La botnet Carbonato dirotta host Docker esposti tramite agenti AI

I ricercatori di sicurezza dell'azienda di sicurezza aziendale ThreatDown hanno documentato un nuovo malware botnet chiamato Carbonato che dirotta host Docker la cui API di gestione remota (application programming interface, un insieme di regole che consente ad altri programmi di controllare Docker) è esposta sulla porta 2375 senza autenticazione. Docker è una piattaforma popolare per eseguire software in container, che sono pacchetti leggeri che condividono le risorse del computer host, e molti siti web e servizi online si affidano ad esso. Il malware raggiunge quell'API, dice al daemon Docker (il servizio in background che gestisce i container) di avviare un container privilegiato, che ha permessi extra per accedere all'host sottostante, e poi installa il framework AI Hermes Agent, uno strumento che consente a un modello linguistico di grandi dimensioni di eseguire comandi e interagire con un computer. L'agente installato si chiama GH0ST e sovrascrive il file persona predefinito SOUL.md, una configurazione che definisce il comportamento dell'agente. ThreatDown ha scoperto il malware in un registry Docker non autenticato, un luogo di archiviazione per immagini Docker a cui chiunque può accedere senza effettuare il login, contenente quasi 60 repository e 4,3 GB di dati di immagini. I ricercatori hanno recuperato prove operative che coprono il periodo da ottobre 2024 ad agosto 2026, e l'archivio includeva anche dettagli su una campagna separata che distribuiva app contraffatte per portafogli di criptovalute.

Una volta connesso, Carbonato apre un tunnel SSH inverso, una connessione che consente a un attaccante esterno di raggiungere la macchina facendola connettere verso l'attaccante. Installa un server SSH con la chiave degli operatori, così gli attaccanti possono accedere in modo sicuro, e segnala ogni nuova distribuzione tramite Telegram, secondo ThreatDown. Il malware imposta anche la persistenza tramite cron job, timer systemd, rc.local e hook OpenRC, tutti modi comuni per eseguire programmi automaticamente all'avvio di un computer o secondo una pianificazione. Ciò significa che l'infezione sopravvive ai riavvii e continua a funzionare sulla macchina vittima. Ogni host appena infettato diventa parte di una botnet, una rete di computer compromessi controllati da remoto dai criminali.

La parte più distintiva dell'attacco è l'uso di Hermes Agent come livello di comando e controllo. I ricercatori di ThreatDown descrivono un ciclo di comandi interattivo: il modello interpreta un'attività, scrive comandi terminale, legge l'output e decide cosa fare dopo. L'agente GH0ST riceve comandi di attività tramite Telegram e può raccogliere chiavi API AI, credenziali SSH, token di accesso e altri dati, eseguire comandi sulla vittima e inviare indietro i risultati. Questo design consente agli operatori di dare istruzioni di alto livello invece di digitare ogni comando da soli, sfruttando la capacità dell'agente AI di interagire con l'host compromesso. Le istruzioni dell'agente GH0ST sovrascrivono il file persona predefinito SOUL.md, sostituendo le normali regole che altrimenti limiterebbero l'agente con le istruzioni proprie dell'attaccante.

Carbonato ha anche una capacità di diffusione simile a un worm. Gli script su ogni host infetto scansionano le reti collegate a quell'host ogni cinque minuti, cercando altri daemon Docker con un'API esposta. Quando viene trovato un nuovo bersaglio, il malware preleva il suo impianto dallo stesso registry, avvia lo stesso container privilegiato ed entra nello stesso ciclo di persistenza e scansione. ThreatDown non ha potuto attribuire Carbonato a nessun cluster di minacce noto, ma in base a varie prove i ricercatori indicano la Costa Rica come possibile ubicazione dell'operatore. L'azienda nota anche che Hermes è stato abusato in altre operazioni malevole recentemente, inclusa un'operazione di skimming di carte su larga scala documentata dalla società di cybersecurity Gambit che ha rubato 600.000 dettagli di carte di credito.

Per prevenire l'infezione, ThreatDown raccomanda di tenere le API del daemon Docker fuori dalla rete e di richiedere l'autenticazione sui registry. Le organizzazioni dovrebbero sorvegliare i segni di Carbonato, inclusi un file persona GH0ST, l'impostazione CARBONATO_API_KEY, traffico Telegram inaspettato e tunnel SSH inversi verso AS262145, l'identificatore di rete associato all'endpoint del tunnel degli attaccanti. Questi indicatori possono aiutare i team di sicurezza a individuare precocemente una compromissione. Per i team che gestiscono infrastrutture container, AEU-I (https://aeu-i.com) fornisce consulenza IT e infrastrutturale orientata alla sicurezza che può aiutare a rivedere come i daemon Docker e i registry sono esposti, riducendo il tipo di esposizione che Carbonato sfrutta.