Carbonato殭屍網絡攻破Docker伺服器 以Telegram操控AI代理

殭屍網絡透過暴露的Docker daemon入侵

網絡安全公司ThreatDown在其研究報告中披露，名為Carbonato的殭屍網絡專門搜尋在2375埠接受未經驗證連接的Docker daemon。一旦發現目標，便利用該daemon啟動一個具特權的容器，並掛載主機檔案系統，取得主機的處理程序及網絡命名空間存取權，從而在主機本身執行指令。

該容器啟動後會執行entry.sh腳本，建立由受害主機返回哥斯達黎加一個轉接站的反向SSH隧道，其遠端連接埠由受害IP位址的MD5雜湊值推算得出，令攻擊者可隨時重新計算同一埠號重新連接。腳本同時安裝SSH伺服器、加入攻擊者的金鑀，並以西班牙文（voseo語體，中美及南美部分地區常用）經Telegram回報部署詳情，包括容器ID、主機名稱、IP位址及國家。

為免被發現，植入程式以systemd-resolved容器名稱運作，並偽裝成系統核心執行緒[kworker/u2:0]。它同時透過cron、systemd計時器、rc.local及OpenRC建立多重持久據點，並設immutable屬性，另設監察腳本，一旦植入檔案被移除便會自動從registry重新下載。

AI代理成為攻擊者的遙控工具

持久據點建立後，植入程式會安裝MIT授權的開源AI代理框架Hermes Agent，該框架原本已具備接收Telegram任務、執行終端指令及連接相容大型語言模型端點的能力。攻擊者並無修改框架本身，而是覆寫其SOUL.md persona檔案，植入一段39行的自訂提示詞。

該提示詞將代理命名為GH0ST，要求其扮演「資深黑客、滲透測試員及漏洞開發者」，在沒有道德或倫理限制下維持持久據點、依循Telegram指令執行任何操作。提示詞亦明確將AI API金鑀列為首要蒐集目標，優先於SSH憑證、存取令牌、資料庫等資料，並點名14家供應商。

代理隨後進入互動式指令循環，透過Telegram接收攻擊者任務，連同persona檔案轉交給行動方的大型語言模型閘道，由模型撰寫終端指令並執行，結果再經Telegram回傳攻擊者。這一活動尚未被歸因於任何已知威脅組織，The Hacker News引述ThreatDown指，語言、時區及基建線索顯示操作者可能位於哥斯達黎加。

一個外露的registry暴露整條工具鏈

ThreatDown表示，2026年8月在例行威脅搜尋時，發現一個自5月起已公開、無需驗證即可存取的Docker registry，位於一台美國伺服器的5000埠。單日被動蒐集已取得59個repository、234個image標籤、605個經SHA-256驗證的blob，以及合共4.3GB的映像資料。

映像時間戳涵蓋2024年10月至2026年8月，文件庫同時記錄了兩條產品線：一條是偽冒加密貨幣錢包應用程式的詐騙工廠，另一條則是Carbonato殭屍網絡。registry外露的設定JSON亦包含各映像的環境變數、入口點及完整指令歷史，令ThreatDown取得初步C2位址、機械人令牌，以及行動方LLM閘道的共用密碼。

相似手法在同類行動中已非首見。Hunt.io曾披露Hermes Agent以無人值守的「YOLO」模式被用來攻擊泰國財政部，最終攻破多個網絡系統；另外，Gambit Security近期亦發現一名操作者以Strix、Cairn及Hermes三套開源AI工具針對數百間網上零售商發動攻擊，至少27家公司遭入侵，逾60萬張信用卡資料被盜。