Carbonato-skadevare installerer AI-agenter på eksponerte Docker-verter

Carbonato-skadevare retter seg mot Docker-verter som eksponerer administrasjons-API-et sitt uten autentisering. Når den først har fått tilgang, installerer den en AI-agent som hjelper operatørene med å kjøre kommandoer og samle inn påloggingsinformasjon, ifølge forskere hos ThreatDown.

Eksponerte Docker-API-er gir Carbonato tilgang

Carbonato leter etter Docker-daemoner med et API uten autentisering eksponert på port 2375. Den kobler seg til API-et og ber Docker om å starte en privilegert container, noe som gir skadevaren tilgang til den underliggende verten.

Skadevaren åpner deretter en omvendt SSH-tunnel og installerer en SSH-server med operatørenes nøkkel. Den rapporterer hver nye installasjon via Telegram. For å overleve omstarter konfigurerer den også planlagte oppgaver og oppstartsmekanismer.

ThreatDown oppdaget skadevaren i et Docker-register uten autentisering som inneholdt nesten 60 repositorier og 4,3 GB med image-data. Forskerne fant operativt materiale fra oktober 2024 til august 2026.

AI-agent utfører operatørenes kommandoer

På kompromitterte verter installerer Carbonato Hermes Agent-rammeverket og konfigurerer en agent med navnet GH0ST. Instruksjonene erstatter rammeverkets standardfil for persona.

Operatørene sender oppgaver via Telegram. Agenten tolker disse forespørslene, kjører terminalkommandoer, leser resultatene og rapporterer tilbake. ThreatDown beskriver dette som en interaktiv prosess styrt av operatørene.

Oppgavene kan omfatte innsamling av AI API-nøkler, SSH-påloggingsinformasjon og tilgangstokener. Agenten kan også kjøre andre kommandoer på den kompromitterte maskinen.

Skadevaren søker etter flere Docker-verter

Carbonato-skadevare har ormelignende spredningsegenskaper. Hvert femte minutt skanner skriptene nettverk som er koblet til en infisert vert, etter andre eksponerte Docker-daemoner.

Når skadevaren finner en annen sårbar vert, henter den implantatet fra registeret og starter en privilegert container. Deretter etablerer den persistens og begynner å skanne fra det nylig kompromitterte systemet.

ThreatDown har ikke knyttet Carbonato til en kjent trusselgruppe. Noen bevis peker på Costa Rica som en mulig plassering for en operatør, men forskerne har ikke bekreftet noen attribusjon.

Administratorer bør kontrollere Docker-eksponering

ThreatDown anbefaler å holde Docker-daemon-API-er borte fra eksponerte nettverk og kreve autentisering for registre.

Mulige tegn på infeksjon inkluderer en GH0ST-personafil, en CARBONATO_API_KEY-innstilling, uventet Telegram-trafikk og omvendte SSH-tunneler til infrastruktur identifisert i forskernes rapport.