Carbonato s’introduit dans des hôtes Docker ouverts et y installe un agent d’IA

Le 22 septembre 2026, ThreatDown a publié un botnet qu’il appelle Carbonato. Il ne vous envoie pas de courriel, et il ne s’installe pas à partir d’un lien sur un téléphone. Il cherche des ordinateurs qui ont laissé le moteur Docker ouvert sur le réseau sans connexion, prend l’hôte, puis installe un agent d’IA ouvert ordinaire dont les instructions disent de voler d’abord les clés d’API.

Si vous ne faites pas tourner Docker, vous pouvez vous arrêter après le paragraphe suivant. Il n’y a rien à cliquer et rien à « nettoyer ».

Ce qu’ils ont trouvé

En août, ThreatDown est tombé sur un registre Docker aux États-Unis, joignable sans mot de passe depuis mai, sur le port 5000. Une journée de collecte en lecture seule a tiré 59 dépôts, 234 étiquettes d’image, 605 blobs vérifiés et 4,3 Go. Les dates d’image dans l’archive vont d’octobre 2024 à août 2026. Deux lignes de produits s’y partagent la place : une fabrique d’applications de portefeuille de cryptomonnaie contrefaites, et le botnet.

Le registre n’était pas seulement une fuite. Les machines infectées y retéléchargent l’implant, donc c’est aussi le serveur de mise à jour. La configuration laissée dans les images comprenait des adresses de commande et un mot de passe pour la passerelle de modèle de langage de l’opération. Le 3 septembre, dit ThreatDown, six des sept registres connus étaient encore en ligne, avec les sites d’hameçonnage, un réseau de diffusion de contenu et cette passerelle.

Le compte rendu de BleepingComputer du 24 septembre reprend ces chiffres et note que ThreatDown n’a pas pu rattacher l’équipe à un groupe nommé.

Comment un hôte est pris

Docker est l’outil qui fait tourner des applications dans des conteneurs. Son démon est le processus qui les crée. Les notes de sécurité de Docker disent que le démon tourne en tant que root, et que quiconque peut lui parler peut faire ce que root peut faire sur l’hôte. Le port 2375 est la façon non chiffrée et sans authentification d’exposer cette API. Carbonato la cherche.

Quand il en trouve un, dit ThreatDown, il démarre un conteneur privilégié avec le système de fichiers de l’hôte monté, et avec les espaces de noms de processus et de réseau de l’hôte. De là, il lance des commandes sur la machine elle-même, pas seulement dans un bac à sable. Un script ouvre un tunnel SSH inversé vers un relais que ThreatDown situe au Costa Rica, installe la clé de l’équipe, et envoie un rapport de déploiement à Telegram avec l’identifiant du conteneur, le nom d’hôte, l’adresse IP et le pays. Le rapport est en espagnol voseo. ThreatDown dit que cela resserre la langue, et que cela ne nomme pas un pays à lui seul.

L’implant est bâti pour avoir l’air banal et pour survivre à un redémarrage. Le conteneur porte un nom qui rappelle systemd-resolved. Les arguments du processus imitent un fil du noyau. La persistance passe par cron, des minuteurs systemd, rc.local et OpenRC, et ces fichiers sont marqués immuables. Des chiens de garde remarquent si le conteneur disparaît et le retéléchargent depuis le registre.

L’agent est un cadre inchangé, avec un nouveau persona

Une fois l’hôte tenu, l’implant installe Hermes Agent, un cadre sous licence MIT de Nous Research, sans modifier le cadre. Il écrase un seul fichier, SOUL.md, avec un persona de 39 lignes. ThreatDown dit que ce persona dit à l’agent de suivre les tâches venues de Telegram, de rester persistant, et de traiter les clés d’API d’IA comme la première chose à prendre, devant les identifiants SSH, les jetons d’accès et les bases de données. L’invite nomme 14 fournisseurs.

Les tâches arrivent dans Telegram. L’agent transmet la tâche, plus le persona, à la passerelle de modèle de langage de l’équipe, exécute les commandes que le modèle écrit, et renvoie le résultat au même clavardage. ThreatDown dit que la passerelle était sur un palier gratuit, annonçant 12 modèles et en servant 27 par son API, ce qui explique l’intérêt du persona pour les clés. Le modèle ne fait pas la propagation. Toutes les cinq minutes, un script liste les réseaux de l’hôte et balaie chaque /24 voisin à la recherche d’un autre démon ouvert sur le port 2375.

Quoi vérifier si vous faites tourner Docker

1. L’API Docker ne devrait pas répondre depuis le réseau sans authentification. Si le port 2375 est joignable depuis Internet, ou depuis d’autres machines, sans connexion, c’est tout le chemin qu’emprunte Carbonato. Ne publiez pas le socket du démon. Si vous avez besoin d’un accès à distance, utilisez SSH, ou TLS avec des certificats, comme la documentation de Docker le décrit.
2. Si le port 2375 était ouvert, traitez les clés de cet hôte comme volées. Le persona demande d’abord les clés d’API d’IA, puis les clés SSH, les jetons et les identifiants de base de données, et il les veut en clair. Faites tourner tout ce qui vivait dans des fichiers d’environnement, l’historique du shell ou un .env sur cette machine. Un mot de passe que vous n’avez tapé que dans un site ailleurs n’est pas dans ce tas.
3. Un conteneur nommé comme un service système n’en est pas un. systemd-resolved est un vrai service Linux. Un conteneur Docker qui porte ce nom, ou un processus déguisé en fil du noyau, mérite un regard plus attentif sur un hôte qui était exposé.

Les téléphones, les routeurs domestiques et les PC Windows ordinaires ne sont pas la voie de propagation de celui-ci.

Sources (en anglais) :

• CARBONATO: a botnet built around an AI agent, ThreatDown, 22 septembre 2026.
• New Carbonato malware uses AI agents to hijack exposed Docker hosts, BleepingComputer, 24 septembre 2026.
• Docker daemon attack surface, documentation de Docker.