-2026-21858 und CVE-2025-68613 verkettete, identifizierte Server mit verwundbaren Versionen und prüfte sie auf Formulare zum nicht authentifizierten Dateiupload, die für den Angriff erforderlich gewesen wären.

Diese Formulare verlangten jedoch eine Authentifizierung. Deshalb scheiterten die autonomen Versuche nach Angaben von Unit 42 daran, irgendein Ziel zu kompromittieren. Palo Alto betont dennoch die Bedeutung der Kampagne: Der Agent recherchierte Schwachstellen eigenständig, entschied, welche Ziele am aussichtsreichsten waren, beschaffte Exploit-Code und versuchte anschließend innerhalb weniger Minuten deren Ausnutzung — ein Ablauf, der normalerweise viele Stunden manueller Arbeit erfordern würde. Laut Palo Alto führte das System die Identifizierung, Stichprobenprüfung und Eingrenzung von Zielen in Minuten aus und verwaltete dabei auch seine eigenen Rechenressourcen.

Neben dem KI-gestützten Teil führte der Akteur laut Unit 42 auch manuelle Angriffe auf mehr als 460 Systeme durch. Betroffen waren Schwachstellen in Citrix NetScaler, Apache Tomcat, Marimo Notebook, Windows IKE VPN und weiteren Produkten. Unit 42 bestätigte dabei drei erfolgreiche Kompromittierungen über die Citrix-NetScaler-Schwachstelle CVE-2026-3055. Der Angreifer nutzte sie, um Speicherinhalte auszulesen und nach Authentifizierungs-Cookies zu suchen, die sich zur Übernahme von Sitzungen einsetzen ließen.

Unit 42 fand außerdem Konfigurationen für weitere KI-Plattformen zum Programmieren, darunter Qwen, GLM, Kimi, MiniMax, Claude Code und OpenAI Codex. Häufig genutzt wurden sie den Forschern zufolge aber nicht. Die jetzt bekannt gewordene Kampagne folgt auf einen weiteren kürzlich offengelegten Vorfall, bei dem schlecht abgesicherte Hermes-Infrastruktur Details zu einem mutmaßlichen Cyberangriff auf Thailands Finanzministerium preisgab.

Damals berichtete BleepingComputer, dass Hunt.io und der Sicherheitsforscher Bob Diachenko offen erreichbare Webverzeichnisse mit Exploit-Werkzeugen, Webshells, Zugangsdaten, kompilierten Schadkomponenten und Hermes-Aktivitätsprotokollen entdeckt hatten. Diese Protokolle zeigten Hermes im unbeaufsichtigten „Yolo“-Modus bei der Automatisierung von Aktivitäten nach einer Kompromittierung, darunter die Suche nach Möglichkeiten zur Rechteausweitung, die Erfassung von Diensten, die Untersuchung von Containern, das Durchqueren von Dateisystemen und die Katalogisierung von Dokumenten auf Systemen des Finanzministeriums. Anders als im nun von Unit 42 analysierten Fall hatte Hermes dort jedoch weder das Ziel selbst ausgewählt noch eigenständig entschieden, wie es kompromittiert werden sollte.