Botnet Carbonato explora daemons Docker expostos para instalar agente de IA controlado via Telegram

O vetor de comprometimento inicial não tem nada de exótico: o Carbonato varre a internet em busca de daemons Docker expostos na porta 2375 sem qualquer autenticação — uma má configuração antiga e bem documentada, mas que continua existindo em volume suficiente para sustentar campanhas de botnet do tipo worm. Ao encontrar um alvo, o malware lança um contêiner privilegiado, que por definição tem acesso amplo aos recursos do host subjacente, e a partir daí executa comandos diretamente no sistema operacional, estabelece persistência e mecanismos de acesso remoto, e usa o host recém-comprometido como plataforma de lançamento para escanear redes próximas em busca de outros daemons Docker vulneráveis — o comportamento de propagação automática que justifica classificá-lo como worm.

A parte que diferencia este caso de um botnet Docker genérico é a carga final: em vez de um minerador de criptomoeda ou um simples proxy residencial, o Carbonato instala o Hermes Agent, um framework de agente de IA open source, sem modificar seu código-fonte. O que os atacantes alteram é o arquivo SOUL.md — um arquivo de configuração de “persona” que, em frameworks de agentes baseados em prompt de sistema, define o papel, tom e limites comportamentais do agente. Ao sobrescrever esse arquivo com um prompt customizado de 39 linhas que instrui o agente a assumir a identidade de um “hacker sênior, pentester e desenvolvedor de exploits” apelidado GH0ST, sem restrições morais ou éticas, os atacantes efetivamente convertem uma ferramenta de produtividade de IA legítima em um implante de comando e controle operado por linguagem natural — sem escrever nenhum malware customizado para a lógica de execução em si.

O canal de controle usa o Telegram como interface: o agente comprometido entra em um loop de comando interativo, recebe tarefas via mensagens do Telegram, encaminha essas instruções para o gateway do LLM subjacente (que interpreta a tarefa e decide quais comandos de terminal executar), roda os comandos no host comprometido e retorna os resultados ao operador através do mesmo canal. Esse design é notável porque terceiriza para o próprio LLM boa parte do trabalho de “tradução” de intenção do atacante para ações concretas no sistema — o atacante não precisa escrever scripts específicos para cada ação, apenas descrever em linguagem natural o que quer que aconteça.

A descoberta pela ThreatDown partiu de um registro Docker público mal configurado e acessível desde maio de 2026, contendo os artefatos do botnet — outro lembrete de que erros básicos de configuração de infraestrutura continuam sendo o ponto de entrada dominante mesmo em campanhas que depois incorporam componentes sofisticados de IA. Para defensores, o caso reforça duas prioridades práticas: primeiro, a higiene básica de exposição de daemons Docker (autenticação obrigatória, não expor a porta 2375 sem TLS mútuo) continua sendo a mitigação mais eficaz; segundo, frameworks de agentes de IA implantados em produção precisam tratar arquivos de configuração de persona/prompt de sistema como superfície de ataque sensível, com controle de integridade e permissões restritas, já que sua adulteração pode transformar uma ferramenta benigna em uma ferramenta de ataque autônoma sem exigir exploração de nenhuma vulnerabilidade de software tradicional.