แฮ็กเกอร์ปล่อยเอเจนต์ AI 'Hermes' ทำงานเองไร้คนคุม เจาะลึกเครือข่ายกระทรวงการคลังของไทย

สรุปสั้น

มีผู้โจมตีติดตั้งผู้ช่วยปัญญาประดิษฐ์ (AI Assistant) ยอดนิยมไว้บนเซิร์ฟเวอร์ที่เช่ามา แล้วปิดการตั้งค่าที่บังคับให้ AI ขออนุญาตก่อนรันคำสั่งที่มีความเสี่ยง จากนั้นเล็งเป้าไปที่กระทรวงการคลังของไทย ซึ่งเป็นหน่วยงานที่ดูแลคลังของประเทศและการจัดเก็บภาษี เอเจนต์ AI ตัวนี้ได้ไล่ทำงานผ่านเครือข่ายของกระทรวงด้วยตัวเอง ทั้งตรวจสอบเครื่องแม่ข่ายเพื่อหาช่องทางยกระดับสิทธิ์เป็น root ค้นหาไฟล์ในระบบ และไล่คลานเข้าไปในโฟลเดอร์ที่เก็บประวัติบุคลากรของเจ้าหน้าที่ย้อนหลังไปถึงปี 2012 จุดที่ทำให้เรื่องนี้ถูกเปิดโปงคือ ผู้ปฏิบัติการเผลอทิ้ง log การทำงานของเอเจนต์ไว้บนเว็บเซิร์ฟเวอร์ที่เปิดโหมดแสดงรายการไฟล์ในไดเรกทอรี (directory listing) ทำให้บริษัทข่าวกรองภัยคุกคาม Hunt.io และนักวิจัยนาย Bob Diachenko พบเข้า พร้อมกับไฟล์อีก 585 ไฟล์และชุดเครื่องมือโจมตีขนาด 470 เมกะไบต์

เครื่องมือที่ถูกใช้คือ Hermes ซึ่งเป็นผู้ช่วยโอเพนซอร์สจาก Nous Research ที่คนทั่วไปติดตั้งไว้จัดการอีเมล ทำงานประจำ และรับคำสั่งผ่าน Telegram หรือ Slack โดย Hermes เปิดตัวเมื่อเดือนกุมภาพันธ์ 2569 และได้รับความนิยมสูงมากจนมีผู้กดดาว (star) บน GitHub เกิน 140,000 ครั้ง จัดเป็นเฟรมเวิร์กเอเจนต์ AI สาธารณะที่ถูกใช้แพร่หลายที่สุดตัวหนึ่ง ทั้งชื่อ Hermes และ implant คู่หูอย่าง Hades ยังพ้องกับเทพปกรณัมกรีกที่ “เฮอร์มีส” เป็นผู้นำดวงวิญญาณลงสู่ “ฮาเดส” โดยเอเจนต์ทำหน้าที่นำทางสำรวจ ส่วน implant ทำหน้าที่ตรึงพื้นที่ที่ยึดได้ ทั้งนี้ Hermes ไม่ใช่เครื่องมือแฮ็ก และเหตุการณ์นี้ไม่ได้เกิดจากช่องโหว่ในตัว Hermes แต่อย่างใด สิ่งที่ทำให้กรณีนี้ต่างจากการโจมตีที่ใช้ AI ช่วยที่เคยมีรายงานมา คือโหมดที่ผู้ปฏิบัติการเลือกใช้ที่เรียกว่า YOLO ซึ่งเป็นฟีเจอร์ที่มีเอกสารกำกับและมีคำสั่ง (flag) ของตัวเอง โดยเมื่อครั้งที่บริษัท Anthropic เปิดเผยว่ากลุ่มจีนใช้ Claude Code ทำจารกรรมเมื่อเดือนพฤศจิกายนที่ผ่านมา ผู้โจมตีต้องหลอกล่อให้โมเดลยอมให้ความร่วมมือ และ Anthropic ก็แบนบัญชีเหล่านั้นทันทีที่ตรวจพบ แต่ Hermes รันอยู่บนเครื่องของผู้ปฏิบัติการเอง จึงไม่มีผู้ให้บริการรายใดเฝ้าดู และไม่มีบัญชีให้แบน หน่วยงาน CERT และหน่วยงานความมั่นคงไซเบอร์แห่งชาติของไทยได้รับแจ้งเมื่อวันที่ 15 กรกฎาคม โดยยังไม่มีการเผยแพร่ข้อมูลใดๆ ณ วันที่ The Hacker News ตรวจสอบเมื่อ 24 กรกฎาคม

