Der Einstieg erfolgt schlicht: Carbonato sucht nach Docker-Daemons, deren API ohne Authentifizierung auf Port 2375 im Netz hängt. Über diese Schnittstelle lässt die Malware einen privilegierten Container starten und erhält damit Zugriff auf den Host. Danach öffnet sie einen umgekehrten SSH-Tunnel, installiert einen SSH-Server mit dem Schlüssel der Betreiber und meldet die neue Infektion per Telegram zurück.
Für dauerhaften Verbleib auf dem System sorgen Skripte, die gleich mehrere Mechanismen parallel einrichten: Cron-Jobs, systemd-Timer, rc.local sowie OpenRC-Hooks.
Der eigentlich neue Aspekt ist die KI-Komponente. Auf den kompromittierten Hosts installieren die Angreifer das Agenten-Framework Hermes Agent unter dem Namen „GH0ST" und überschreiben dessen Persona-Datei „SOUL.md" mit eigenen Anweisungen. Hermes verarbeitet anschließend die über Telegram eingehenden Aufgaben – darunter das Einsammeln von API-Schlüsseln für KI-Dienste, SSH-Zugangsdaten und Zugriffstoken, das Ausführen von Befehlen und das Zurückmelden der Ergebnisse.
Die Forscher beschreiben das als operatorgesteuerten Ablauf mit einer „interaktiven Befehlsschleife". „Das Modell interpretiert die Aufgabe, schreibt Terminal-Befehle, liest die Ausgabe und entscheidet, was als Nächstes zu tun ist", heißt es in der Analyse von ThreatDown. „Der Agent führt diese Befehle auf dem Opfersystem aus und schickt seinen Bericht in denselben Telegram-Chat, der auch die Meldungen über neue Infektionen erhält."
Hermes ist zuletzt mehrfach für bösartige Operationen missbraucht worden. Die Sicherheitsfirma Gambit dokumentierte kürzlich eine groß angelegte Card-Skimming-Kampagne, bei der 600.000 Kreditkartendatensätze abgegriffen wurden.
Zur Ausbreitung nutzt Carbonato Skripte, die alle fünf Minuten die am Host angeschlossenen Netzwerke nach weiteren offenen Docker-Daemons durchsuchen. Jede neue Kompromittierung lädt den Implant aus der Registry, startet denselben privilegierten Container und tritt anschließend in dieselbe Schleife aus Persistenz und Netzwerkscans ein.
Eine Zuordnung zu bekannten Bedrohungsclustern war ThreatDown nicht möglich. Verschiedene Indizien deuten den Forschern zufolge aber auf Costa Rica als möglichen Aufenthaltsort des Betreibers hin.
Als Erkennungsmerkmale nennen die Analysten eine Persona-Datei mit dem Namen GH0ST, die Einstellung CARBONATO_API_KEY, unerwarteten Telegram-Datenverkehr sowie umgekehrte SSH-Tunnel in Richtung AS262145. Zur Vorbeugung empfiehlt ThreatDown, Docker-Daemon-APIs gar nicht erst ans Netz zu hängen und für Registries eine Authentifizierung zu verlangen.