Carbonato: el nuevo malware que usa agentes de IA para secuestrar servidores Docker expuestos

Un nuevo botnet aprovecha Docker sin proteger para desplegar agentes de IA

Un nuevo malware de tipo botnet denominado Carbonato está dirigido a servidores con daemons Docker inseguros para instalar el framework de inteligencia artificial Hermes Agent y tomar el control de los sistemas. El malware presenta capacidades similares a un gusano y fue hallado en un registro Docker sin autenticación que albergaba cerca de 60 repositorios y 4,3 GB de datos de imágenes.

Investigadores de ThreatDown, pertenecientes a la empresa de ciberseguridad Malwarebytes, recuperaron evidencia operativa que abarca desde octubre de 2024 hasta agosto de 2026. El archivo también contenía detalles sobre la botnet y una campaña separada que distribuía aplicaciones falsas de carteras de criptomonedas.

Según Malwarebytes, Carbonato se propaga a través de hosts Docker con una API expuesta en el puerto 2375 sin autenticación. El malware se conecta a esa API y ordena al daemon lanzar un contenedor privilegiado, lo que le otorga acceso al host. Luego abre un túnel SSH inverso, instala un servidor SSH con la clave de los operadores y reporta el nuevo despliegue a través de Telegram. Al mismo tiempo, scripts configuran tareas cron, temporizadores systemd, rc.local y ganchos OpenRC para persistencia.

Un aspecto destacado del ataque es la instalación del framework de agentes de IA Hermes Agent en los hosts, utilizando un agente llamado "GH0ST", con instrucciones que sobrescriben el archivo de personalidad predeterminado 'SOUL.md'. Hermes ha sido ampliamente abusado en operaciones cibernéticas maliciosas recientes. Recientemente, la empresa de ciberseguridad Gambit documentó una operación de skimming a gran escala que robó 600.000 detalles de tarjetas de crédito.

En el caso de Carbonato, Hermes gestiona comandos de tareas recibidos a través de Telegram, incluyendo la recolección de claves API de IA, credenciales SSH, tokens de acceso y otros datos, la ejecución de comandos y el envío de los resultados. Los investigadores describen esto como un proceso dirigido por el operador que implica un intercambio de "bucle de comandos interactivo".

El modelo interpreta la tarea, escribe comandos de terminal, lee la salida y decide qué hacer a continuación. El agente ejecuta esos comandos en la víctima y devuelve su informe al chat de Telegram que también recibe los informes de despliegue.

La capacidad similar a un gusano del malware le permite propagarse a otros daemons Docker expuestos y es gestionada por scripts que escanean las redes conectadas al host cada cinco minutos. Cada nuevo compromiso descarga el implante desde el registro, lanza el mismo contenedor privilegiado y entra en el bucle de persistencia y escaneo.

ThreatDown no pudo atribuir Carbonato a ningún grupo de amenazas conocido, pero basándose en diversas evidencias, señala a Costa Rica como posible ubicación del operador. Para prevenir la infección, los investigadores recomiendan mantener las API del daemon Docker fuera de la red y exigir autenticación en los registros. Las señales de ataques de Carbonato incluyen un archivo de personalidad GH0ST, la configuración CARBONATO_API_KEY, tráfico inesperado de Telegram y túneles SSH inversos hacia AS262145.

Construya su plan de seguridad para ataques impulsados por IA

Únase a Mikko Hyppönen y a líderes de seguridad de la NFL, CHANEL y Atlassian en una cumbre digital de dos horas sobre qué cambian los ataques a velocidad de IA, qué deben dejar de hacer los defensores y cómo validar, decidir, corregir y revalidar a velocidad de máquina.