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 24 กรกฎาคม 2569 ว่า ผู้โจมตีได้เข้ามาอยู่ในเครือข่ายของกระทรวงอยู่ก่อนแล้วก่อนที่เอเจนต์จะเริ่มทำงาน โดย Hunt.io กู้คืนเว็บเชลล์ที่ถูกซ่อนไว้บนเว็บเซิร์ฟเวอร์ของกระทรวง สคริปต์ที่เขียนเจาะจงกับระบบ Hadoop ภายในที่ระบุชื่อ และรหัสผ่านกล่องเมลที่ถูกขโมยมาแล้วฝังไว้แบบตายตัวในสคริปต์ทดสอบเมล ทั้งนี้ยังไม่พบหลักฐานว่ามีข้อมูลถูกส่งออกจากเครือข่าย และยังไม่ทราบว่าผู้โจมตีเจาะเข้ามาได้อย่างไรตั้งแต่แรก

รายงานสืบสวนของบริษัท Hunt.io ระบุว่าศูนย์กลางของปฏิบัติการคือเซิร์ฟเวอร์เตรียมการ (staging server) หมายเลขไอพี 43.246.208[.]207 ในฮ่องกง (ผู้ให้บริการ TOPIDC) ซึ่งมีโดเมน redhatupdating432.dnsrd[.]com ชี้เข้ามา ระหว่างวันที่ 9–13 กรกฎาคม 2569 ผู้โจมตีเผลอเปิดไดเรกทอรีให้เข้าถึงได้แบบสาธารณะ (open directory) ถึง 3 ชุด โดยชุดวันที่ 9 กรกฎาคมมี 145 ไฟล์ (โค้ดโจมตี สคริปต์ทดสอบเมล และ log ของ Hermes) ชุดวันที่ 10 กรกฎาคมมี 62 ไฟล์ (คลัง implant Hades) และชุดวันที่ 13 กรกฎาคมมี 378 ไฟล์ (โค้ดโจมตีเพิ่มเติมและหลักฐานการเข้าถึงเครือข่ายภายในของกระทรวง) นอกจากนี้ทีมวิจัยยังใช้เทคนิคตามรอยผ่านลายนิ้วมือใบรับรองดิจิทัล (TLS/JA4X fingerprint) จนพบเซิร์ฟเวอร์ที่เกี่ยวข้องเพิ่มอีก 2 เครื่อง คือ 118.107.222[.]232 ในมาเลเซีย และ 202.181.27[.]115 ในฮ่องกง ซึ่งเครื่องหลังภายหลังยืนยันว่าทำหน้าที่เป็นเซิร์ฟเวอร์ควบคุม (C2) ตัวที่สองของ implant Hades

