En el panorama actual de la ciberseguridad, la convergencia entre la inteligencia artificial y el malware tradicional ha dejado de ser una posibilidad teórica para convertirse en una amenaza tangible y operativa. El descubrimiento de una nueva botnet denominada Carbonato, que secuestra hosts de Docker expuestos para desplegar agentes de IA autónomos, marca un punto de inflexión en la forma en que los atacantes automatizan sus operaciones. Esta campaña, activa desde octubre de 2024 hasta agosto de 2026 según la evidencia recuperada, no solo explota configuraciones inseguras, sino que integra un framework de agentes de IA llamado Hermes Agent para gestionar de manera interactiva los sistemas comprometidos, elevando el nivel de sofisticación y peligro de las botnets contemporáneas.
El hallazgo inicial: un registro Docker sin autenticación como centro de operaciones
Investigadores de ThreatDown encontraron el rastro de Carbonato en un registro Docker no autenticado que albergaba cerca de 60 repositorios y un total de 4.3 GB de datos de imágenes. El simple hecho de que el registro estuviera abierto sin requisitos de autenticación permitió a los analistas acceder a una cantidad masiva de evidencia operativa, incluyendo detalles sobre la propia botnet y una campaña secundaria que distribuía aplicaciones falsas de carteras de criptomonedas. La existencia de este registro expuesto no solo facilitó el análisis de la amenaza, sino que también ilustra las malas prácticas de seguridad que los propios operadores de Carbonato cometieron, un error que finalmente expuso su infraestructura.
El volumen de datos acumulados durante casi dos años sugiere que la operación no era un experimento aislado, sino una campaña sostenida y en evolución. La presencia de múltiples repositorios indica que los atacantes refinaron sus herramientas y probablemente probaron diferentes configuraciones a lo largo del tiempo, lo que añade una capa de madurez a la amenaza que no se ve comúnmente en botnets más rudimentarias.
Mecanismo de infección: cómo Carbonato secuestra un host Docker
El vector de ataque principal de Carbonato es tan sencillo como devastador: se dirige a hosts que ejecutan el daemon de Docker con su API expuesta en el puerto 2375 sin ningún tipo de autenticación. Esta configuración, que sigue siendo sorprendentemente común en entornos de desarrollo y producción mal configurados, proporciona una puerta abierta a cualquier atacante que realice un escaneo básico de Internet.
Una vez que el malware localiza un host vulnerable, el proceso de infección sigue una secuencia clara y eficiente:
- Conexión a la API de Docker: Carbonato se conecta directamente a la API expuesta en el puerto 2375 y envía instrucciones al daemon.
- Despliegue de un contenedor privilegiado: La instrucción clave es lanzar un contenedor con privilegios elevados. Un contenedor privilegiado tiene acceso casi sin restricciones al sistema operativo del host anfitrión, rompiendo el aislamiento que Docker debería proporcionar.
- Establecimiento de un túnel SSH inverso: Con el control del host, el malware abre un túnel SSH inverso. Esto permite a los operadores conectarse al sistema comprometido desde el exterior, incluso si está detrás de un firewall o NAT, proporcionando un acceso persistente y oculto.
- Instalación de un servidor SSH persistente: Se instala un servidor SSH configurado con la clave pública de los atacantes, garantizando que puedan volver a acceder al sistema en cualquier momento.
- Notificación por Telegram: Cada nuevo despliegue se reporta a un canal de Telegram controlado por los operadores, proporcionando un mecanismo de comando y control centralizado y de fácil acceso.
- Mecanismos de persistencia: Para asegurar que el acceso no se pierda tras un reinicio, el malware configura múltiples mecanismos de persistencia, incluyendo trabajos cron, temporizadores systemd, scripts rc.local para sistemas SysVinit y hooks de OpenRC para sistemas basados en Alpine u otras distribuciones ligeras.
Este proceso, que puede completarse en cuestión de segundos después de la identificación de un host vulnerable, convierte a cualquier servidor con Docker expuesto en un nodo más de la botnet.
El factor diferenciador: Hermes Agent y el agente GH0ST
Lo que realmente distingue a Carbonato de otras botnets es la integración de un agente de inteligencia artificial. Tras asegurar el control del host, el malware procede a instalar el framework Hermes Agent, una herramienta de código abierto diseñada para crear y gestionar agentes de IA autónomos. En el contexto de esta botnet, el agente recibe el nombre de «GH0ST».
