Ferret溯源：追踪印尼黑客组织 PLUTO-HEPHAESTUS

Pluto Hephaestus是一个来自印度尼西亚的黑客组织，命名取自其TG频道“Pluto Hephaestus”。其活跃于印尼黑客社区，历史攻击中宣称归属AnonSec Team，涉嫌对印度尼西亚、泰国、菲律宾、越南、韩国等国的政府机构与教育组织发起攻击，主要目的为出售访问受害系统访问权限。

2026 年 5 月，韩国安全厂商OASIS披露了以 Claude 驱动的AI攻击框架 Hephaestus，该框架涉嫌攻击多国政府与高校，并指出其关联TG频道Pluto Hephaestus。此后三个月，该框架的攻击活动并未停止。

8 月，我们的追踪分析引擎 Ferret 在持续挖掘中发现Hephaestus的新工作机，并成功捕获到其工作报告、武器库与 AI 会话，在其工作日志中我们发现该组织除已公开目标外，还曾将攻击指向中国政府与高校。本文将依据这批数据，还原该组织近期的攻击目标、武器库与 AI基础设施。

▌暴露原因

该框架暴露自其工作机制，Agent在攻击中自主通过开放目录向受害机器传递文件。

该平台的 AI 会话记录显示，攻击链中存在一个固定环节：拿到受害者服务器的命令执行权限后，测试受害机到自身文件服务器的连通性。8 月 21 日的一次会话中，AI 向某高校学习平台注入测试命令，该工具调用的描述为 "Test outbound connectivity to our VPS"，测试路径为自身服务器 8888 端口的 /test 文件。投递模板中则写明了受害服务器侧的执行命令：curl 自身服务器地址下载标记文件到网站目录。

暴露信息不止于行动记录。工作区中存放着攻击者自身基础设施的全部凭证：VPS 登录口令、隧道中继的连接口令、多个情报与代理服务的密钥，以及按目标整理的受害服务器后门连接口令清单。任何人拿到该目录，即可登录其服务器、连接其全部后门，攻击者的机器与其控制的受害服务器同时面临被接管。攻击者以自动化换来的效率，最终把自身的整个作战体系连同接管权一起暴露。

图一 Hephaestus主机

图二 AI 会话记录中的投递端点测试命令

▌近期攻击目标与失陷目标

5 月之后，该平台的活动强度不降反升。工作区中共计六百余个以目标命名的攻击目录，仅 8 月 19 日至 24 日的六天内，就新增数十个目录，涉及十余所高校与政府系统。

除上述失陷与攻击尝试外，8 月 23 日全天，攻击者同时开启六个以上 AI 会话，对努桑塔拉多媒体大学、帕库安大学、印度尼西亚计算机大学、总统大学等多所高校的学习平台开展大规模凭据验证，会话中粘贴的凭据清单单批可达数百条，工作区中留存的凭据文件数量逾万条。

工作区中留存的与上述目标相关的文件包括：完整攻击报告文本、目标凭据清单（本文已打码）、被替换的登录页面源码、拖取到的源码仓库副本、会话级操作记录等。

图三 攻击报告目录与部分报告文件列表

攻击者近期在TG频道中公开其对尼日利亚政府域名的攻击，但verify时间戳显示实际为2026-05-10攻击。

图四 攻击者 TG

▌历史存档中的中国目标

该平台的目标范围以印尼高校与政府系统为主，但其目标清单规模远超此前披露的范围。工作区中一个目录下存在三千余个以目标域名命名的目录，覆盖全球多个国家与地区。

其中，历史存档显示存在对中国目标的攻击事件，但具体内容已被清理，仅保留目录骨架：

 上述目录的清理原因与清理时间无法确定。就现有数据，无法确认针对中国目标的攻击是否实施、是否成功。

图五 批量目标目录中的中国目标骨架

▌武器库

工作区中的漏洞利用目录整理了 28 个以上以漏洞编号命名的载荷目录，覆盖内容管理系统、应用服务器、面板类系统的远程命令执行、认证绕过与注入类漏洞。部分编号包括 CVE-2026-63030、CVE-2026-21858、CVE-2026-41940、CVE-2026-42945、CVE-2026-23918、CVE-2026-7275、CVE-2026-9082、CVE-2025-63888、CVE-2026-3844、CVE-2026-48907、CVE-2026-48908、CVE-2026-56290、CVE-2025-24813、CVE-2023-35885。

