ThreatDown के शोधकर्ताओं ने Carbonato नामक एक बॉटनेट का दस्तावेजीकरण किया है, जो प्रमाणीकरण के बिना उजागर Docker डेमन को निशाना बनाता है और ऑपरेटर-नियंत्रित गतिविधि के लिए एक ओपन-सोर्स एआई एजेंट फ्रेमवर्क तैनात करता है। यह शोध पहली बार 22 सितंबर को प्रकाशित हुआ था, और अतिरिक्त तकनीकी रिपोर्टिंग 28 सितंबर को सामने आई।
उजागर Docker API प्रवेश बिंदु प्रदान करते हैं
यह अभियान पोर्ट 2375 पर प्रमाणीकरण के बिना उपलब्ध Docker सेवाओं की खोज करता है। कोई सेवा मिलने के बाद, मैलवेयर एक विशेषाधिकार-प्राप्त कंटेनर शुरू करता है, होस्ट फाइल सिस्टम को माउंट करता है और अंतर्निहित होस्ट पर कमांड चलाने के लिए कंटेनर का उपयोग करता है। इसके बाद यह स्थायित्व स्थापित करता है और आसपास के नेटवर्क में अन्य उजागर डेमन खोजता है।
ThreatDown ने एक अप्रमाणित रजिस्ट्री के माध्यम से अवसंरचना का पता लगाया, जिसने रिपॉजिटरी, इमेज टैग और कॉन्फ़िगरेशन डेटा उजागर कर दिए थे। शोधकर्ताओं ने कहा कि यही परिवेश ट्रोजनयुक्त क्रिप्टोकरेंसी वॉलेट एप्लिकेशन से जुड़े एक अलग अभियान को भी सहारा दे रहा था।
Hermes Agent ऑपरेटर इंटरफेस बन जाता है
Carbonato फ्रेमवर्क में बदलाव किए बिना Hermes Agent स्थापित करता है, फिर उसकी पर्सोना फाइल को ऐसे निर्देशों से बदल देता है जो स्थायित्व, कमांड निष्पादन और क्रेडेंशियल संग्रह को प्राथमिकता देते हैं। ऑपरेटर Telegram के माध्यम से कार्य भेजते हैं, जबकि एजेंट एक मॉडल गेटवे से जुड़कर उन निर्देशों को टर्मिनल गतिविधि में बदलता है।
यह शोध किसी नई Docker भेद्यता के बजाय क्लाउड सुरक्षा की एक व्यावहारिक विफलता को रेखांकित करता है: प्रशासनिक API को प्रमाणीकरण के बिना सीधे उजागर नहीं किया जाना चाहिए। संगठन डेमन तक पहुंच सीमित करके, रजिस्ट्री को प्रमाणित करके, विशेषाधिकार-प्राप्त कंटेनरों की समीक्षा करके और अप्रत्याशित स्थायित्व की निगरानी करके जोखिम घटा सकते हैं। जैसे-जैसे एआई टूल वास्तविक हमले की श्रृंखलाओं में प्रवेश कर रहे हैं, यह घटना SectechMedia के साइबर-भौतिक सुरक्षा कवरेज में एक और उदाहरण जोड़ती है।