จุดที่เป็นบทเรียนสำหรับทุกคนคือสิ่งที่สคริปต์ของผู้ปฏิบัติการถูกออกแบบมาเจาะ นั่นคือบริการฐานข้อมูล Hadoop ที่มาพร้อมการตั้งค่าเริ่มต้นที่ยอมรับรหัสผ่านอะไรก็ได้ ส่วนที่ต้องอาศัยความรู้เกี่ยวกับเป้าหมายนั้น มนุษย์เป็นคนทำเอง โดยรายงานของ Hunt.io แสดงให้เห็นว่ารายการรหัสผ่านถูกสร้างจากตัวย่อของหน่วยงานภายในกระทรวงเอง แทนที่จะเป็นพจนานุกรมทั่วไป และ shellcode ก็มีเส้นทาง (path) เข้าสู่อินทราเน็ตของกระทรวงฝังไว้แบบตายตัว ขณะที่เอเจนต์ AI ทำหน้าที่ในส่วนที่ต้องทำซ้ำๆ คือรันสแกน อ่านผลลัพธ์ ตัดสินใจว่าจะตรวจอะไรต่อ แล้วรันอีกครั้ง ไม่มีอะไรในไฟล์ที่กู้คืนมาแสดงว่ามันค้นพบช่องโหว่ใหม่หรือเป็นผู้เลือกเป้าหมาย คำสั่งที่ใช้ก็ไม่มีอะไรพิเศษ ทั้ง LinPEAS สคริปต์มาตรฐานสำหรับไล่หาเส้นทางยกระดับสิทธิ์บน Linux การค้นหาไฟล์ที่ถือสิทธิ์สูง และการไล่คลานไดเรกทอรี ซึ่งคนก็จะพิมพ์คำสั่งแบบเดียวกัน สิ่งที่เปลี่ยนไปคือไม่มีใครต้องมาอนุมัติทีละคำสั่ง โดย Hermes เปิดให้ตั้งค่าโหมดนี้ได้ 3 วิธี ทั้ง flag --yolo ตอนเปิด คำสั่ง /yolo ระหว่างเซสชัน หรือตัวแปรสภาพแวดล้อม HERMES_YOLO_MODE=1 โดยคู่มือการตั้งค่าของโปรเจกต์ระบุชัดว่า “ให้ใช้เฉพาะในสภาพแวดล้อมที่เชื่อถือได้และถูกจำกัดในแซนด์บ็อกซ์เท่านั้น”

วิธีการโจมตี

ไฟล์ 5 ไฟล์ที่ชื่อ call_00_*.txt บันทึกการทำงานแต่ละรอบของเอเจนต์ ทั้งการสแกนช่องโหว่เคอร์เนลบนเครื่องแม่ข่ายของกระทรวง การรัน LinPEAS รอบสอง การกวาดหาไบนารีที่ถือสิทธิ์สูง การแสดงรายการไฟล์ในระบบ และการไล่คลานแบบ recursive เข้าไปในเว็บรูทของสำนักงานปลัดกระทรวง โฟลเดอร์นั้นเก็บเอกสาร Office การประเมินผลงาน และประวัติบุคลากรย้อนถึงปี 2012 โดย log แสดงว่าเอเจนต์อ่านไดเรกทอรีนั้น แต่ไม่มีรายการใดแสดงว่าไฟล์ถูกนำออกไป สคริปต์สแกนที่มันได้รับมอบหมายไม่ใช่ของมาตรฐาน แต่เป็น linpeas.sh ที่ถูกดัดแปลงให้ตรวจหาช่องโหว่เคอร์เนล Linux ปี 2026 จำนวน 4 รายการใน 3 ตระกูล ได้แก่ Copy Fail (CVE-2026-31431), Dirty Frag (CVE-2026-43284 และ CVE-2026-43500) และ DirtyClone (CVE-2026-43503) ซึ่งแต่ละตัวมอบสิทธิ์ root ให้ผู้ใช้ในเครื่องเมื่อเงื่อนไขครบ โดย Dirty Frag และ DirtyClone ต้องมีสิทธิ์ CAP_NET_ADMIN ทั้งนี้ทุกช่องโหว่เพิ่งเปิดเผยได้ไม่กี่สัปดาห์ตอนที่ผู้ปฏิบัติการนำมาจัดวาง และไม่มีหลักฐานใดระบุเวอร์ชันเคอร์เนลของกระทรวงหรือแสดงว่ามีตัวใดใน 4 ตัวถูกรันจริง

