Botnet Carbonato explora Docker exposto e instala agente de IA Hermes
Um malware chamado Carbonato está invadindo servidores com daemons Docker acessíveis pela internet e sem autenticação. Depois de obter acesso, instala o Hermes Agent, um framework de inteligência artificial que pode ser usado para executar comandos, coletar credenciais e manter o controle da máquina comprometida. A ameaça também tem capacidade de se propagar para outros hosts vulneráveis.
Pesquisadores da ThreatDown, divisão da empresa de cibersegurança Malwarebytes, identificaram evidências operacionais que cobrem o período entre outubro de 2024 e agosto de 2026. Os dados foram encontrados em um registro Docker sem autenticação, que armazenava quase 60 repositórios e cerca de 4,3 GB de imagens. O material também continha informações sobre o Carbonato e sobre uma campanha distinta de distribuição de aplicativos falsos para carteiras de criptomoedas.
A invasão começa quando o malware encontra uma API do Docker exposta na porta 2375. Sem uma camada de autenticação, essa interface permite que o Carbonato instrua o daemon a iniciar um contêiner com privilégios elevados. Esse nível de acesso pode abrir caminho para ações diretamente no sistema hospedeiro, em vez de limitar o invasor ao contêiner.
Após comprometer a máquina, o malware instala um servidor SSH associado a uma chave controlada pelos operadores e estabelece um túnel reverso, que facilita o acesso remoto. A nova implantação é comunicada por meio do Telegram. Para continuar ativo após reinicializações, o Carbonato também configura diferentes mecanismos de persistência, incluindo tarefas cron, temporizadores do systemd, o arquivo rc.local e ganchos do OpenRC.
Um elemento incomum da operação é a instalação do Hermes Agent com um agente identificado como “GH0ST”. Para configurá-lo, os operadores substituem o arquivo de persona padrão SOUL.md. O Hermes recebe instruções encaminhadas pelo Telegram e pode atuar como intermediário entre o operador e o host infectado.
Entre as tarefas atribuídas ao agente estão executar comandos, interpretar os resultados e decidir os passos seguintes. Ele também pode buscar chaves de API de serviços de inteligência artificial, credenciais SSH, tokens de acesso e outras informações armazenadas na máquina. Os dados coletados são enviados de volta aos operadores. Segundo os pesquisadores, o processo funciona como uma interação contínua: o agente interpreta a solicitação, gera comandos, analisa a saída e escolhe como prosseguir.
O uso do Hermes nesse contexto não significa que o framework seja, por si só, malware. O risco está em sua instalação e operação por agentes maliciosos, que podem aproveitar recursos de automação para conduzir tarefas em sistemas comprometidos. A Malwarebytes observa que o framework já foi associado a outras atividades nocivas; em uma operação de skimming documentada pela empresa Gambit, por exemplo, foram roubados dados de aproximadamente 600 mil cartões de crédito.
O Carbonato também apresenta comportamento semelhante ao de um worm. Scripts instalados no host verificam a cada cinco minutos as redes conectadas em busca de outros daemons Docker expostos. Quando encontram um novo alvo, podem repetir o processo: acessar o registro, iniciar um contêiner privilegiado e configurar persistência e varredura. Assim, uma única máquina vulnerável pode servir de ponto de partida para novas infecções.
Até o momento da análise, a ThreatDown não atribuiu a operação a um grupo de ameaças conhecido. Algumas evidências levaram os pesquisadores a considerar a Costa Rica como possível localização do operador, mas essa indicação não representa uma atribuição definitiva.
Para reduzir o risco, administradores devem evitar que a API do Docker fique acessível pela internet ou por redes não confiáveis. Quando o acesso remoto for realmente necessário, é importante restringi-lo a sistemas autorizados e exigir autenticação. Registros de imagens também precisam ser protegidos para impedir que terceiros consultem ou alterem seu conteúdo.
A configuração dos contêineres merece atenção especial. Evite executá-los com privilégios desnecessários e limite o acesso ao sistema hospedeiro, às credenciais e aos serviços internos. Também é recomendável revisar periodicamente as regras de firewall, os serviços expostos e as contas com permissão para administrar o Docker.
Entre os possíveis indicadores de comprometimento estão a presença de uma persona GH0ST, a variável de configuração CARBONATO_API_KEY, tráfego inesperado para o Telegram e túneis SSH reversos em direção ao AS262145. Esses sinais devem ser investigados em conjunto: isoladamente, nenhum deles confirma necessariamente a infecção, mas a combinação pode indicar atividade suspeita.
Se houver suspeita de comprometimento, a prioridade é retirar o host da rede, preservar registros e investigar processos, contêineres, chaves SSH e tarefas agendadas. A remoção do contêiner, sozinha, pode não eliminar o acesso persistente. Depois de conter o incidente, é necessário revogar credenciais potencialmente expostas, corrigir a configuração do Docker e verificar se outras máquinas acessíveis foram atingidas.