L'agent IA Hermes en mode YOLO automatise une attaque contre le ministère des Finances thaïlandais

Introduction

Entre le 9 et le 13 juillet 2026, un acteur non identifié a exploité l'agent IA open‑source Hermes pour automatiser les phases de post‑exploitation contre le ministère des Finances thaïlandais. L'opération a été révélée grâce à trois répertoires exposés sur un serveur basé à Hong Kong, contenant 585 fichiers pour environ 470 Mo : des exploits, des webshells, des outils de tunneling, des scripts personnalisés, des identifiants dérobés et des logs générés par Hermes lui‑même. L'agent fonctionnait en mode « YOLO » (exécution automatique sans confirmation humaine), réduisant drastiquement le besoin d'interaction manuelle et accélérant les activités malveillantes. Bien qu'aucune exfiltration de données n'ait été détectée, l'étendue de l'accès et la nature des informations compromises rendent l'incident de gravité élevée/critique.

Analyse technique

Les chercheurs de Hunt.io, dirigés par Bob Diachenko, ont découvert sur un serveur avec l'IP 202.181.27.115 (Hong Kong) un répertoire web publiquement accessible contenant tout l'arsenal offensif. Parmi les outils trouvés figurent :

• Hades, un implant personnalisé en Go compatible Windows et Linux.
• Un webshell PHP déployé sur un serveur web du ministère.
• Une version modifiée du script d'énumération LinPEAS.
• Des outils de tunneling HTTP pour la persistance et le contournement des restrictions réseau.

Hermes, en mode YOLO, a automatiquement effectué l'énumération du système, l'analyse de vulnérabilités du noyau, la recherche de binaires SUID/SGID, l'inspection des conteneurs Docker et la navigation dans le système de fichiers. Les logs montrent que l'agent a catalogué des fichiers PDF, DOC et XLS (évaluations du personnel et archives remontant à 2012) dans le répertoire web du Bureau du Secrétaire permanent.

Les fichiers contiennent des références à des systèmes internes du ministère (noms d'hôte, IP privées) et désignent comme cibles les services Apache Ambari, GlassFish, Hadoop, un panneau d'administration web et des serveurs de messagerie. L'infrastructure malveillante inclut également l'IP 118.107.222.232 (Malaisie) ; les deux serveurs partageaient des certificats TLS avec la même empreinte JA4X, permettant de corréler les activités. Le vecteur d'accès initial reste inconnu et le ministère n'a pas encore confirmé officiellement la violation.

Impact

La compromission a accordé un accès non autorisé à de multiples systèmes internes, avec une exposition potentielle d'identifiants et de documents confidentiels (dossiers du personnel, évaluations de performance). Même en l'absence d'exfiltration avérée, l'ampleur de l'accès et la présence d'implants comme Hades représentent un risque concret de vol différé, de déplacements latéraux ou d'attaques futures (ex. ransomware). L'incident entraîne également un préjudice réputationnel significatif pour le ministère et de possibles répercussions diplomatiques et économiques pour la Thaïlande.

Atténuation

Pour contenir et prévenir des attaques similaires, les mesures suivantes sont recommandées :

• Réduire la surface d'attaque : désactiver l'exposition publique de panneaux d'administration (Ambari, GlassFish), appliquer une authentification forte et segmenter le réseau.
• Implémenter les indicateurs de compromission (IoC) : bloquer les IP malveillantes (118.107.222.232, 202.181.27.115), surveiller les empreintes JA4X des certificats TLS et les hachages de l'implant Hades.
• Détection comportementale : configurer des règles pour identifier les séquences typiques d'automatisation par IA (ex. exécution de LinPEAS, motifs de commandes du mode YOLO de Hermes) et l'usage de webshells.
• Principe du moindre privilège : limiter les droits des comptes de service et des utilisateurs pour limiter l'impact post‑exploitation.
• Gestion des correctifs : mettre à jour rapidement les services exposés (Hadoop, GlassFish, Apache Ambari) et surveiller les logs pour détecter des tentatives d'exploit connues.
• Révision de l'infrastructure TLS : révoquer ou renouveler les certificats suspects et vérifier la configuration des serveurs.
• Collaboration et notification : partager les IoC avec les CERT nationaux et les équipes de sécurité internes.

FAQ

1. Que signifie le « mode YOLO » pour un agent IA et pourquoi est‑il dangereux ?
Le mode YOLO (You Only Live Once) de Hermes exécute automatiquement des commandes et des opérations sans attendre de confirmation humaine. Dans une attaque, cela automatise des phases comme l'énumération, la collecte de données et le déplacement latéral, rendant l'opération plus rapide et plus difficile à détecter manuellement.

2. Quels sont les risques même en l'absence d'exfiltration immédiate ?
L'attaquant pourrait avoir déjà acquis un accès persistant et catalogué des documents sensibles, se préparant à un vol futur, à des opérations d'espionnage ou à un sabotage (ex. ransomware). De plus, des identifiants dérobés peuvent alimenter d'autres attaques.

3. Comment les défenses peuvent-elles détecter une attaque automatisée par IA ?
Il est nécessaire d'implémenter une détection comportementale pour les séquences anormales de commandes (ex. exécution massive de scripts comme LinPEAS, recherche de SUID), de surveiller le trafic vers les IoC connus (IP, empreinte TLS JA4X) et d'utiliser des honeypots internes pour intercepter les activités suspectes.