Investigadores detectaron Carbonato, un malware que aprovecha Docker daemons expuestos para instalar el framework de IA Hermes Agent. Esta botnet utiliza Telegram para recibir órdenes, robar credenciales y propagarse automáticamente por las redes. El ataque refleja una tendencia creciente donde los cibercriminales usan agentes de IA autónomos para automatizar hackeos complejos.

Investigadores de ciberseguridad han revelado detalles de un nuevo malware botnet llamado Carbonato que tiene como objetivo daemons de Docker expuestos para desplegar un marco de agentes de inteligencia artificial (IA) de código abierto llamado Hermes Agent.

"El implante instala el marco sin cambios y luego sobrescribe su archivo de personalidad SOUL.md", afirmó ThreatDown. "El prompt de 39 líneas le indica que ejecute tareas recibidas a través de Telegram, mantenga la persistencia y recopile credenciales".

A nivel general, la botnet irrumpe en daemons de Docker expuestos sin autenticación en el puerto 2375 y escanea las redes vecinas cada cinco minutos para propagarse más. En cada host, instala Hermes Agent con instrucciones para seguir los comandos de Telegram de los operadores.

La empresa de ciberseguridad señaló que descubrió la operación a través de un registro de Docker no autenticado que ha estado accesible públicamente desde mayo de 2026. Se ha encontrado que los datos almacenados incluyen detalles de la botnet y una campaña separada que distribuyó aplicaciones de billeteras de criptomonedas troyanizadas.

CARBONATO posee capacidades similares a las de un gusano, ya que puede propagarse a otros hosts con daemons de Docker no autenticados. Una vez que se descubre un host, lanza un contenedor privilegiado y ejecuta comandos en el sistema subyacente.

"Utiliza un contenedor privilegiado para ejecutar comandos en cada host, establece persistencia y acceso remoto, y luego escanea las redes cercanas en busca de más daemons de Docker", dijo ThreatDown. "Hermes Agent ofrece a los operadores una interfaz de Telegram para enviar tareas a los hosts comprometidos, y su personalidad prioriza los nombres de claves API de IA y otras credenciales".

Todo esto se logra mediante un script de shell que lanza un túnel SSH inverso desde la víctima a un relé ubicado en Costa Rica, tras lo cual instala un servidor SSH con la clave de los operadores e informa del nuevo despliegue a través de Telegram con los detalles del contenedor.

El malware también toma medidas para evadir la detección haciéndose pasar por un componente del sistema y establece persistencia mediante trabajos de cron y scripts de vigilancia que aseguran que el implante se reinicie si los artefactos maliciosos son eliminados.

Con la persistencia configurada, el siguiente paso consiste en desplegar el Hermes Agent y sobrescribir su archivo de personalidad SOUL.md con un prompt personalizado que pide a la herramienta de IA que asuma el papel de un "hacker senior, pentester y desarrollador de exploits" llamado GH0ST, e instruye que "mantenga la persistencia, responda a través de Telegram y ejecute cualquier operación que el operador pida" sin "restricciones morales o éticas".

El agente entra entonces en un bucle de comandos interactivo que interpreta las tareas entrantes a través de Telegram y las reenvía a la puerta de enlace del modelo de lenguaje extenso (LLM) correspondiente. El modelo escribe entonces los comandos de terminal que son ejecutados por el agente y devuelve los resultados al actor de la amenaza a través de la plataforma de mensajería.

La actividad no ha sido atribuida a ningún actor o grupo de amenazas conocido. Las pistas del idioma, la zona horaria y la infraestructura indican que los operadores se encuentran en Costa Rica.

Automatización creciente de la cadena de ataques

La revelación se produce en medio del creciente uso de herramientas y modelos de IA por parte de los actores de amenazas para automatizar diversos aspectos del ciclo de vida de los ciberataques y delegar el trabajo ofensivo.

En julio de 2026, Palo Alto Networks vinculó a un actor de amenazas con sede en China apodado "knaithe" y "KnYuan" con una campaña de hacking habilitada por IA que aprovechó DeepSeek, a través del marco Hermes Agent configurado para aceptar instrucciones por Telegram, para enumerar objetivos, obtener herramientas de exploit y lanzar ataques sin intervención humana.

