Sicherheitsexperten haben eine gezielte Cyber-Spionage-Kampagne gegen das thailändische Finanzministerium aufgedeckt. Wie Analysen der Plattform Hunt.io und eines Sicherheitsforschers belegen, setzten die Angreifer dabei auf hochmoderne, teils KI-gestützte Werkzeuge, um tief in die Infrastruktur der Behörde einzudringen. Im Zentrum der Untersuchung stehen ein autonom agierender KI-Agent sowie ein speziell entwickeltes Schadprogramm, die für die Infiltration und die Ausspähung interner Datenbestände eingesetzt wurden.
Entdeckung und Analyse der Angriffsinfrastruktur
Die Experten identifizierten in Hongkong lokalisierte Staging-Server, die im Zeitraum zwischen dem 9. und 13. Juli 2026 aktiv für die Kampagne genutzt wurden. Auf diesen Servern, die einer IP-Adresse aus Hongkong (103.97.0.57) zugeordnet werden konnten, befanden sich insgesamt 600 Dateien mit einem Gesamtumfang von 470 MB. Darunter befanden sich 585 Dateien, die als spezifische Angriffswerkzeuge klassifiziert wurden.
Die Analyse der Protokolldaten ergab, dass die Server unter anderem Exploit-Code, Webshells sowie entwendete Anmeldedaten enthielten. Zudem konnten die Forscher Logs des verwendeten KI-Agenten einsehen, die detailliert Aufschluss über das Vorgehen der Angreifer gaben. Das thailändische Computer Emergency Response Team (Thai CERT) wurde bereits am 15. Juli 2026 über die Vorfälle informiert, um entsprechende Gegenmaßnahmen einzuleiten.
Einsatz von KI-Agenten und fortschrittlichen Schadprogrammen
Technisch zeichnet sich der Angriff durch den Einsatz des sogenannten Hermes AI-Agenten aus, der in einem speziellen Betriebsmodus, dem „YOLO-Modus“, agierte. Dieser Agent war für die autonome Erkundung des Netzwerks, die Identifizierung von Dateien und die Eskalation von Benutzerrechten verantwortlich. Dabei griff das System unter anderem auf das Tool LinPEAS zurück, um Schwachstellen für eine Privilegieneskalation innerhalb der ministeriellen Systeme zu finden.
Der Einsatz autonomer KI-Systeme bei Cyberangriffen verdeutlicht die neuen technologischen Risiken, die auch durch die Gesetzgebung adressiert werden. Welche rechtlichen Pflichten und Bedrohungen Unternehmer im Kontext neuer KI-Regeln jetzt kennen müssen, klärt dieser kostenlose Report auf. Neue KI-Gesetze und Cyberrisiken verstehen
Ergänzend dazu setzten die Hintermänner das sogenannte Hades Go-Implantat ein. Diese in der Programmiersprache Go verfasste Malware unterstützt verschlüsselte Kommunikation mit einem Command-and-Control-Server (C2), sorgt für eine dauerhafte Verankerung im System und nutzt Techniken wie Process Hollowing, um Entdeckungen durch Sicherheitsprogramme zu entgehen.
Angriffsziele und Hinweise auf die Urheber
Die Untersuchungen verdeutlichen, dass es die Angreifer insbesondere auf die Big-Data-Infrastruktur des Ministeriums abgesehen hatten. Durch maßgeschneiderte Skripte wurde das Hadoop-System des Ministeriums über die Komponente HiveServer2 attackiert. Dabei machten sich die Akteure zunutze, dass für den Zugriff lediglich Standard-Authentifizierungen hinterlegt waren.
Der KI-Agent suchte gezielt nach Personalakten, die bis in das Jahr 2012 zurückreichen. Trotz der tiefgreifenden Infiltration und der umfassenden Vorbereitungen zur Datenspionage konnten die Sicherheitsforscher bislang keine eindeutigen Belege für einen erfolgreichen Abfluss von Massendaten (Data Exfiltration) finden.
Angriffe auf sensible Infrastrukturen und Personalakten zeigen, wie wichtig ein proaktiver Schutz vor modernen Cyberbedrohungen für jedes Unternehmen ist. Erfahren Sie im kostenlosen E-Book, wie Sie Sicherheitslücken schließen und Ihre IT-Sicherheit ohne teure Investitionen nachhaltig stärken. Gratis-Ratgeber für IT-Sicherheit herunterladen
Hinsichtlich der Urheberschaft der Kampagne deuten verschiedene Indikatoren auf einen chinesischsprachigen Akteur hin. Neben der Nutzung von Infrastruktur in Hongkong stießen die Analysten bei der Auswertung der Tools und Skripte auf entsprechende sprachliche Merkmale. Die Ermittlungen zum exakten Ursprung und den langfristigen Zielen der Kampagne dauern an, während die thailändischen Behörden an der Absicherung der betroffenen Systeme arbeiten.
