🔍 Contexte

Publié le 23 juillet 2026 par Hunt.io en collaboration avec le chercheur Bob Diachenko, cet article présente les résultats d’une investigation sur une opération d’espionnage ciblant le Ministère des Finances de Thaïlande (MOF). La divulgation coordonnée a été effectuée auprès du CERT national thaïlandais et du NCSA le 15 juillet 2026.

🏗️ Infrastructure de staging

Entre le 9 et le 13 juillet 2026, Hunt.io Attack Capture a identifié trois répertoires ouverts sur l’IP 43.246.208[.]207 (AS132883, TOPIDC, Hong Kong), exposant 585 fichiers et 470 Mo de code offensif et de credentials volés sur les ports 80, 8080 et 8443. Cette IP présente un historique de contrôleur ShadowPad et héberge activement un serveur C2 VShell sur le port 21083. Le domaine redhatupdating432.dnsrd[.]com pointe vers ce serveur.

Un pivot sur les certificats TLS (fingerprint JA4X partagé, CN=www) a permis d’identifier deux hôtes supplémentaires liés à l’infrastructure :

  • 118.107.222[.]232 (The Gigabit, Malaisie)
  • 202.181.27[.]115 (Converged Communications Limited, Hong Kong)

Un quatrième hôte, 103.97.0[.]57 (HK Kwaifong Group Limited, Hong Kong), a été identifié comme IP d’accès SSH de l’opérateur via la configuration Hermes.

🤖 L’agent IA autonome Hermes

Hermes est un agent IA open-source publié en février 2026, dépassant 140 000 étoiles GitHub. L’opérateur l’a exécuté en mode YOLO (sans validation humaine des commandes dangereuses), permettant une énumération autonome du réseau du MOF. Les logs récupérés montrent :

  • Exécution de LinPEAS personnalisé ciblant des CVE 2026 (CVE-2026-43503 « DirtyClone », CVE-2026-31431 « Copy Fail », CVE-2026-43284/CVE-2026-43500 « Dirty Frag »)
  • Énumération des hôtes, fichiers, binaires SUID/SGID
  • Recherche récursive du webroot du Bureau du Secrétaire Permanent (fichiers Office, formulaires d’évaluation, dossiers du personnel depuis 2012)
  • Le mot de passe de l’interface web contient le terme chinois « Leishen » (Dieu du Tonnerre)
  • Une clé API FOFA (plateforme de reconnaissance chinoise) était présente

🐍 L’implant Hades

Hades est un implant Go inédit, cross-platform (Windows PE et Linux ELF), avec les capacités suivantes :

  • Communication C2 : HTTPS avec URI imitant des assets statiques (/assets/app.min.js, /assets/vendor.js, /assets/main.js), chiffrement AES-256-GCM
  • Persistance : Registry Run Key + tâche planifiée (Windows), cron job (Linux)
  • Exécution en mémoire : Reflective PE loading via process hollowing dans svchost.exe (Windows), shellcode (Linux)
  • Fonctionnalités : shell interactif, proxy SOCKS, transfert de fichiers chunked/resumable, capture d’écran (Windows)
  • OPSEC : kill-date configurable (HADES_KILLDATE), plage horaire de travail pour réduire la détection
  • Les binaires sont nommés d’après des processus légitimes : ctfmon, csrss, kworker, multipathd, accounts-daemon

Le binaire Windows (dwm_33b7.exe) beacon vers 43.246.208[.]207:443, le binaire Linux (multipathd_04d0) vers 202.181.27[.]115:12443.

🎯 Ciblage et victimologie

Les scripts personnalisés référencent les systèmes MOF par nom d’hôte et adresses internes :

  • Session cookies : PHPSESSID, XSRF-TOKEN, session Laravel du panneau admin ICT du MOF
  • Hadoop/HiveServer2 : script hive_rce_py2.py exploitant l’authentification NONE par défaut via SASL PLAIN, UDF Java malveillant (HiveCmd.jar) pour RCE, exfiltration via WebHDFS (port 50070)
  • Apache Ambari : payload ambari_cmd.json ciblant un DataNode HDFS interne par hostname
  • GlassFish : scripts Node.js déployant des WAR shells (shell.war, itcenter-docs.war) via SOCKS5 proxy local (127.0.0.1:1111)
  • Webshell PHP : déployé à /storage/Counter/nine/.journald-cache.php
  • Infrastructure mail : scripts Perl/Python (mail4.pl, mail_test.py, mail3.py) testant des credentials hardcodés contre l’infrastructure SMTP du MOF
  • Alfresco : session material dans alf_cookie.txt

🔓 Outils de post-exploitation

  • CVE-2021-3156 (sudo heap overflow) : exploit mailer.py ciblant CentOS 6/7 avec sudo 1.8.x
  • CVE-2021-4034 (PwnKit, polkit pkexec) : LPE Linux
  • CVE-2017-7269 (IIS 6.0 WebDAV buffer overflow) : module Metasploit avec shellcode hardcodé pour les systèmes MOF

📊 Attribution

L’historique ShadowPad du serveur, l’infrastructure Hong-kongaise, l’utilisation de FOFA et les indicateurs en langue chinoise conduisent à une évaluation de confiance faible à moyenne d’un acteur sinophone.

