نحوه نفوذ Carbonato به میزبان‌های داکر
بر اساس گزارش ThreatDown، Carbonato میزبان‌های داکری را هدف قرار می‌دهد که API آن‌ها روی پورت 2375 و بدون احراز هویت در دسترس است. بدافزار با اتصال به این API، امکان اجرای عملیات موردنیاز خود روی میزبان را به دست می‌آورد.
این بدافزار پس از اتصال به API، به دیمون داکر دستور می‌دهد یک کانتینر دارای سطح دسترسی بالا اجرا کند؛ اقدامی که امکان دسترسی به میزبان اصلی را برای بدافزار فراهم می‌سازد.
در مرحله بعد، بدافزار یک تونل معکوس SSH (Reverse SSH Tunnel) برقرار می‌کند و با استفاده از کلید اپراتورهای مهاجم، یک سرور SSH را برای دسترسی از راه دور راه‌اندازی می‌کند. سپس از طریق تلگرام اطلاعات مربوط به استقرار جدید را برای مهاجمان ارسال می‌کند. هم‌زمان، اسکریپت‌های بدافزار با راه‌اندازی Jobهای Cron، تایمرهای systemd، فایل rc.local و هوک‌های OpenRC، سازوکارهای پایداری (Persistence) را روی سیستم فعال می‌کنند.
یکی از جنبه‌های قابل‌توجه این حمله، نصب فریم‌ورک عامل هوش مصنوعی هرمس ایجنت روی میزبان‌های آلوده است. این فریم‌ورک از عاملی با نام GH0ST استفاده می‌کند و دستورالعمل‌های این عامل، فایل پیش‌فرض SOUL.md مربوط به پرسونای (Persona) آن را بازنویسی می‌کنند.
نقش هرمس در حمله
فریم‌ورک هرمس در ماه‌های اخیر در چندین عملیات سایبری مخرب مورد سوءاستفاده قرار گرفته است. برای مثال، شرکت امنیت سایبری Gambit اخیراً یک عملیات گسترده سرقت اطلاعات کارت‌های بانکی را مستند کرد که طی آن اطلاعات 600 هزار کارت اعتباری ربوده شد.
در حمله مرتبط با Carbonato، فریم‌ورک هرمس پردازش دستورات دریافتی از طریق تلگرام را بر عهده دارد. این دستورات می‌توانند شامل جمع‌آوری کلیدهای API سرویس‌های هوش مصنوعی، اطلاعات احراز هویت SSH، توکن‌های دسترسی (Access Tokens) و سایر داده‌ها، همچنین اجرای دستورات و ارسال نتایج آن‌ها برای مهاجمان باشند.
پژوهشگران این فرآیند را سازوکاری تحت کنترل اپراتور توصیف می‌کنند که بر پایه یک چرخه تعاملی اجرای دستورات عمل می‌کند. در این سازوکار، مدل هوش مصنوعی مراحل زیر را انجام می‌دهد:
- درخواست را تفسیر می‌کند.
- دستورات موردنیاز برای اجرا در ترمینال را تولید می‌کند.
- خروجی دستورات را می‌خواند.
- بر اساس نتایج به‌دست‌آمده، اقدام بعدی را تعیین می‌کند.
به بیان دیگر، در Carbonato عامل هوش مصنوعی صرفاً یک دستور از پیش تعیین‌شده را اجرا نمی‌کند؛ بلکه می‌تواند خروجی هر مرحله را بررسی کرده و بر اساس آن، دستور بعدی را انتخاب کند. این عامل دستورات موردنظر را روی سیستم قربانی اجرا کرده و نتایج را به کانال تلگرامی مورد استفاده مهاجمان ارسال می‌کند؛ همان کانالی که در آن گزارش‌های مربوط به استقرارهای جدید نیز دریافت می‌شود.
انتشار خودکار Carbonato در شبکه و شواهد حمله
قابلیت‌های شبه‌کرمی Carbonatoامکان انتشار خودکار آن به سایر دیمون‌های داکر قابل‌دسترس را فراهم می‌کند. اسکریپت‌های بدافزار نیز شبکه‌های متصل به میزبان آلوده را هر پنج دقیقه یک‌بار اسکن می‌کنند تا دیمون‌های داکر دیگری را برای نفوذ شناسایی کنند.
ایمپلنت پس از هر نفوذ موفق، از رجیستری دریافت شده و همان کانتینر دارای سطح دسترسی بالا روی میزبان جدید اجرا می‌شود. سپس بدافزار وارد چرخه پایداری و اسکن شبکه شده و با تکرار این فرآیند، به انتشار خود در سایر میزبان‌ها ادامه می‌دهد.
شرکت ThreatDown نتوانسته است این بدافزار را به هیچ‌یک از گروه‌های تهدید شناخته‌شده نسبت دهد. بااین‌حال، پژوهشگران بر اساس مجموعه‌ای از شواهد، کاستاریکا (Costa Rica) را به‌عنوان محل احتمالی فعالیت اپراتورهای این عملیات مطرح کرده‌اند. برای جلوگیری از آلودگی، پژوهشگران توصیه می‌کنند APIهای دیمون داکر از طریق شبکه قابل‌دسترسی نباشند و دسترسی به رجیستری‌ها نیز به احراز هویت نیاز داشته باشد.
از مهم‌ترین نشانه‌های احتمالی این حمله می‌توان به وجود فایل پرسونا مربوط به GH0ST، تنظیم CARBONATO_API_KEY، ترافیک غیرعادی تلگرام و ایجاد تونل‌های معکوس SSH برای برقراری ارتباط با AS262145 اشاره کرد.