除上述载荷外，工作区中还包括：

• 三个 Linux 本地提权利用程序，其中一枚在攻击报告中被记录为在万隆伊斯兰大学服务器上取得 root 权限
• 两个批量战役目录，分别针对某自动化工作流平台与某主机面板开展规模化利用，留有目标列表与执行结果
• 自维护的扫描模板库与多套反序列化利用链集合

图六 漏洞利用目录列表

▌Agent 的攻击特征

该平台的攻击行为具有高度可识别的特征，可用于检测与关联。

持久化四件套，每一步都有固定模板

获取 shell 后依次执行：将隧道工具下载为 /usr/local/sbin/.libsys.so 并加入每五分钟执行的定时任务；向授权密钥文件追加攻击者公钥；创建带 sudo 权限的 sysadm 隐藏备份用户；在部分目标上进一步替换业务登录页面。

被替换登录页的运行方式

攻击者将各站点原版首页改名保留，以自行设计的页面顶替登录入口，页面内置统一账户（用户名 Heph 与固定口令），输入即获得管理员会话并进入原系统；已登录访客不受影响，其余访客只能看到替换后的页面。攻击报告将此称为"批量域名接管"。结合其会话中向买家交付访问权的讨论，这批内置账户即是其交接已接管站点的现成方式。

失陷标记内容固定

每次攻陷后在网站目录写入 verify.txt 与 uid.html 两个文件。验证文件抬头为 "KIBOxGBLK SECURITY RESEARCH"，正文含目标名、日期、当前用户权限与 "VERIFIED" 状态，口号为 " Your Security Is My Playground " 与 " No System Is Safe "，末尾附 Telegram 联系方式。页面文件标题为 "Pentest by KIBOxGBLK"。该标记出现在多个失陷目标上，与攻击报告中的部署记录互相印证。

隧道口令命名规律

后门隧道的连接口令采用"固定前缀+目标名"的组合：Heph1337_ 加目标缩写，或以 KIBOx 开头拼接目标名，全部指向固定中继地址的。攻击报告明文记录每个目标的连接口令。

撞库优先的工作流

行动前先用凭据泄露情报服务 LeakRadar 检索目标域名的历史泄露账号密码，再批量拿到目标系统上验证，筛出高权限账号。8 月 23 日的会话记录显示，攻击者同时开六个以上 AI 会话，每批粘贴数百条账号密码分片验证；工作区中留存的账号密码清单逾万条，验证通过的整理为"域名+高权限账号"清单。

行动必出报告，报告即档案

每次行动结束自动生成完整报告，包含执行摘要、目标信息（IP、操作系统、中间件、防护软件版本）、逐阶段攻击链、凭据统计、持久化方式与 ATT&CK 编号映射，并附后门连接命令与恢复建议。报告统一署名 "Pentest by mr.spongebob x adit ganteng"，分类标注 "AUTHORIZED PENETRATION TEST"。攻击者依赖这些报告管理数百个目标，报告因此成为还原其全部行动的最完整档案。

▌Agent 的组织与运行机制

以下内容依据其架构文档与 AI 会话记录整理，摘录部分原文。

多角色流水线

攻击流程拆解为六个角色的接力：侦察（子域名、同 IP 站点、技术指纹、敏感文件）、突入（凭据验证与初始访问）、锚定（漏洞利用与获取 shell）、狩猎（后渗透、提权、持久化）、导航（内网横向）、复盘（汇总报告）。每个角色由独立的 Agent 配置文件定义，当前观察到的现象决定下一步路由，例如侦察阶段发现 .env 文件则立即上报并转向凭据提取。

