Злоумышленник использовал Hermes Agent на базе DeepSeek при попытках эксплуатации Langflow и n8n
Оригинал: Threat Actor Uses a DeepSeek-Powered Hermes Agent in Langflow and n8n Exploitation Attempts
Китайскоязычный злоумышленник, действовавший под псевдонимами knaithe и KnYuan, настроил Hermes Agent на использование DeepSeek в качестве движка рассуждений. Hermes обеспечивал доступ к терминалу, управление со стороны оператора через Telegram и систему навыков, включавшую навыки для работы красной команды — как поставляемые в составе Hermes, так и созданные злоумышленником. Злоумышленник также интегрировал MCP-сервер, предоставлявший возможности поиска через FOFA, перевода запросов и формирования заданий для сканера Nuclei.
Unit 42 восстановила подробную запись сеанса Hermes Agent, датированную 7 мая 2026 года. Злоумышленник передал первоначальное задание через Telegram, однако Unit 42 не обнаружила в записи сеанса никаких дополнительных указаний оператора. После этого Hermes Agent на базе DeepSeek автономно искал цели, получал общедоступные эксплойты, проводил сканирование, оценивал результаты и корректировал свой подход.
Первоначально агент нацелился на Langflow, используя общедоступный эксплойт для CVE-2026-33017. Установив, что доступные цели не соответствовали условиям, необходимым для применения эксплойта, он отказался от этого пути атаки, сравнил уязвимости в 10 семействах продуктов и выбрал n8n с учётом предполагаемой серьёзности уязвимостей, доступности систем извне и возможности их эксплуатации. Затем агент получил общедоступную цепочку эксплойтов для CVE-2026-21858 и CVE-2025-68613 и прозондировал потенциальные целевые системы, выявленные через FOFA. Хотя несколько систем, по всей видимости, работали на затронутых версиях, агент установил, что в них отсутствовала необходимая возможность загружать файлы без аутентификации. Ни одна из автономных попыток эксплуатации не привела к получению доступа.
В отдельных материалах из рабочего пространства были зафиксированы выполнявшиеся вручную действия злоумышленника: извлечение данных из Citrix NetScaler, выполнение команд в Marimo и попытки запуска обратной командной оболочки в системах Tomcat и IKE VPN.
Unit 42 получила возможность наблюдать за этой активностью после того, как Hermes Agent в ответ на команду из Telegram запустил HTTP-сервер для раздачи файлов прямо из домашнего каталога злоумышленника /home/worker, а не из изолированного каталога промежуточного хранения. Это непреднамеренно открыло доступ к рабочему пространству злоумышленника, в том числе к конфигурациям ИИ-инструментов, API-ключам, скриптам эксплойтов, спискам целей, истории команд Bash и журналам сеансов автономной эксплуатации.
Процедура
- AML.TA0003 Подготовка ресурсов
AML.T0016.002 Генеративный ИИ
Оценивая набор инструментов для проведения операций, злоумышленник получил доступ к нескольким моделям и сервисам генеративного ИИ. DeepSeek был выбран в качестве основного движка рассуждений для автономного проведения атак. - AML.TA0003 Подготовка ресурсов
AML.T0016.001 Программные инструменты
Злоумышленник получил и настроил Hermes Agent как фреймворк для проведения атак вместе со скриптами и обычными утилитами для сканирования и эксплуатации уязвимостей. Hermes обеспечивал доступ к терминалу, управление со стороны оператора через Telegram и систему навыков. - AML.TA0003 Подготовка ресурсов
AML.T0016.004 Инструменты ИИ-агента
Злоумышленник получил специализированные возможности для агента, включая навык godmode, поставляемый в составе фреймворка Hermes, и MCP-сервер FofaMap с открытым исходным кодом. MCP-сервер предоставлял DeepSeek возможности поиска активов через FOFA, перевода запросов, сформулированных на естественном языке, и генерации заданий для сканера Nuclei. Unit 42 не подтверждает, что навык godmode вызывался во время восстановленного сеанса. - AML.TA0003 Подготовка ресурсов
AML.T0017.002 Инструменты ИИ-агента