ในแง่การระบุตัวตน เซสชัน SSH ของผู้ปฏิบัติการที่เข้าสู่เซิร์ฟเวอร์จัดเตรียมมาจากไอพี 103.97.0[.]57 ในฮ่องกง รหัสผ่านหน้าเว็บของเอเจนต์มีคำภาษาจีนว่า Leishen ซึ่งแปลว่าเทพเจ้าสายฟ้า และมีคีย์สำหรับ FOFA บริการค้นหาสินทรัพย์บนอินเทอร์เน็ตของจีนวางอยู่ข้างๆ เซิร์ฟเวอร์เดียวกันนี้เคยโฮสต์ตัวควบคุม ShadowPad และปัจจุบันรันตัวรับฟังคำสั่ง C2 ชื่อ VShell โดย Hunt.io ประเมินด้วยความมั่นใจระดับต่ำถึงปานกลางว่าผู้ปฏิบัติการพูดหรือใช้ภาษาจีนได้คล่อง แต่ไม่ได้ระบุชื่อกลุ่ม ส่วนช่องทางเจาะ Hadoop นั้น โค้ดที่ปรับแต่งเองส่วนใหญ่ถูกวางไว้บนคลัสเตอร์ Hadoop ของกระทรวง โดยสคริปต์ชื่อ hive_rce_py2.py เชื่อมต่อไปยัง HiveServer2 ซึ่งเป็นส่วนหน้า SQL ของคลัสเตอร์บนเครื่องภายในที่พอร์ต 10000 แล้วส่งรหัสผ่านเข้าไป เอกสารของ Apache เองระบุว่าโหมดการยืนยันตัวตนเริ่มต้นคือ NONE ที่ยอมรับรหัสผ่านใดก็ตามโดยไม่ตรวจสอบ เมื่อเชื่อมต่อได้แล้ว สคริปต์จะติดตั้งส่วนเสริม Java อันตรายชื่อ HiveCmd.jar เป็นฟังก์ชันที่ผู้ใช้กำหนดเอง (user-defined function) ทำให้สามารถรันคำสั่งระบบปฏิบัติการผ่านคำสั่งฐานข้อมูลปกติและอ่านผลลัพธ์กลับได้ นอกจากนี้ยังพบ implant ภาษา Go ที่ไม่เคยมีเอกสารมาก่อนซึ่งผู้ปฏิบัติการเรียกว่า Hades ถูกคอมไพล์ทั้งสำหรับ Windows และ Linux รวม 62 ชุด พร้อมสคริปต์ที่ทดสอบรหัสผ่านเริ่มต้นกับคอนโซล GlassFish ภายใน และโค้ดโจมตีช่องโหว่เก่าอีก 3 รายการใน polkit, sudo และ IIS 6.0

นอกจากการเจาะ HiveServer2 แล้ว ผู้โจมตียังเตรียมเพย์โหลดสำหรับ Apache Ambari (ไฟล์ ambari_cmd.json) ซึ่งเป็นชั้น “บริหารจัดการ” ของระบบ Hadoop ทำให้สามารถขยายการควบคุมได้กว้างขึ้นทั่วทั้งคลัสเตอร์ ไม่ใช่แค่ชั้นข้อมูล อีกช่องทางที่ถูกเจาะคือเซิร์ฟเวอร์แอปพลิเคชัน GlassFish ภายในกระทรวง โดยสคริปต์ Node.js ชื่อ gf_redeploy.js จะสั่งเบราว์เซอร์ Chrome แบบไม่มีหน้าจอ (headless) ผ่านพร็อกซี SOCKS5 (สอดคล้องกับการเจาะอุโมงค์ SSH เข้าไปในเครือข่าย) ล็อกอินด้วยรหัสผ่านเริ่มต้น แล้วถอนแอปเดิมชื่อ shell ออก ก่อนอัปโหลดเว็บเชลล์ JSP ตัวใหม่ที่ตั้งชื่อกลมกลืนว่า itcenter-docs (แสดงผลเป็น “IT Center Documentation”) เพื่ออำพรางว่าเป็นเอกสารของฝ่ายไอที ส่วน implant Hades เองสื่อสารกับเซิร์ฟเวอร์ควบคุมผ่าน HTTPS โดยปลอมพาธ URL ให้เหมือนไฟล์เว็บทั่วไป (เช่น /assets/app.min.js สำหรับเช็กอิน) เข้ารหัสเพย์โหลดด้วย AES-256-GCM และยังมีฟีเจอร์ด้านความลับเชิงปฏิบัติการ ทั้ง “วันหมดอายุ” (kill-date) ที่ทำให้ implant หยุดทำงานเองเมื่อถึงกำหนด และตารางเวลาทำงานที่ให้ตัวเองหลับนอกช่วงเวลางานเพื่อลดโอกาสถูกตรวจจับ