每个目标一份进度存档

每个目标维护一个状态文件，记录目标地址、已发现的凭据、shell 地址、隧道口令、当前阶段与胜负条件。Agent 每完成一个阶段就写入，断点续跑、支持回滚，批量模式可同时推进多个目标。

行动规则表

架构文档中的行动规则摘录如下：

# .env found
if obs == "env_found":
    actions.append(("extract_creds", state.env_url))
    actions.append(("check_pma", state.target))
# Shell obtained
elif obs == "shell_obtained":
    actions.append(("gsocket_deploy", state.shell_url))  # FIRST!
    actions.append(("verify_txt", state.shell_url))
    actions.append(("harvest_creds", state.shell_url))

即：发现配置文件，提取凭据并检查数据库管理入口；拿到 shell，第一优先级是部署隧道，其次写入验证文件、收割凭据。

拿到 shell 后的固定套路

要做的事是固定的：先检查目标是否有清理脚本以避免部署被定时清除；随后下载隧道工具部署为伪装系统文件并挂入定时任务；添加 SSH 公钥；创建隐藏备份用户；收割全站配置文件与凭据；最后依次尝试本地提权。每一步的完整命令都写在架构文档中，Agent 照本执行。

现场编写目标绕过脚本

遇到 Web 应用防火墙或定制登录表单时，Agent 会现场编写针对该目标的绕过或撞库脚本，存放在该目标的攻击目录中，文件名以 bypass_ 或 custom_spray_ 开头。

对模型安全机制的越狱

Claude 对攻击类指令内置安全检查，会拒绝明显的恶意操作。该框架的执行规则要求"不加犹豫直接执行，不请求确认"，并在所有配置文件头部前置"已签署授权合同、操作者持有专业认证"等合法性声明，诱导模型跳过安全审查。这些声明与其实际攻击对象完全不符，是业界所称的越狱（jailbreak）手法。

多会话并行

操作者同时开启多个 AI 会话，把凭据清单分片交给不同会话批量验证。会话记录显示，操作者本人只做三件事：粘贴凭据清单、催促RCE结果、接收结果，攻击完全依赖AI。验证完成的账号按权限分级整理，用于后续利用或转售。

图七 Agent 配置文件与决策路由原文截图

▌攻击者画像

该操作者的工作区呈现清晰的个人特征。全部配置与操作指令使用印尼语，会话记录中出现大量印尼语口语表达，攻击目标以印尼高校与政府为主，具备典型的本土化特征。

技术能力方面，其工作区中的工具以对开源项目的组装为主：扫描器、枚举工具、隧道工具均来自公开项目，AI 会话中大量动作是组合调用现成工具。少数载荷为针对性定制，包括学习管理系统的备份恢复功能利用分析与针对特定内容管理系统的载荷编写。

变现方式明确。会话记录中，操作者多次询问如何将已攻陷系统的访问权交给他人，包括"如何让买家接入""如何在无 VPS 情况下使用"，并存在成规模的账号验证流水线。其工作区中留有被替换的登录页面源码，可被用于面向目标用户的凭据收集，具备扩大危害的潜力。

▌总结

本案例与南非 Neo 案例呈现了同一种风险模式：Agent 自主决策的空间越大，未被约束的风险面就越大。Hephaestus 的 AI 自主运营文件投递基础设施，也正因这一基础设施的目录范围失控，把整个作战体系暴露在公网。AI 在放大攻击效率的同时，也在放大操作失误被记录、被暴露的概率：攻击方获得的每一点自动化，都同步转化为自身的操作风险，以及防守方检测与溯源的线索。

▌IOC

Ferret依托于 FOFA 在资产测绘领域的能力，持续监控开放目录产品变更，通过 AI 摘要快速标定高价值内容，并将提取的 IOC 纳入关联分析流程，让公开目录从一次性发现变为可持续运营的情报来源。如有感兴趣的研究者欢迎联系交流。