Ботнет Carbonato атакует Docker-хосты с открытым без аутентификации портом 2375 и превращает их в узлы, управляемые через Telegram. Это уже не просто очередной майнер в контейнере: злоумышленники ставят Hermes Agent, открытый фреймворк ИИ-агента, и заставляют его выполнять команды оператора, искать учетные данные и удерживаться в системе.
О деталях кампании сообщает The Hacker News со ссылкой на исследователей ThreatDown. По их данным, имплант устанавливает Hermes Agent почти без изменений, но перезаписывает файл персонажа SOUL.md: туда добавлен 39-строчный промпт, который предписывает агенту принимать задачи через Telegram, сохранять доступ и собирать чувствительные данные. Среди приоритетов прямо названы API-ключи для ИИ-сервисов и другие учетные данные.
Механика атаки неприятно проста. Если Docker daemon доступен снаружи без авторизации на порту 2375, ботнет Carbonato запускает на хосте привилегированный контейнер и через него выполняет команды уже на базовой системе. Затем вредоносный код настраивает удаленный доступ, закрепляется и каждые пять минут сканирует соседние сети в поисках таких же незащищенных Docker-инстансов. Это дает Carbonato черты сетевого червя: один забытый тестовый сервер может стать трамплином к другим узлам.
ThreatDown обнаружила операцию через неаутентифицированный Docker Registry, который, по данным исследователей, был публично доступен с мая 2026 года. В нем нашли материалы по самому ботнету и отдельной кампании с троянизированными приложениями криптокошельков. Инфраструктура работает не как разовая импровизация: скрипты поднимают reverse SSH-туннель к реле в Коста-Рике, ставят SSH-сервер с ключом операторов и отправляют в Telegram сведения о новом зараженном контейнере.
Для маскировки Carbonato притворяется системным компонентом, а для живучести использует cron-задания и watchdog-скрипты. Если часть артефактов удаляют, имплант пытается вернуться. После этого включается Hermes Agent: его заставляют играть роль «старшего хакера, пентестера и разработчика эксплойтов» с именем GH0ST. Агент принимает задачу в Telegram, отправляет ее выбранному LLM-шлюзу, получает сгенерированные терминальные команды, выполняет их на зараженной машине и возвращает результат оператору. Романтика автономных агентов, только без демо-сцены и с чужими серверами в качестве реквизита.
Атрибуции к известной группировке пока нет. Исследователи указывают на языковые, временные и инфраструктурные признаки, которые могут связывать операторов с Коста-Рикой, но это именно признаки, а не доказанный паспорт атакующего. Для защитников важнее другое: связка «открытый Docker API плюс ИИ-агент плюс Telegram» снижает порог ручной работы. Оператору не нужно постоянно держать консоль; он может отдавать высокоуровневые команды, а часть рутины поручать агенту.
Carbonato вписывается в более широкий тренд 2026 года: ИИ-инструменты все чаще используют не в презентациях про будущее кибератак, а в реальных цепочках компрометации. В июле Palo Alto Networks связывала китайского актора knaithe, также известного как KnYuan, с кампанией, где Hermes Agent через Telegram и DeepSeek помогал перечислять цели, искать инструменты эксплуатации и запускать атаки. В том же месяце Hunt.io описывала операцию против Министерства финансов Таиланда, где Hermes Agent работал в unattended-режиме «YOLO» и участвовал во взломе нескольких систем внутри сети.
На прошлой неделе Gambit Security сообщала о китайскоязычном финансово мотивированном операторе, который использовал сразу три открытых ИИ-инструмента против сотен онлайн-ритейлеров. По данным компании, было скомпрометировано не менее 27 организаций, из двух компаний похищено более 600 тыс. данных банковских карт, а в пять магазинов внедрены skimmer-скрипты. В той кампании фигурировали Strix, Cairn и Hermes: один инструмент искал уязвимости, другой запускал проекты эксплуатации, третий помогал с оркестрацией и постэксплуатацией.
Есть и другая ветка той же истории. Cisco Talos описала Windows-имплант CLOSEDQUORUM на Go, который обращается к нескольким LLM-провайдерам — DeepSeek, Alibaba Qwen, Mistral и Google Gemini — и выбирает следующий шаг на этапе посткомпрометации через систему «голосования». Это не делает вредоносное ПО разумным, зато делает его терпеливым, дешевым в масштабировании и менее зависимым от постоянного внимания оператора.
Для русскоязычных команд вывод максимально приземленный: порт 2375 у Docker не должен торчать наружу без TLS и аутентификации, временные лабораторные стенды надо инвентаризировать так же строго, как прод, а доступ к AI API-ключам нельзя хранить в местах, куда легко доберется контейнер с повышенными привилегиями. Следующая волна атак, похоже, будет не про «ИИ взломал компанию», а про скучные старые дыры, к которым прикрутили более быстрый исполнительный механизм.
