חוקרים מ-ThreatDown חשפו רשת בוטנט חדשה בשם Carbonato, שסורקת את האינטרנט בחיפוש אחר שרתי Docker עם ממשק ניהול חשוף וללא אימות, ומשתמשת בסוכן בינה מלאכותית אוטונומי כדי לנהל את הפעולות על המכונות שנפרצו. מדובר בדוגמה בולטת למגמה שבה תוקפים מחליפים סקריפטים קבועים מראש בסוכן שמחליט בעצמו מה לעשות בזמן אמת.
הפרטים
הנוזקה מאתרת שרתי Docker שבהם ממשק ה-API של הדימון חשוף לאינטרנט בפורט 2375 בלי אימות. היא מתחברת לממשק ומורה לדימון להפעיל מכולה בהרשאות מורחבות שמעניקה גישה למכונה המארחת עצמה, פותחת מנהרת SSH הפוכה עם מפתח של התוקפים, ומדווחת על ההדבקה החדשה דרך Telegram. לצד זה היא קובעת מנגנוני התמדה מרובים — דרך cron, systemd ו-rc.local — וסורקת את הרשת לאיתור שרתי Docker חשופים נוספים, בדומה לתולעת.
מה שמייחד את Carbonato הוא סוכן ה-AI המותקן על המכונה הנפרצת, שמקבל משימות מהתוקפים דרך Telegram, כותב בעצמו פקודות מעטפת להשגת המטרה, קורא את הפלט ומחליט מה לעשות בשלב הבא — כולל איסוף מפתחות API של שירותי AI, פרטי גישה ל-SSH וטוקנים נוספים. החוקרים איתרו את התשתית במאגר Docker חשוף שהכיל כמעט 60 מאגרים ו-4.3 ג"ב של נתוני תמונות, עם עדויות תפעוליות שמשתרעות מאוקטובר 2024 ועד אוגוסט 2026.
נקודות לשים לב
- ודאו שממשק ה-API של דימון Docker (בפורט 2375) אינו חשוף לרשת הציבורית ללא אימות — זו נקודת הכניסה היחידה של הנוזקה.
- אם אתם מריצים שרתי Docker, בדקו הרשאות גישה למאגרי (registry) קוד ותמונות, ודרשו אימות בכל מקרה.
- חפשו ביומני הרישום (logs) סימנים ל-IOC: תהליכי GH0ST חשודים, משתני סביבה בשם CARBONATO_API_KEY, תעבורת Telegram לא מוסברת, ומנהרות SSH הפוכות יוצאות.
- הסוכן האוטונומי משנה את מודל האיום — נוזקה שמקבלת החלטות בזמן אמת קשה יותר לזהות באמצעות חתימות קבועות, ולכן ניטור התנהגותי חשוב יותר מתמיד.
מקורות: BleepingComputer
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