Los investigadores descubrieron que los atacantes modificaron el archivo de personalidad por defecto del agente, ‘SOUL.md’, reemplazándolo con instrucciones personalizadas para el agente GH0ST. Este detalle es crucial porque revela que los operadores no solo estaban usando la tecnología de IA como un añadido cosmético, sino que la estaban adaptando activamente a sus necesidades maliciosas.
El agente GH0ST actúa como un intérprete y ejecutor de órdenes. Los operadores envían tareas a través del mismo canal de Telegram utilizado para recibir notificaciones de despliegue. El flujo de trabajo descrito por los analistas de ThreatDown es un bucle interactivo: el modelo de IA recibe la tarea, escribe los comandos de terminal necesarios, ejecuta esos comandos en el sistema víctima, lee la salida, interpreta el resultado y decide el siguiente paso. Este ciclo continúa hasta que la tarea se completa, momento en el que el agente envía un informe detallado de vuelta al chat de Telegram.
Capacidades operativas: ¿qué puede hacer el agente GH0ST?
Las tareas que el agente GH0ST puede llevar a cabo son variadas y extremadamente peligrosas para la seguridad del host comprometido. Según el análisis de la evidencia, las capacidades incluyen:
- Recolección de credenciales: El agente está programado para buscar y extraer claves de API de servicios de inteligencia artificial, credenciales SSH almacenadas, tokens de acceso a plataformas cloud y otros secretos que puedan estar presentes en el sistema.
- Ejecución remota de comandos: Puede ejecutar cualquier comando arbitrario en el shell del sistema, proporcionando a los operadores un control total sobre el host.
- Exfiltración de datos: Los resultados de los comandos y los datos recolectados se envían de vuelta al canal de Telegram, permitiendo la extracción de información sensible.
- Movimiento lateral: El malware posee capacidades de tipo «gusano», lo que le permite propagarse a otros hosts Docker expuestos que estén en la misma red o en redes accesibles desde el host inicial.
Este último punto es particularmente relevante. Carbonato incluye scripts que escanean las redes conectadas al host comprometido cada cinco minutos en busca de otros daemons de Docker expuestos. Cuando encuentra uno nuevo, el proceso se repite automáticamente: se extrae la imagen del implante desde el registro del atacante, se lanza un contenedor privilegiado y se inicia el mismo ciclo de persistencia y escaneo. Esta capacidad de auto-replicación convierte un solo punto de entrada en una potencial infección masiva dentro de una misma organización o proveedor de cloud.
Preguntas frecuentes sobre el malware Carbonato y su impacto
Ante la complejidad técnica de esta amenaza, es probable que los profesionales de seguridad y administradores de sistemas se planteen varias preguntas clave. A continuación, respondemos a las más relevantes.
¿Cómo protejo mis servidores Docker contra Carbonato?
La protección es directa y se basa en principios fundamentales de seguridad. La medida más crítica es asegurarse de que el daemon de Docker nunca esté expuesto a la red pública sin autenticación. El puerto 2375 nunca debe estar abierto a Internet. Si necesita acceso remoto a la API de Docker, utilice siempre TLS (puerto 2376) y configure certificados de cliente para la autenticación mutua. Además, implemente reglas de firewall estrictas para restringir el acceso a la API de Docker solo a direcciones IP de confianza. Por último, asegúrese de que cualquier registro de contenedores que utilice, ya sea público o privado, requiera autenticación para evitar que atacantes carguen o descarguen imágenes maliciosas.
¿Qué señales debo buscar para detectar una infección por Carbonato?
Los investigadores de ThreatDown han identificado varios indicadores de compromiso (IoC) específicos. La presencia de un archivo de personalidad llamado ‘GH0ST’ en el sistema es una señal de alerta muy clara. También debe buscar la variable de entorno ‘CARBONATO_API_KEY’, que el malware configura durante su instalación. Un tráfico de red inesperado hacia Telegram, especialmente desde servidores que no deberían tener ese tipo de comunicación, es otro indicador clave. Finalmente, la aparición de túneles SSH inversos hacia el sistema autónomo AS262145, que ha sido vinculado a los operadores, es una señal casi definitiva de compromiso.
Contextualizando la amenaza: el abuso de Hermes Agent en el cibercrimen
El uso de Hermes Agent por parte de Carbonato no es un caso aislado. Este framework de IA ha sido documentado en múltiples ocasiones durante los últimos meses como una herramienta predilecta para automatizar ataques. La firma de ciberseguridad Gambit documentó recientemente una operación masiva de skimming de tarjetas de crédito que utilizó agentes de IA maliciosos para robar 600,000 datos de tarjetas e infectar más de 100 sitios web. En otro incidente, se detectó a un actor de amenazas utilizando DeepSeek AI para atacar servidores vulnerables de forma autónoma, y el propio Hermes Agent fue utilizado en un ataque automatizado contra el Ministerio de Finanzas de Tailandia.
