پژوهشگران ThreatDown یک بات‌نت جدید به نام CARBONATO را شناسایی کرده‌اند که از یک عامل هوش مصنوعی (AI Agent) برای مدیریت سیستم‌های قربانی استفاده می‌کند. این بدافزار با هدف قرار دادن Docker Daemonهای اکسپوز شده در شبکه، گسترش می‌یابد و به اپراتورها اجازه می‌دهد از طریق پیام‌رسان تلگرام، دستورات پیچیده را به سیستم‌های آلوده ارسال کنند.
مکانیزم عفونت و گسترش
این بات‌نت مانند یک کرم (Worm) عمل کرده و میزبان‌هایی را که APIهای Docker آن‌ها روی پورت 2375 بدون احراز هویت (Unauthenticated) فعال است، هدف قرار می‌دهد. فرآیند نفوذ به شرح زیر است:
- تصاحب میزبان: بدافزار با استفاده از API اکسپوز شده، یک کانتینر Privileged ایجاد می‌کند که دسترسی کامل به فایل‌سیستم، پردازش‌ها و فضای شبکه میزبان دارد.
- تثبیت جایگاه (Persistence): برای بقا در سیستم، از ابزارهایی مانند cron، systemd timers و rc.local استفاده کرده و فایل‌های مربوطه را Immutable (غیرقابل تغییر) می‌کند تا از حذف آن‌ها جلوگیری شود.
- استتار: کانتینر بدافزار را با نام
systemd-resolvedاجرا کرده و آرگومان‌های پردازش خود را به شکل[kworker/u2:0]در می‌آورد تا در بررسی‌های سریع مدیران سیستم، عادی به نظر برسد.
ادغام هوش مصنوعی در عملیات Post-Exploitation
بخش نوآورانه CARBONATO، استفاده از فریم‌ورک متن‌باز Hermes Agent است. مهاجمان با بازنویسی فایل SOUL.md (فایل تعریف شخصیت یا Persona)، این عامل AI را به یک ابزار تهاجمی تبدیل کرده‌اند. طبق دستورالعمل‌های موجود در این فایل، عامل AI که نام GH0ST گرفته است، موظف است:
- بدون هیچ محدودیت اخلاقی یا قانونی، دستورات اپراتور را اجرا کند.
- اولویت اول: جمع‌آوری کلیدهای API سرویس‌های هوش مصنوعی (مانند OpenAI، Anthropic، Google Gemini و غیره).
- اولویت‌های بعدی: سرقت اعتبارنامه‌های SSH، توکن‌های دسترسی و دیتابیس‌ها.
مدیریت و کنترل (C2)
اپراتورها از طریق تلگرام تسک‌ها را ارسال می‌کنند. این تسک‌ها به همراه فایل Persona به یک LLM Gateway ارسال شده و مدل هوش مصنوعی، دستورات ترمینال لازم را تولید می‌کند. سپس این دستورات روی سیستم قربانی اجرا شده و خروجی آن‌ها مجدداً از طریق تلگرام برای مهاجم ارسال می‌شود. این چرخه، یک محیط تعاملی برای مدیریت سیستم‌های آلوده ایجاد می‌کند.
تحلیل منشأ و شناسایی
شواهد فنی از جمله استفاده از گویش خاص اسپانیایی (Voseo)، کد کشور تلفنی 506، منطقه زمانی UTC-06:00 و زیرساخت‌های شبکه در AS262145، نشان می‌دهد که اپراتورهای این بات‌نت احتمالاً در کاستاریکا مستقر هستند.
راهکارهای مقابله و شناسایی
برای مقابله با این تهدید، اقدامات زیر توصیه می‌شود:
- بستن دسترسی‌ها: عدم اکسپوز کردن Docker Daemon API به اینترنت و اجباری کردن احراز هویت برای تمامی Registryها.
- مانیتورینگ فایل‌ها: بررسی وجود فایل
/root/.hermes/SOUL.mdحاوی عبارت “GH0ST” و متغیر محیطیCARBONATO_API_KEY. - بررسی پردازش‌ها: شناسایی پردازش‌های مشکوک با نام
[kworker/u2:0]و فایل‌های غیرعادی در مسیر/usr/local/bin/.docker-network-monitor. - مدیریت کلیدها: برخورد با AI API Keys به عنوان اعتبارنامه‌های حساس بانکی و چرخش (Rotation) منظم آن‌ها.