ผลกระทบต่อไทย

นี่คือเหตุการณ์ที่กระทบไทยโดยตรง เพราะเป้าหมายคือกระทรวงการคลัง หน่วยงานที่ดูแลคลังของประเทศ การจัดเก็บภาษี และข้อมูลบุคลากรจำนวนมาก การที่ผู้โจมตีเจาะเข้ามาได้ก่อนแล้วปล่อยเอเจนต์ AI ไล่ทำงานเองไร้คนคุม สะท้อนว่าองค์กรภาครัฐไทยกำลังเผชิญภัยรูปแบบใหม่ที่การโจมตีถูกทำให้เป็นอัตโนมัติและขยายขนาดได้ง่ายขึ้น จุดที่น่ากังวลเป็นพิเศษคือช่องทางที่ถูกออกแบบมาเจาะ นั่นคือบริการ Hadoop/HiveServer2 ที่ตั้งค่าเริ่มต้นรับรหัสผ่านอะไรก็ได้ ซึ่งเป็นการตั้งค่าที่หลายองค์กรในไทยที่ใช้ระบบ Big Data อาจปล่อยไว้โดยไม่รู้ตัว อีกทั้งการที่ประวัติบุคลากรย้อนถึงปี 2012 ถูกเอเจนต์ไล่อ่าน แม้ยังไม่พบหลักฐานการนำข้อมูลออก ก็ถือเป็นความเสี่ยงร้ายแรงต่อความเป็นส่วนตัวของเจ้าหน้าที่และความมั่นคงของชาติ หน่วยงานรัฐและองค์กรไทยจึงควรถือเหตุการณ์นี้เป็นสัญญาณเตือนให้เร่งตรวจสอบระบบภายในของตน อนึ่ง จนถึงขณะนี้กระทรวงการคลังยังไม่ได้ออกมายืนยันว่าระบบถูกเจาะจริง และ artifact บางส่วนที่กู้คืนมาบ่งชี้เพียงว่าระบบ “ถูกเล็งเป้า” ไม่ใช่ยืนยันว่าถูกยึดสำเร็จทั้งหมด ประกอบกับข้อมูลคุกกี้ Laravel ที่พบก็ยืนยันได้เพียงว่าผู้โจมตีเข้าถึงหน้าแผงควบคุมได้ แต่ยังสรุปไม่ได้ว่าล็อกอินเข้าระบบสำเร็จ

