Carbonato-Botnetz nutzt ungeschützte Docker-Daemons für Telegram-gesteuerten Hermes-Agenten

Ein als Carbonato bezeichnetes Botnetz zielt auf Docker-Daemons ohne Authentifizierung, installiert das Open-Source-Framework Hermes Agent und macht es zu einer über Telegram gesteuerten Befehlsebene. Das berichtet The Hacker News unter Berufung auf ThreatDown. Die Kampagne soll kompromittierte Systeme nutzen, um Befehle auszuführen, den Zugriff aufrechtzuerhalten und nach Zugangsdaten zu suchen, darunter auch API-Schlüssel für KI-Dienste.

So funktioniert der Angriff

Carbonato sucht nach Docker-Diensten, die am Port 2375 erreichbar sind, und kann sich auf weitere Systeme mit derselben Konfiguration ausbreiten. Wird ein Ziel gefunden, startet das Botnetz einen privilegierten Container, der Befehle auf dem zugrunde liegenden System ausführen kann. Nach Angaben von ThreatDown durchsucht die Schadsoftware außerdem alle fünf Minuten benachbarte Netzwerke. Dadurch verfügt die Kampagne über wurmartige Ausbreitungsfähigkeiten.

Der Angriff installiert ein Shell-Skript, das einen umgekehrten SSH-Tunnel zu einem Relay in Costa Rica aufbaut. Außerdem richtet es einen SSH-Server mit einem von den Betreibern kontrollierten Schlüssel ein und übermittelt Bereitstellungsdaten über Telegram. Cron-Jobs und Watchdog-Skripte starten die schädlichen Komponenten erneut, falls sie entfernt werden. Das Implantat tarnt sich dabei als Systemkomponente.

Ein KI-Agent wird zweckentfremdet

Die Installation von Hermes Agent bleibt Berichten zufolge unverändert, abgesehen von der Datei SOUL.md, die seine Persona beschreibt. Carbonato ersetzt diese Datei durch Anweisungen, die den Agenten anweisen, als uneingeschränkt agierender Angreifer aufzutreten, Aufgaben über Telegram zu empfangen und den Zugriff auf kompromittierte Systeme zu bewahren.

Eingehende Aufgaben werden an ein LLM-Gateway weitergeleitet. Das Modell erzeugt Terminalbefehle, Hermes führt sie aus und sendet die Ergebnisse über Telegram an die Angreifer zurück. Damit dient das KI-Framework innerhalb des Angriffs als Orchestrierungsschnittstelle und nicht als ursprünglicher Weg, um Docker zu kompromittieren.

Automatisierte Angriffe nehmen zu

Die Betreiber wurden keiner bekannten Bedrohungsgruppe zugeordnet. Hinweise aus Sprache, Zeitzone und Infrastruktur deuten laut Bericht auf Costa Rica hin. Diese Einschätzung beruht jedoch nur auf Indizien für die Zuordnung und bestätigt keine Identität.

Die Veröffentlichung folgt auf weitere Berichte über Kampagnen, die Hermes Agent und verwandte KI-Werkzeuge für Aufklärung, Ausnutzung von Schwachstellen und Aktivitäten nach einer Kompromittierung einsetzen. The Hacker News beschrieb außerdem separate Erkenntnisse zu KI-gestützten Angriffen auf staatliche Systeme und Online-Händler sowie zu CLOSEDQUORUM, einem Windows-Implantat, das mehrere LLM-Anbieter abfragt, bevor es vordefinierte Aktionen wie Zugangsdiebstahl, Injektion und Persistenz auswählt.

Die Schwachstelle ist der exponierte Dienst

Der laut Bericht genutzte Einstiegspunkt von Carbonato ist ein nicht authentifizierter Docker-Daemon. Hermes Agent stellt dagegen den späteren Ablauf für Befehle und Kontrolle bereit. Die Kombination zeigt, wie eine offen erreichbare Schnittstelle zur Containerverwaltung Angreifern sowohl privilegierte Ausführung als auch eine flexible Möglichkeit zur Automatisierung nachfolgender Aktionen verschaffen kann. Die Quelle belegt weder, wie weit Carbonato verbreitet ist, noch nennt sie bestätigte Opfer.

KI-generierte redaktionelle Illustration; kein Dokumentarfoto.

Quelle: Carbonato Botnet Compromises Docker Hosts to Deploy Telegram-Controlled Hermes AI Agent