Carbonato põe um agente de IA no Docker exposto para roubar chaves

A Cyber Security Agency de Singapura publicou em 30 de setembro de 2026 um alerta sobre a campanha Carbonato contra hosts com a API remota do Docker exposta sem autenticação, geralmente pela porta TCP 2375. Ao encontrar um daemon acessível, a botnet cria um contêiner privilegiado, alcança o sistema do host, estabelece acesso persistente, procura credenciais e varre redes conectadas em busca de novos alvos.

A Dark Reading descreveu em 28 de setembro a instalação do Hermes Agent nos hosts já comprometidos para executar tarefas enviadas pelo Telegram, com prioridade para chaves de API de provedores de IA. Um porta-voz do Docker disse à publicação que a conexão remota usada nesse ataque vem desativada nas novas instalações. A exposição depende de uma configuração que permita alcançar o daemon pela rede.

O daemon exposto dá acesso ao host

A primeira etapa usa uma função legítima de administração do Docker. Sem autenticação na API remota, quem alcança o serviço pode ordenar a criação de um contêiner privilegiado com acesso ao sistema de arquivos, aos processos e à rede do host. Os operadores usam esse acesso para executar comandos no sistema subjacente. O agente de IA entra somente depois que essa capacidade já foi obtida.

Isso orienta a avaliação do risco: é preciso identificar quais daemons aceitam conexões de redes não confiáveis e quem consegue se autenticar neles. Uma API restrita à rede interna também merece atenção se sistemas dessa rede puderem alcançá-la sem controle de acesso. A porta fechada no momento da inspeção não esclarece, por si só, se o host esteve acessível antes nem se recebeu um contêiner criado por terceiros.

A persistência sobrevive à remoção do contêiner

Depois de assumir o host, a operação abre um túnel SSH reverso e instala um servidor SSH com uma chave controlada pelos operadores. Os scripts acrescentam mecanismos de persistência em cron, temporizadores do systemd, rc.local e OpenRC. Processos de vigilância podem baixar novamente o implante quando seus arquivos ou contêineres desaparecem. Remover apenas o contêiner que chamou a atenção, portanto, pode deixar caminhos de retorno no próprio host.

O implante também tenta parecer parte da infraestrutura Linux: há um contêiner chamado systemd-resolved e argumentos de processo que imitam [kworker/u2:0]. Esses nomes não substituem uma investigação de atividade, mas tornam útil confrontar a lista de processos e contêineres com o que foi realmente implantado pela equipe. A busca deve incluir configurações SSH não autorizadas e tarefas capazes de voltar após uma reinicialização.

O Hermes Agent recebe a tarefa de procurar chaves

Na investigação da ThreatDown, publicada em 22 de setembro de 2026, o arquivo SOUL.md usado pela operação contém 39 linhas, nomeia 14 provedores como alvos e declara: “AI API keys are the absolute priority.” O Carbonato instala o framework aberto Hermes Agent sem alterar seu código principal e troca esse arquivo de instruções por uma persona chamada GH0ST. A ordem escrita coloca as chaves de IA à frente de credenciais SSH, tokens de acesso e dados de bancos.

Quando um operador envia uma tarefa pelo Telegram, o agente encaminha a instrução e a persona a um serviço de modelo de linguagem. O modelo produz comandos, o agente os executa no host comprometido e devolve os resultados ao mesmo canal. As instruções também pedem que os segredos encontrados sejam guardados em texto claro para reutilização. Elas demonstram a intenção de coletar chaves, mas a pesquisa pública não apresenta uma contagem de chaves efetivamente roubadas.

A busca de outros daemons segue por scripts da botnet. Eles examinam redes alcançáveis a partir do host e repetem a implantação quando encontram outra API Docker vulnerável. Assim, o controle inicial, a persistência e a propagação têm mecanismos próprios; o Hermes Agent amplia as tarefas que os operadores podem executar depois da invasão.

Os sinais combinam contêiner, host e rede

Nos sistemas que estiveram expostos, a investigação deve cruzar três conjuntos de sinais: contêineres privilegiados inesperados; alterações no host, como chaves SSH, tarefas agendadas e processos disfarçados; e tráfego que indique comando remoto ou procura de novos daemons. Conexões inexplicadas com o Telegram, túneis SSH reversos e varreduras de serviços Docker ajudam a relacionar a atividade observada à cadeia descrita para o Carbonato.

Há artefatos mais específicos para orientar essa busca, entre eles um arquivo /root/.hermes/SOUL.md com a persona GH0ST, a variável CARBONATO_API_KEY e o mecanismo de vigilância /usr/local/bin/.docker-network-monitor. A presença isolada do pacote Hermes Agent não basta para atribuir um comprometimento: ele é um software de uso legítimo. A combinação de instruções maliciosas, persistência e atividade de rede oferece uma base mais útil para examinar cada host.

Fechar a entrada e avaliar os segredos acessíveis

A contenção começa por restringir a API do daemon aos sistemas autorizados e desativar seu acesso pela rede quando ele não for necessário. Para administração remota necessária, SSH ou TLS com autenticação de cliente permitem controlar quem chega ao serviço. Se houver sinais de comprometimento, o host deve ser isolado e investigado antes de voltar à operação, inclusive para impedir que continue procurando outros daemons.

Em paralelo, a equipe precisa levantar quais segredos o host podia ler. Chaves de provedores de IA merecem prioridade na avaliação porque são o primeiro alvo das instruções do implante; tokens de acesso, chaves SSH e outras credenciais acessíveis também podem exigir rotação. O alcance dessa resposta depende do acesso que o invasor obteve no host, não apenas dos arquivos encontrados no contêiner visível.

Leia também:

• Kontext capta US$ 4 milhões — credencial válida já não basta para o agente
• Chrome corrige falha explorada — versões anteriores à 152 seguem expostas
• Adobe põe 70 ferramentas no Slack — acesso começa nos planos mais caros