В августе 2026 года обнаружен ботнет CARBONATO. Он заражает серверы, на которых система управления контейнерами Docker открыта в интернет без пароля. Внутри захваченной машины работает ИИ-агент, принимающий задания через Telegram. Злоумышленники собирают ключи доступа к ИИ-сервисам, учётные данные и запускают добычу криптовалюты. Под удар попадают компании, разработчики и владельцы домашних лабораторий, чьи системы оказались доступны извне. Тысячи таких машин по всему миру до сих пор отвечают на внешние запросы.
Описание
Зацепкой стал реестр контейнерных образов, найденный при сканировании интернета. Он не требовал пароля, поэтому скачать его содержимое мог любой желающий. За сутки пассивного наблюдения удалось выгрузить 59 репозиториев, 234 метки образов и 4,3 ГБ данных. Внутри оказалось около 945 тысяч файлов, а также сведения о переменных окружения и истории сборки каждого образа.
По данным ThreatDown, реестр одновременно хранил улики и работал сервером обновлений: заражённые машины регулярно забирали из него новые версии вредоносной программы. Архив охватывает период с октября 2024 по август 2026 года и описывает два связанных направления - выпуск поддельных криптовалютных кошельков и сам ботнет. Помимо этого, из настроек образов стали известны первые адреса управляющих серверов и пароль от шлюза к языковым моделям.
В открытом доступе реестр числился с мая 2026 года. Часть инфраструктуры продолжала работать и 3 сентября 2026 года: шесть из семи известных реестров, фишинговые сайты, сеть доставки контента и шлюз к языковым моделям оставались доступны.
Схема заражения опирается на открытый интерфейс управления Docker. Ботнет находит такие серверы, запускает на них контейнер с расширенными правами, подключает к нему файловую систему машины и получает доступ к её процессам и сети. После этого он выполняет команды от имени владельца сервера. Затем программа открывает защищённый канал до промежуточного узла за пределами сети жертвы и устанавливает собственный сервер удалённого доступа с ключом оператора.
Номер порта для обратного подключения вычисляется из сетевого адреса жертвы, поэтому оператор всегда знает, куда подключаться. При каждом успешном заражении в Telegram уходит отчёт с именем машины, её адресом и страной.
Закрепление рассчитано на перезагрузку и попытки очистки. Вредоносная программа прописывает себя в планировщиках задач и служебных сценариях запуска, помечает свои файлы как неизменяемые и запускает парные сторожевые процессы. Как только файлы или контейнер исчезают, они заново скачивают образ из реестра. Для маскировки контейнер носит имя системной службы разрешения имён и показывает поддельную версию, а аргументы его процессов имитируют системный поток ядра.
Агент построен на открытом программном каркасе Hermes Agent. Он распространяется по свободной лицензии, умеет принимать задачи в Telegram, выполнять команды и подключаться к сервисам больших языковых моделей. Саму программу злоумышленники не меняли. Вместо этого они подменили файл личности агента - 39 строк текста, где тот называет себя GH0ST и объявляет себя инструментом для работы после взлома. Инструкции требуют поддерживать присутствие в системе, слушаться оператора и в первую очередь искать ключи доступа к ИИ-сервисам.
Приоритеты операторы расставили необычно: ключи ИИ-провайдеров стоят выше учётных данных для удалённого входа, токенов доступа и баз данных. В тексте задания перечислены 14 поставщиков таких услуг. По этой причине злоумышленники держали собственный шлюз к языковым моделям: он работал на бесплатном тарифе, заявлял 12 моделей и обслуживал 27. Каждое задание агент отправлял на шлюз вместе с файлом личности, получал от модели команды, исполнял их на заражённой машине и возвращал отчёт в тот же чат. Оператор мог уточнять задачу по ходу работы, поэтому одна поручение превращалось в длинную цепочку действий.
Распространение идёт без участия ИИ. Каждые пять минут вредоносная программа определяет сети, доступные серверу, и проверяет в них все адреса на наличие открытого управления Docker. Уже заражённые машины она пропускает. Каждый новый узел скачивает образ из того же реестра и включается в общий цикл сканирования. Так ботнет растёт внутри сети без дополнительных команд оператора. Отдельная ветка того же хозяйства распространяла поддельные приложения криптовалютных кошельков через фишинговые сайты.
Об операторах известно немного. Отчёты о заражении они писали на варианте испанского, распространённом в части стран Центральной и Южной Америки. Часовой пояс в настройках части образов совпадает с коста-риканским, ник оператора содержит телефонный код страны, а защищённые каналы ведут в сеть местного оператора связи. Три независимых признака указывают на Коста-Рику.
Снизить риск заражения можно двумя мерами: не выставлять управление Docker в открытую сеть и требовать аутентификацию в каждом реестре образов. Открытый реестр опасен дважды - он раскрывает внутренние данные и раздаёт вредоносные образы. Агент заслуживает не блокировки, а проверки: это обычная программа с законными пользователями, поэтому искать нужно подменённый файл личности, необъяснимые обращения к Telegram и посторонние процессы. Ключи доступа к ИИ-сервисам стоит учитывать наравне с банковскими: вести их учёт, регулярно менять и следить за расходом.
Индикаторы компрометации