📋 Type d’article

Il s’agit d’une analyse technique approfondie publiée par Hunt.io, documentant une opération d’espionnage en cours avec extraction complète d’IoCs, mapping MITRE ATT&CK et pivots d’infrastructure.

🧠 TTPs et IOCs détectés

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1505.003 — Server Software Component: Web Shell (Persistence)
  • T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1090.001 — Proxy: Internal Proxy (Command and Control)
  • T1059 — Command and Scripting Interpreter (Execution)
  • T1072 — Software Deployment Tools (Execution)
  • T1068 — Exploitation for Privilege Escalation (Privilege Escalation)
  • T1082 — System Information Discovery (Discovery)
  • T1083 — File and Directory Discovery (Discovery)
  • T1539 — Steal Web Session Cookie (Credential Access)
  • T1110.003 — Brute Force: Password Spraying (Credential Access)
  • T1547.001 — Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder (Persistence)
  • T1053 — Scheduled Task/Job (Persistence)
  • T1055.012 — Process Injection: Process Hollowing (Defense Evasion)
  • T1113 — Screen Capture (Collection)

IOC

  • IPv4 : 43.246.208.207 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 103.97.0.57 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 118.107.222.232 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 202.181.27.115 — AbuseIPDB · VT · ThreatFox
  • Domaines : redhatupdating432.dnsrd.com — VT · URLhaus · ThreatFox
  • SHA256 : 0f8c905aa25c86f8c5454ace7ee77cbf5c50220c2a82e5b69a33741e55c8a85f2fc — VT · MalwareBazaar
  • SHA256 : a9447ae174f4aa54f760b7d7cc985c1a970f31e151d3ff66fac247f99ba1b509 — VT · MalwareBazaar
  • SHA256 : ec7e9ab43a0cc65d29f0b84a93ba88c43d01fed3dec5c968525dc73c03cbfda2 — VT · MalwareBazaar
  • SHA256 : b65b7ede835ebba36294d52d7780065523340ee09bb8b209ef2dc495e53dfd53 — VT · MalwareBazaar
  • SHA256 : d252ee7b348b7e43e432d8fb154465838f5cd5fb564905323460e6f0a0c7d1e2 — VT · MalwareBazaar
  • SHA256 : c74010aa82e8164c8d4ca9e073ec6b9a762e53db67498b22f5ccaef3a82853f — VT · MalwareBazaar
  • CVEs : CVE-2021-4034 — NVD · CIRCL
  • CVEs : CVE-2021-3156 — NVD · CIRCL
  • CVEs : CVE-2017-7269 — NVD · CIRCL
  • CVEs : CVE-2026-43503 — NVD · CIRCL
  • CVEs : CVE-2026-31431 — NVD · CIRCL
  • CVEs : CVE-2026-43284 — NVD · CIRCL
  • CVEs : CVE-2026-43500 — NVD · CIRCL
  • Fichiers : multipathd_04d0
  • Fichiers : dwm_33b7.exe
  • Fichiers : hades_linux_amd64
  • Fichiers : hades_windows_amd64
  • Fichiers : hive_rce_py2.py
  • Fichiers : HiveCmd.jar
  • Fichiers : hive_full_v3.tar.gz
  • Fichiers : ambari_cmd.json
  • Fichiers : gf_redeploy.js
  • Fichiers : shell.war
  • Fichiers : itcenter-docs.war
  • Fichiers : mail4.pl
  • Fichiers : mail_test.py
  • Fichiers : mail3.py
  • Fichiers : linpeas.sh
  • Fichiers : mailer.py
  • Fichiers : alf_cookie.txt
  • Chemins : /storage/Counter/nine/.journald-cache.php
  • Chemins : /hermes-results/

Malware / Outils

  • Hades (rat)
  • Hermes (framework)
  • VShell (rat)
  • ShadowPad (backdoor)
  • LinPEAS (tool)
  • suo5 (tool)
  • HiveCmd (other)

🟡 Indice de vérification factuelle : 63/100 (moyenne)

  • ⬜ hunt.io — source non référencée (0pts)
  • ✅ 36966 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 37 IOCs dont des hashes (15pts)
  • ✅ 1/7 IOC(s) confirmé(s) (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (8pts)
  • ✅ 16 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ 0/5 CVE(s) confirmée(s) (0pts)

IOCs confirmés externellement :

  • 43.246.208.207 (ip) → VT (5/91 détections)

🔗 Source originale : https://hunt.io/blog/thailand-ministry-finance-targeted-with-hermes-ai-agent