Alguém instalou um assistente de IA popular em um servidor alugado, desativou a configuração que faz o sistema pedir permissão antes de executar comandos arriscados e o direcionou para o Ministério da Fazenda da Tailândia, órgão que administra o Tesouro e a arrecadação de impostos do país.
A partir daí, o agente passou a operar sozinho na rede do ministério, verificando hosts em busca de caminhos para obter acesso de root, vasculhando sistemas de arquivos e explorando uma pasta com registros de pessoal de funcionários que remontavam a 2012.
O operador deixou os próprios logs do agente em um servidor web com listagem de diretório ativada.
Foi ali que a empresa de inteligência de ameaças Hunt.io e o pesquisador Bob Diachenko os encontraram, junto com 585 arquivos e 470 MB de ferramentas usadas no ataque.
A ferramenta é o Hermes, um assistente open source da Nous Research que usuários instalam para gerenciar e-mails, executar tarefas e receber instruções pelo Telegram ou Slack.
Ele não é uma ferramenta de invasão, e nada neste caso indica uma falha nele.
O modo usado pelo operador, chamado YOLO, é um recurso documentado, com sua própria opção de linha de comando.
É isso que diferencia este caso dos ataques assistidos por IA relatados até agora.
Quando a Anthropic revelou em novembro passado que um grupo chinês estava usando o Claude Code para espionagem, os invasores precisaram enganar o modelo para fazê-lo cooperar, e a empresa bloqueou suas contas assim que percebeu a atividade.
O Hermes roda na máquina do próprio operador.
Nenhum fornecedor estava monitorando, e não havia conta para bloquear.
O operador já estava dentro da rede antes de o agente começar a agir.
A Hunt.io recuperou um web shell oculto instalado em um servidor web do ministério, scripts escritos para sistemas internos específicos do Hadoop e senhas roubadas de caixas de correio, codificadas em um script de teste de e-mail.
Nada nos arquivos recuperados mostra dados saindo da rede, e ainda não se sabe como o operador conseguiu o acesso inicial.
O CERT nacional da Tailândia e a agência de cibersegurança do país foram notificados em 15 de julho.
Para o restante do mercado, o detalhe útil é o que os scripts do operador buscavam explorar: um serviço de banco de dados Hadoop que, por padrão, aceita qualquer senha.
O trabalho humano foi feito nas partes que exigem conhecer o alvo.
A apuração da Hunt.io mostra uma lista de senhas montada a partir das siglas dos departamentos do próprio ministério, em vez de um dicionário, além de shellcode com caminhos codificados para a intranet do ministério.
O agente executava a parte repetitiva: rodar uma varredura, ler a saída, decidir o que verificar em seguida e repetir o processo.
Nada no material recuperado mostra que ele tenha encontrado uma nova vulnerabilidade ou escolhido o alvo.
Nenhum dos comandos era incomum.
LinPEAS, um script padrão para identificar caminhos de escalada de privilégios no Linux.
Uma busca por arquivos com permissões elevadas.
Uma varredura de diretório.
Uma pessoa digitaria as mesmas coisas.
O que mudou foi que ninguém precisava aprovar cada etapa.
O Hermes oferece essa configuração de três formas: a opção --yolo na inicialização, o comando /yolo durante a sessão ou a variável de ambiente HERMES_YOLO_MODE=1.
O guia de configuração do projeto recomenda usá-la apenas em “ambientes confiáveis e isolados em sandbox”.
Mesmo assim, uma camada continua de pé: uma lista rígida de bloqueio que ainda recusa comandos que apagariam a máquina em que o agente está sendo executado.
O que o operador desativou foi a checagem humana, não todas as proteções.
O que o agente fez
Cinco arquivos chamados call_00_*.txt registram as interações do agente: varredura de vulnerabilidades do kernel contra um host do ministério, uma segunda execução do LinPEAS, uma busca por binários com permissões elevadas, uma listagem do sistema de arquivos e uma exploração recursiva da raiz web pertencente ao Gabinete do Secretário Permanente.
Essa pasta continha documentos de escritório, avaliações de desempenho e registros de pessoal datados de 2012.
Os logs mostram o agente lendo o diretório.
Nenhum deles mostra os arquivos saindo dali.
O script de varredura que ele recebeu não era o padrão.
