Carbonato-Malware installiert KI-Agenten auf exponierten Docker-Hosts

Carbonato-Malware zielt auf Docker-Hosts ab, die ihre Verwaltungs-API ohne Authentifizierung offenlegen. Sobald sie Zugriff hat, installiert sie einen KI-Agenten, der die Betreiber beim Ausführen von Befehlen und Sammeln von Zugangsdaten unterstützt, wie Forscher von ThreatDown berichten.

Exponierte Docker-APIs verschaffen Carbonato Zugriff

Carbonato sucht nach Docker-Daemons, deren nicht authentifizierte API über Port 2375 erreichbar ist. Die Malware verbindet sich mit der API und weist Docker an, einen privilegierten Container zu starten. Dadurch erhält sie Zugriff auf den zugrunde liegenden Host.

Anschließend öffnet die Malware einen Reverse-SSH-Tunnel und installiert einen SSH-Server mit dem Schlüssel der Betreiber. Jede neue Installation meldet sie über Telegram. Um Neustarts zu überstehen, richtet sie außerdem geplante Aufgaben und Startmechanismen ein.

ThreatDown entdeckte die Malware in einer nicht authentifizierten Docker-Registry, die fast 60 Repositorys und 4,3 GB Image-Daten enthielt. Die Forscher fanden operatives Material aus dem Zeitraum von Oktober 2024 bis August 2026.

KI-Agent führt Befehle der Betreiber aus

Auf kompromittierten Hosts installiert Carbonato das Hermes-Agent-Framework und konfiguriert einen Agenten namens GH0ST. Seine Anweisungen ersetzen die standardmäßige Persona-Datei des Frameworks.

Die Betreiber senden Aufgaben über Telegram. Der Agent interpretiert diese Anfragen, führt Terminalbefehle aus, liest die Ergebnisse und meldet sie zurück. ThreatDown beschreibt dies als einen interaktiven Prozess, der von den Betreibern gesteuert wird.

Zu den Aufgaben kann das Sammeln von KI-API-Schlüsseln, SSH-Zugangsdaten und Zugriffstokens gehören. Der Agent kann außerdem weitere Befehle auf dem kompromittierten Rechner ausführen.

Malware sucht nach weiteren Docker-Hosts

Carbonato-Malware verfügt über wurmähnliche Verbreitungsfunktionen. Alle fünf Minuten durchsuchen ihre Skripte Netzwerke, die mit einem infizierten Host verbunden sind, nach weiteren exponierten Docker-Daemons.

Wenn die Malware einen weiteren anfälligen Host findet, lädt sie das Implantat aus der Registry herunter und startet einen privilegierten Container. Anschließend richtet sie Persistenz ein und beginnt vom neu kompromittierten System aus mit weiteren Scans.

ThreatDown hat Carbonato keiner bekannten Bedrohungsgruppe zugeordnet. Einige Hinweise deuten darauf hin, dass sich ein Betreiber möglicherweise in Costa Rica befindet. Die Forscher haben diese Zuordnung jedoch nicht bestätigt.

Administratoren sollten Docker-Exposition überprüfen

ThreatDown empfiehlt, Docker-Daemon-APIs nicht in exponierten Netzwerken zugänglich zu machen und für Registries eine Authentifizierung zu verlangen.

Mögliche Anzeichen einer Infektion sind eine GH0ST-Persona-Datei, eine CARBONATO_API_KEY-Einstellung, unerwarteter Telegram-Datenverkehr und Reverse-SSH-Tunnel zu Infrastruktur, die im Bericht der Forscher identifiziert wurde.