Esta tendencia indica un cambio fundamental en el ecosistema del cibercrimen. Los agentes de IA, que hasta hace poco eran herramientas de investigación o juguetes para desarrolladores, se están convirtiendo en componentes estándar del arsenal de los atacantes. Su capacidad para interpretar comandos en lenguaje natural, ejecutarlos y adaptarse a los resultados los convierte en sustitutos ideales para los scripts estáticos y los paneles de control manuales. Carbonato representa la siguiente fase de esta evolución: una botnet que no solo usa IA, sino que está diseñada desde su núcleo para operar a través de un agente interactivo.
Implicaciones para la seguridad en la nube y entornos containerizados
El auge de amenazas como Carbonato debería ser una llamada de atención para todas las organizaciones que utilizan contenedores y orquestación. La facilidad con la que un contenedor privilegiado puede romper el aislamiento del host subraya un riesgo que a menudo se subestima. Ejecutar contenedores con privilegios completos es una práctica que debería estar reservada para casos extremadamente raros y con una justificación de seguridad muy sólida, y nunca debería ser posible a través de una API no autenticada.
Además, el uso de un registro Docker público o privado con controles de acceso débiles representa un vector de ataque crítico. Si un atacante puede cargar una imagen maliciosa en un registro que su organización utiliza, o si puede extraer imágenes de un registro malicioso, la cadena de suministro de software se ve comprometida en su totalidad. Las políticas de seguridad para el consumo de imágenes de contenedores deben ser tan estrictas como las que se aplican a las dependencias de código fuente.
Atribución y perfil del operador: posibles vínculos con Costa Rica
Uno de los aspectos más intrigantes de la investigación de ThreatDown es la imposibilidad de atribuir Carbonato a grupos de amenazas conocidos. Sin embargo, el análisis de varias piezas de evidencia circunstancial apunta a Costa Rica como una posible ubicación geográfica del operador o los operadores. Aunque los investigadores no ofrecen detalles específicos sobre qué evidencia respalda esta conclusión, la asociación con el sistema autónomo AS262145 y otros patrones de comportamiento sugieren que el atacante podría tener base en Centroamérica. Esto es inusual, ya que la mayoría de las botnets de esta sofisticación suelen estar vinculadas a grupos de Europa del Este, Rusia o China. Que un operador individual o un grupo pequeño desde Costa Rica pueda desplegar una herramienta de este calibre habla de la democratización del acceso a la tecnología de IA y las capacidades ofensivas.
Lecciones aprendidas y medidas de mitigación para administradores
Para los equipos de seguridad y operaciones de TI, la aparición de Carbonato debería impulsar una revisión inmediata de las configuraciones de infraestructura. Más allá de las recomendaciones específicas para Docker, la lección más amplia es que la superficie de ataque se expande con cada nueva tecnología adoptada. La contrapartida es que las defensas deben ser igualmente dinámicas.
ThreatDown recomienda, como primera línea de defensa, mantener los puertos de la API de Docker fuera de la red pública. Esto parece obvio, pero la frecuencia con la que se encuentran instancias expuestas en Internet demuestra que no es una práctica universal. En segundo lugar, la autenticación en los registros de contenedores debe ser obligatoria, no opcional. Incluso los registros internos deberían requerir credenciales para prevenir la contaminación desde dentro de la red corporativa.
Además, la monitorización de red debe incluir reglas específicas para detectar tráfico inusual hacia servicios de mensajería como Telegram desde servidores de producción, así como la creación de túneles SSH salientes no autorizados. La monitorización de integridad de archivos también puede ayudar a detectar la presencia del archivo de personalidad ‘GH0ST’ o la variable de entorno maliciosa.
La amenaza que representa Carbonato no es una anomalía aislada, sino un presagio de lo que está por venir. La integración de agentes de IA autónomos en el malware no solo automatiza el ataque, sino que lo hace inteligente y adaptable. Los defensores ya no compiten solo contra scripts estáticos, sino contra sistemas que pueden pensar, decidir y actuar por sí mismos. La respuesta no puede ser únicamente técnica; debe incluir una comprensión profunda de cómo operan estos agentes y una vigilancia constante sobre las configuraciones que los hacen posibles.