Um linpeas.sh modificado verificava quatro falhas do kernel Linux de 2026 em três famílias: Copy Fail (
CVE-2026-31431
), Dirty Frag (
CVE-2026-43284
e
CVE-2026-43500
) e DirtyClone (
CVE-2026-43503
).
Todas elas concedem root a um usuário local quando seus pré-requisitos são atendidos, o que, no caso de Dirty Frag e DirtyClone, significa ter CAP_NET_ADMIN.
Todas já tinham semanas de divulgação quando o operador as preparou, e nada recuperado informa a versão do kernel do ministério nem mostra que alguma das quatro tenha sido realmente explorada.
A própria sessão SSH do operador no servidor de preparação veio de 103.97.0[.]57, em Hong Kong.
A senha da interface web do agente contém a palavra chinesa Leishen, que significa deus do trovão, e uma chave para o FOFA, um serviço chinês de busca de ativos, estava armazenada ao lado dela.
O mesmo servidor já hospedou um controlador ShadowPad e agora executa um listener de command and control do VShell.
A Hunt.io avalia, com confiança baixa a média, que o operador fala chinês ou é fluente no idioma, e não atribui o caso a nenhum grupo específico.
A empresa e Diachenko continuam sendo as únicas fontes públicas sobre os achados específicos do ministério.
A rota via Hadoop
A maior parte do código personalizado foi direcionada ao cluster Hadoop do ministério, onde são armazenados e consultados grandes volumes de dados.
Um script chamado hive_rce_py2.py se conecta ao HiveServer2, a frente SQL desse cluster, em uma máquina interna na porta 10000, e envia uma senha.
A própria documentação da Apache diz que o modo padrão de autenticação é NONE, o que aceita qualquer senha fornecida, sem validação.
Depois de conectado, o script instala um complemento Java malicioso chamado HiveCmd.jar como uma função definida pelo usuário, o que permite executar comandos do sistema operacional por meio de consultas comuns ao banco de dados e ler os resultados de volta.
A Cloudera alerta que qualquer pessoa capaz de instalar esse tipo de função pode executar código arbitrário como a conta de serviço do Hive e acessar dados sensíveis.
Também foi preparado no servidor um implante Go, até então não documentado, que o operador chama de Hades, construído para Windows e Linux em 62 cópias.
A Hunt.io analisou uma amostra de cada plataforma e encontrou a mesma base de código; as outras 60 não foram examinadas individualmente.
Seus endereços codificados ligam o servidor de preparação a um segundo host em Hong Kong, embora nenhum artefato recuperado mostre o Hades alcançando uma máquina do ministério.
Scripts separados testaram credenciais padrão em um console interno do GlassFish, sem que a implantação tenha sido confirmada, além de código de exploit para três falhas mais antigas em polkit, sudo e IIS 6.0.
O que fazer
Verifique se o HiveServer2 está rodando com autenticação definida como NONE e restrinja quem pode instalar funções definidas pelo usuário.
Esse é o padrão do qual o script do operador dependia.
Alerta para casos em que um processo de servidor web abra conexão com portas internas do Hadoop, como 10000 ou 50070.
Um servidor web se conectando a um nó Hadoop já merece atenção.
Faça buscas recursivas nas raízes web por arquivos PHP com nomes que começam com ponto e imitam caches do sistema.
Neste caso, o arquivo estava em /storage/Counter/nine/.journald-cache.php e não aparece em uma listagem normal de diretório.
Atualize os kernels contra todas as quatro falhas de 2026 citadas acima, além do sudo para 1.9.5p2 ou posterior, o polkit para
CVE-2021-4034
e qualquer restante de IIS 6.0 WebDAV.
O agente deixa seu próprio rastro.
O painel web do Hermes retorna o cabeçalho HermesWebUI server, e uma busca por essa string retornou cerca de 5.900 eventos de varredura em um mês, segundo relatório da Hunt.io de 23 de julho, contabilizando aparições e não máquinas distintas.
A pista mais útil está onde o agente grava seus resultados: uma pasta consistente /hermes-results/, com nomes de arquivo previsíveis, que apareceu em 575 resultados no índice da Hunt.io de diretórios expostos no mesmo dia, cada um com um par de host e nome de arquivo.
Nenhum controle de segurança expôs esse operador.
Uma listagem de diretório expôs.
O endpoint vê os mesmos comandos de shell e as mesmas ferramentas de qualquer forma.
Nada em uma linha de comando comum indica que não há ninguém digitando.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...