Het nieuwe botnet Carbonato kaapt Docker-hosts waarvan de API zonder authenticatie openstaat en installeert daarop het AI-framework Hermes Agent. Onderzoekers van ThreatDown kwamen het op het spoor nadat ze toegang kregen tot een Docker-register zonder authenticatie. Daarin stonden bijna zestig repositories met samen 4,3 GB aan images. Het materiaal bevat sporen van activiteit van oktober 2024 tot augustus 2026.
De aanval verloopt via poort 2375. Carbonato maakt verbinding met de Docker-API en laat de daemon een geprivilegieerde container starten, waarmee de malware bij de host kan. Vervolgens zet ze een reverse SSH-tunnel op, installeert een SSH-server met sleutels van de operators en meldt elke nieuwe besmetting via Telegram. Daarna komt Hermes Agent erbij, met een agent die GH0ST heet. Die krijgt zijn opdrachten via Telegram en werkt in een interactieve lus: het model interpreteert de taak, schrijft terminalcommando’s, leest de uitvoer en bepaalt de volgende stap. GH0ST verzamelt onder meer API-sleutels van AI-diensten, SSH-inloggegevens en toegangstokens en stuurt de resultaten terug via Telegram.
Carbonato verspreidt zich als een worm. Scripts scannen elke vijf minuten het netwerk op andere open Docker-daemons en halen implants uit het register op. Voor persistentie gebruikt de malware cron, systemd-timers, rc.local en OpenRC-hooks. ThreatDown kon Carbonato niet aan bekende actoren koppelen en noemt Costa Rica als mogelijke locatie van de operator.
Beheerders kunnen zoeken naar deze aanwijzingen:
- een persona-bestand van GH0ST
- de instelling CARBONATO_API_KEY
- onverwacht Telegram-verkeer
- reverse SSH-tunnels naar AS262145
Nederlandse organisaties met Docker-hosts controleren of de API niet op poort 2375 bereikbaar is, en Docker-registers horen authenticatie te vereisen. Is een host toch besmet, dan is alleen opruimen niet genoeg. De AI-sleutels, SSH-gegevens en tokens die op de machine stonden, moeten worden vervangen.
Bron: BleepingComputer
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.