Carbonato-skadlig kod installerar AI-agenter på exponerade Docker-värdar

Carbonato-skadlig kod riktar in sig på Docker-värdar som exponerar sitt hanterings-API utan autentisering. Väl inne installerar den en AI-agent som hjälper operatörerna att köra kommandon och samla in inloggningsuppgifter, enligt forskare på ThreatDown.

Exponerade Docker-API ger Carbonato åtkomst

Carbonato söker efter Docker-daemoner med ett API utan autentisering som är exponerat på port 2375. Den ansluter till API och instruerar Docker att starta en privilegierad container, vilket ger den skadliga koden åtkomst till den underliggande värden.

Den skadliga koden öppnar sedan en omvänd SSH-tunnel och installerar en SSH-server med operatörernas nyckel. Den rapporterar varje ny installation via Telegram. För att överleva omstarter konfigurerar den även schemalagda uppgifter och startmekanismer.

ThreatDown upptäckte den skadliga koden i ett Docker-register utan autentisering som innehöll nästan 60 repositories och 4,3 GB avbildningsdata. Forskarna hittade operativt material från oktober 2024 till augusti 2026.

AI-agent utför operatörernas kommandon

På komprometterade värdar installerar Carbonato ramverket Hermes Agent och konfigurerar en agent med namnet GH0ST. Dess instruktioner ersätter ramverkets standardfil för persona.

Operatörerna skickar uppgifter via Telegram. Agenten tolkar dessa förfrågningar, kör terminalkommandon, läser resultaten och rapporterar tillbaka. ThreatDown beskriver detta som en interaktiv process som styrs av operatörerna.

Uppgifterna kan omfatta insamling av AI API-nycklar, SSH-inloggningsuppgifter och åtkomsttokens. Agenten kan också köra andra kommandon på den komprometterade maskinen.

Skadlig kod söker efter fler Docker-värdar

Carbonato-skadlig kod har maskliknande spridningsfunktioner. Var femte minut söker dess skript igenom nätverk som är anslutna till en infekterad värd efter andra exponerade Docker-daemoner.

När den skadliga koden hittar en annan sårbar värd hämtar den implantatet från registret och startar en privilegierad container. Därefter etablerar den persistens och börjar söka från det nyligen komprometterade systemet.

ThreatDown har inte kopplat Carbonato till någon känd hotgrupp. Vissa bevis pekar på Costa Rica som en möjlig plats för en operatör, men forskarna har inte bekräftat någon attribuering.

Administratörer bör kontrollera Docker-exponering

ThreatDown rekommenderar att Docker-daemonernas API hålls borta från exponerade nätverk och att autentisering krävs för register.

Möjliga tecken på infektion omfattar en GH0ST-personafil, en CARBONATO_API_KEY-inställning, oväntad Telegram-trafik och omvända SSH-tunnlar till infrastruktur som identifierats i forskarnas rapport.