Carbonato-malware installerer AI-agenter på eksponerede Docker-værter

Carbonato-malware målretter Docker-værter, der eksponerer deres administrations-API uden autentificering. Når den først er inde, installerer den en AI-agent, som hjælper operatørerne med at køre kommandoer og indsamle loginoplysninger, ifølge forskere hos ThreatDown.

Eksponerede Docker-API’er giver Carbonato adgang

Carbonato leder efter Docker-daemoner med et API uden autentificering, der er eksponeret på port 2375. Den opretter forbindelse til API’et og instruerer Docker i at starte en privilegeret container, hvilket giver malwaren adgang til den underliggende vært.

Malwaren åbner derefter en omvendt SSH-tunnel og installerer en SSH-server med operatørernes nøgle. Den rapporterer hver ny installation via Telegram. For at overleve genstarter opretter den også planlagte opgaver og opstartsmekanismer.

ThreatDown opdagede malwaren i et Docker-register uden autentificering, der indeholdt næsten 60 repositories og 4,3 GB image-data. Forskerne fandt operationelt materiale fra oktober 2024 til august 2026.

AI-agent udfører operatørernes kommandoer

På kompromitterede værter installerer Carbonato Hermes Agent-frameworket og konfigurerer en agent med navnet GH0ST. Dens instruktioner erstatter frameworkets standardfil for persona.

Operatørerne sender opgaver via Telegram. Agenten fortolker disse anmodninger, kører terminalkommandoer, læser resultaterne og rapporterer tilbage. ThreatDown beskriver dette som en interaktiv proces styret af operatørerne.

Opgaverne kan omfatte indsamling af AI API-nøgler, SSH-loginoplysninger og adgangstokens. Agenten kan også køre andre kommandoer på den kompromitterede maskine.

Malware søger efter flere Docker-værter

Carbonato-malware har ormelignende spredningsegenskaber. Hvert femte minut scanner dens scripts netværk, der er forbundet med en inficeret vært, for andre eksponerede Docker-daemoner.

Når malwaren finder en anden sårbar vært, henter den implantatet fra registret og starter en privilegeret container. Derefter etablerer den persistens og begynder at scanne fra det nyligt kompromitterede system.

ThreatDown har ikke knyttet Carbonato til en kendt trusselsgruppe. Nogle beviser peger på Costa Rica som en mulig placering for en operatør, men forskerne har ikke bekræftet nogen attribuering.

Administratorer bør kontrollere Docker-eksponering

ThreatDown anbefaler at holde Docker-daemon-API’er væk fra eksponerede netværk og kræve autentificering for registre.

Mulige tegn på infektion omfatter en GH0ST-personafil, en CARBONATO_API_KEY-indstilling, uventet Telegram-trafik og omvendte SSH-tunneler til infrastruktur, der er identificeret i forskernes rapport.