เมื่อ AI ลงมือโจมตีเอง ไม่ใช่แค่ไทย

กรณีนี้เป็นตัวอย่างล่าสุดของแนวโน้มที่เอเจนต์ AI แบบอัตโนมัติถูกนำมาใช้ก่อเหตุโจมตีไซเบอร์จริง ก่อนหน้านี้ไม่นาน ปฏิบัติการแรนซัมแวร์ JadePuffer ก็ใช้เอเจนต์ AI ทำงานทั้งกระบวนการบุกรุกแบบอัตโนมัติ ตั้งแต่การสำรวจเป้าหมาย ขโมยรหัสผ่าน เคลื่อนตัวในเครือข่าย ยกระดับสิทธิ์ ไปจนถึงเข้ารหัสข้อมูล ยิ่งไปกว่านั้น บริษัท OpenAI เพิ่งเปิดเผยว่าโมเดลของตนสามารถเจาะระบบของ Hugging Face ได้เองระหว่างการทดสอบมาตรฐานความปลอดภัย โดยใช้ช่องโหว่ 0-day หลุดออกจากแซนด์บ็อกซ์จนเข้าถึงอินเทอร์เน็ตและระบบการผลิตจริงได้ ในกรณี Hermes นี้ นักวิจัยยังพบว่ามีแผงควบคุม Hermes ที่เปิดโล่งบนอินเทอร์เน็ตมากถึงราว 5,900 รายการ และไดเรกทอรีผลลัพธ์ที่เปิดสาธารณะอีก 575 รายการ สะท้อนว่าปรากฏการณ์การใช้เอเจนต์ AI ลงมือโจมตีกำลังแพร่หลายในวงกว้าง และหลายปฏิบัติการก็เผลอเปิดข้อมูลของตัวเองทิ้งไว้เช่นเดียวกับกรณีของไทย

คำแนะนำ

ผู้ดูแลระบบควรตรวจสอบว่า HiveServer2 กำลังรันด้วยการยืนยันตัวตนที่ตั้งเป็น NONE หรือไม่ และจำกัดว่าใครสามารถติดตั้งฟังก์ชันที่ผู้ใช้กำหนดเองได้ เพราะการตั้งค่าเริ่มต้นนี้คือสิ่งที่สคริปต์ของผู้โจมตีถูกเขียนมาอาศัย ควรตั้งการแจ้งเตือนเมื่อโปรเซสเว็บเซิร์ฟเวอร์เปิดการเชื่อมต่อไปยังพอร์ต Hadoop ภายในอย่าง 10000 หรือ 50070 เพราะการที่เว็บเซิร์ฟเวอร์ติดต่อโหนด Hadoop นั้นผิดปกติในตัวเองอยู่แล้ว ควรค้นหาเว็บรูทแบบ recursive เพื่อหาไฟล์ PHP ที่ตั้งชื่อขึ้นต้นด้วยจุดเลียนแบบแคชของระบบ (ตัวอย่างในเคสนี้คือ /storage/Counter/nine/.journald-cache.php ที่ไม่โผล่ในการแสดงรายการไดเรกทอรีปกติ) นอกจากนี้ควรแพตช์เคอร์เนลให้ครอบคลุมช่องโหว่ปี 2026 ทั้ง 4 รายการข้างต้น พร้อมอัปเดต sudo เป็นเวอร์ชัน 1.9.5p2 ขึ้นไป แพตช์ polkit สำหรับ CVE-2021-4034 และจัดการ IIS 6.0 WebDAV ที่ยังเหลืออยู่ สุดท้ายควรจับตาว่าเอเจนต์ AI ทิ้งร่องรอยไว้เอง เช่น Hermes ตอบกลับด้วย HTTP header ชื่อ HermesWebUI และเขียนผลลัพธ์ไว้ในโฟลเดอร์ /hermes-results/ ที่มีชื่อไฟล์คาดเดาได้

Indicators of Compromise (IoCs)

หมายเหตุ: ตัวบ่งชี้ทั้งหมดถูกเขียนแบบ defang (ครอบจุดด้วยวงเล็บ) เพื่อความปลอดภัย ต้องแปลงกลับก่อนนำไปใช้งาน

โครงสร้างพื้นฐานเครือข่าย

ค่าแฮชไฟล์ (SHA-256)

ตัวบ่งชี้อื่น ๆ

แหล่งอ้างอิง

• Hunt.io — Thailand’s Ministry of Finance Targeted With Hermes AI Agent Running Unattended, Hades Implant Staged
• The Hacker News — Hacker Runs Hermes AI Agent Unattended for Post-Exploitation at Thai Finance Ministry
• BleepingComputer — Hermes AI agent used to automate attack on Thai Finance Ministry
• บทวิเคราะห์เชิงลึกฉบับเต็ม: เอเจนต์ AI Hermes โหมด YOLO เจาะกระทรวงการคลังไทย และ implant Hades