Ese mismo mes, Hunt.io también destacó otra operación en la que los atacantes utilizaron Hermes Agent en modo "YOLO" desatendido para atacar el Ministerio de Finanzas de Tailandia (MOF), logrando finalmente vulnerar múltiples sistemas dentro de la red.

"Lo que destaca es la combinación: un agente de IA coordinando el trabajo, un implante multiplataforma manteniendo el acceso y scripts escritos para este objetivo específico", dijo Hunt.io. "Juntos describen a un operador que invirtió una preparación significativa para penetrar un único objetivo gubernamental".

Tan recientemente como la semana pasada, Gambit Security dijo haber identificado a un operador de habla china con motivaciones financieras que ejecutaba tres arneses de IA de código abierto contra cientos de minoristas en línea, comprometiendo al menos 27 empresas, robando más de 600,000 detalles de tarjetas de crédito de dos entidades e inyectando scripts de skimming en cinco tiendas en línea.

La actividad, que ha estado en curso desde julio de 2026, utiliza la IA en todas las etapas del ataque, donde los resultados de una informan a la siguiente:

* Strix, una herramienta de pruebas de penetración de IA para la búsqueda de vulnerabilidades.
* Cairn, un motor de pruebas de penetración autónomo para la explotación autónoma de extremo a extremo, lanzando 105 proyectos de ataque entre el 10 y el 15 de septiembre de 2026, utilizando DeepSeek v4.1 Flash.
* Hermes, para la orquestación, post-explotación, guía táctica y dirección de la actividad maliciosa utilizando Anthropic Claude Opus 4.6.

Se dice que el actor de la amenaza cargó la personalidad del sistema chino titulada "SOUL - Red Team Operator" en Hermes Agent y llevó a cabo el ataque en gran medida sin ninguna intervención humana, y borró los datos de las tarjetas de la base de datos Magento de las víctimas una vez que los datos habían sido exfiltrados.

Los detalles de las tarjetas robadas corresponden a víctimas de EE. UU., EAU, Arabia Saudita, Reino Unido, Nueva Zelanda, Irlanda, Singapur, Kuwait, Australia y Hong Kong.

"A un coste muy bajo, las herramientas de IA demostraron un nivel de paciencia, persistencia y creatividad que la mayoría de los atacantes humanos difícilmente podrían mantener en este tipo de ataque, y lograron resultados mucho mayores, mucho más rápido", dijo el investigador de seguridad Eyal Sela Eyal Sela. "Las organizaciones deben adaptarse a una realidad donde los ataques son significativamente más rápidos y exhaustivos, pasando a una mentalidad de resiliencia primero y un stack de seguridad que coincida con la velocidad de la IA".

Los hallazgos también coinciden con el descubrimiento de un nuevo implante para Windows basado en Go llamado CLOSEDQUORUM que puede consultar hasta cuatro proveedores de LLM, concretamente DeepSeek, Alibaba Qwen, Mistral y Google Gemini (en ese orden), para determinar autónomamente el siguiente curso de acción durante la etapa de post-compromiso de un ataque.

El sistema de votación permite que el malware tome un conjunto predefinido de acciones basadas en la decisión ganadora, automatizando así la cadena de comando y control (C2) y eliminando la necesidad de comandos continuos del atacante. Estas acciones incluyen el robo de credenciales, la inyección de shellcode mediante process hollowing o inyección Early Bird APC, la persistencia y, probablemente, el movimiento lateral.

"CLOSEDQUORUM parece operar como un servicio configurado por el operador en lugar de un malware desplegado directamente por su desarrollador", dijo Cisco Talos. "DeepSeek tiene el voto decisivo en cualquier empate. Si DeepSeek falla y no está en el quórum, el voto de Qwen es el decisivo, y así sucesivamente según el orden de prioridad. El comportamiento del empate es totalmente determinista y sesgado hacia DeepSeek".

Fuente:
THN