Злоумышленник создал два навыка Hermes. Навыкweb-terminal-exploitationсодержал процедуру эксплуатации WebSocket без аутентификации, аfofa-cyberspace-searchпредписывал DeepSeek использовать скрипт злоумышленникаfofoapi.pyдля получения перечня интернет-активов. Наблюдавшаяся последовательность работы с FOFA согласуется с использованием второго навыка; при этом в отчёте ни одно действие из восстановленного сеанса не связывается сweb-terminal-exploitation. - AML.TA0000 Доступ к ИИ-модели
AML.T0040 Доступ к API инференса ИИ-модели
Hermes обращался к DeepSeek через собственный API этой модели и использовал её для оценки уязвимостей, выбора целей, генерации команд и принятия решений по проведению операции. - AML.TA0001 Адаптация атак, связанных с ИИ
AML.T0117 Автономная адаптация пути атаки
Получив первоначальное задание, DeepSeek выстроил последовательность действий по разведке и эксплуатации уязвимостей, проанализировал невыполнение необходимых условий, отказался от Langflow как цели, сравнил альтернативные продукты и уязвимости и выбрал n8n. Unit 42 не обнаружила в восстановленном сеансе никаких дополнительных указаний оператора. - AML.TA0001 Адаптация атак, связанных с ИИ
AML.T0102 Генерация вредоносных команд
С учётом результатов, получаемых во время сеанса, DeepSeek генерировал запросы FOFA, shell-команды, вызовы сканеров и прямые проверочные HTTP-запросы. - AML.TA0002 Разведка
AML.T0116 Автономная разведка
DeepSeek исследовал Langflow, определил, какие сведения требовалось получить и какие необходимые условия должны были выполняться, а затем с учётом полученных результатов выбрал дальнейшие действия по разведке. - AML.TA0002 Разведка
AML.T0000.003 Базы данных с результатами сканирований
DeepSeek выполнил запрос в FOFA и получил записи о 84 экземплярах Langflow, доступных из интернета. Эти записи указывали лишь на доступность экземпляров извне и не подтверждали, что они являлись уязвимыми целями. - AML.TA0003 Подготовка ресурсов
AML.T0016.003 Эксплойты
DeepSeek скачал общедоступный PoC для уязвимости CVE-2026-33017 в Langflow. Отчёт не подтверждает, что этот PoC был существенно изменён. - AML.TA0002 Разведка
AML.T0006 Активное сканирование
DeepSeek запустил общедоступный сканер Langflow и выявил целевую систему, на которой работал Langflow версии 1.3.4. - AML.TA0004 Первичный доступ
AML.T0049 Эксплуатация приложения, доступного из интернета
DeepSeek предпринял попытку эксплуатации, однако ни одна из целей не удовлетворяла ни одному из двух необходимых условий. Получить доступ не удалось. - AML.TA0002 Разведка
AML.T0116 Автономная разведка
DeepSeek оценил Langflow как малоценную цель, изучил доступные извне развёртывания продуктов из 10 семейств, сравнил серьёзность уязвимостей, масштабы развёртывания, наличие PoC и необходимые условия эксплуатации, после чего выбрал n8n. - AML.TA0002 Разведка
AML.T0095.000 Репозитории кода
DeepSeek искал на GitHub набиравшие популярность репозитории с PoC для CVE 2026 года, используя сортировку по числу звёзд. - AML.TA0003 Подготовка ресурсов
AML.T0016.003 Эксплойты
DeepSeek скачал общедоступный PoC для n8n, объединявший CVE-2026-21858 и CVE-2025-68613 в цепочку эксплуатации, и изучил затронутые версии и условия, необходимые для применения PoC. - AML.TA0002 Разведка
AML.T0000 Поиск в открытых технических базах данных
DeepSeek выполнил в FOFA поиск развёртываний n8n. FOFA выдала 647 017 результатов по всему миру и 25 209 результатов в Китае; однако подтверждений уязвимости найденных систем не было. - AML.TA0002 Разведка
AML.T0006 Активное сканирование
DeepSeek отобрал около 100 адресов в Китае, прозондировал примерно 40 различных систем, обнаружил три системы с затронутыми версиями, проверил эндпоинты форм и запустил параллельное сканирование более чем 50 оставшихся целей. - AML.TA0004 Первичный доступ
AML.T0049 Эксплуатация приложения, доступного из интернета
DeepSeek пытался найти и эксплуатировать систему, отвечающую необходимым условиям применения PoC. Все обнаруженные формы требовали аутентификации, и ни одна попытка не позволила прочитать файлы, выполнить код или получить первоначальный доступ.