Новый ботнет под названием Carbonato нацелен на незащищенные хосты Docker с целью установки фреймворка Hermes Agent AI и получения контроля над системой.

Вредоносная ПО обладает червеобразными свойствами и была обнаружена в реестре Docker, содержащем около 60 репозиториев и 4,3 ГБ данных образов.

Исследователи ThreatDown проанализировали артефакты за период с октября 2024 года по август 2026 года. Архив также содержал подробную информацию о ботнете и отдельной кампании по распространению поддельных приложений для криптокошельков.

По данным ThretDown, Carbonato распространяется по хостам Docker, предоставляя API через порт 2375 без аутентификации. Вредоносная ПО подключается к этому API и дает указание демону запустить привилегированный контейнер, предоставляя ему доступ к хосту.

Затем скрипт открывает обратный SSH-туннель, устанавливает SSH-сервер с ключом оператора и сообщает о новом развертывании через Telegram. Одновременно скрипты настраивают задания cron, таймеры systemd, rc.local и хуки OpenRC для обеспечения постоянного доступа.

Примечательным аспектом атаки является то, что на хостах установлена платформа для работы с ИИ-агентами Hermes Agent, использующая агента с именем GH0ST, инструкции которого перезаписывают стандартный файл описания пользователя SOUL.md.

В последнее время Hermes активно используется в киберпреступности. Как мы уже сообщали, недавно Gambit задокументировала масштабную операцию по скиммингу банковских карт, в результате которой были украдены данные 600 000 кредитных карт.

В случае с Carbonato, Hermes обрабатывает команды, полученные через Telegram, включая сбор ключей API для ИИ, учетных данных SSH, токенов доступа и других данных, выполнение команд и отправку результатов обратно.

Исследователи описывают это как управляемый оператором процесс, включающий обмен данными в рамках «интерактивного цикла команд».

Модель интерпретирует задачу, записывает команды терминала, считывает выходные данные и решает, что делать дальше. Агент выполняет команды и отправляет отчет в чат Telegram, в который также поступают отчеты о развертывании.

Червеобразные свойства вредоносной ПО позволяют ей распространяться на другие открытые демоны Docker, а её обработка осуществляется с помощью скриптов, которые сканируют сети, подключенные к хосту, каждые пять минут.

Каждый новый инцидент приводит к удалению имплантата из реестра, запуску того же самого привилегированного контейнера и включению в цикл обеспечения постоянного присутствия и сканирования.

ThreatDown не удалось отнести Carbonato ни к одному из известных кластеров угроз, но, основываясь на различных доказательствах, указывает на Коста-Рику как на возможное местонахождение оператора.

Для предотвращения заражения исследователи рекомендуют не использовать API демона Docker в сети и требовать аутентификацию в реестрах.

Признаками атак Carbonato являются файл с именем пользователя GH0ST, параметр CARBONATO_API_KEY, неожиданный трафик в Telegram и обратные SSH-туннели в сторону AS262145.