بدافزار جدیدی به نام Carbonato شناسایی شده است که میزبان‌های ناامن در حال اجرای Docker daemon را هدف قرار می‌دهد تا چارچوب هوش مصنوعی Hermes Agent را نصب کرده و کنترل سیستم را در دست بگیرد.
مکانیسم انتشار و نفوذ
این بدافزار دارای قابلیت‌های کرم‌گونه (Worm-like) است و از طریق APIهای Docker که روی پورت 2375 بدون احراز هویت (Unauthenticated) در دسترس هستند، گسترش می‌یابد. روند حمله به شرح زیر است:
- اتصال به API و دستور به daemon برای اجرای یک کانتینر با دسترسی Privileged جهت دسترسی کامل به میزبان.
- ایجاد یک تونل SSH معکوس (Reverse SSH Tunnel) و نصب سرور SSH با کلیدهای اپراتور.
- گزارش استقرار جدید از طریق پیام‌رسان تلگرام.
- تثبیت حضور (Persistence) در سیستم با استفاده از cron jobs، تایمرهای systemd و قلاب‌های OpenRC.
نقش هوش مصنوعی در عملیات
یکی از ویژگی‌های متمایز این حمله، نصب چارچوب Hermes Agent با شناسه‌ی GH0ST است. در این ساختار، مدل هوش مصنوعی دستورات دریافتی از تلگرام را تفسیر کرده و در یک حلقه تعاملی (Interactive Command Loop) عمل می‌کند:
مدل AI ابتدا تسک را تفسیر کرده، دستورات ترمینال را می‌نویسد، خروجی را می‌خواند و سپس تصمیم می‌گیرد که گام بعدی چه باشد. این عامل می‌تواند داده‌های حساس مانند API Keyهای هوش مصنوعی، اعتبارنامه‌های SSH و Access Tokenها را جمع‌آوری کرده و نتایج را به تلگرام ارسال کند.
گسترش خودکار و شناسایی
Carbonato با اجرای اسکریپتهایی که هر پنج دقیقه شبکه‌های متصل به میزبان را اسکن می‌کنند، به دنبال سایر Docker daemonهای آسیب‌پذیر می‌گردد. پس از شناسایی هدف جدید، ایمپلنت را از یک Registry غیرمعتبر دریافت کرده و چرخه نفوذ و تثبیت را تکرار می‌کند.
راهکارهای مقابله و شناسایی
برای پیشگیری از این حملات، توصیه می‌شود APIهای Docker daemon از شبکه عمومی خارج شده و احراز هویت در Registryها اجباری شود. نشانه‌های وجود این بدافزار عبارتند از:
- وجود فایل persona با نام GH0ST.
- تنظیمات CARBONATO_API_KEY در سیستم.
- ترافیک غیرمنتظره به سمت تلگرام.
- برقراری تونل‌های SSH معکوس به مقصد AS262145.
