Technology newsroom
แจ้งเตือนภัย! Carbonato Botnet โจมตี Docker ที่ตั้งค่าไม่ปลอดภัย แอบฝัง Hermes AI Agent ควบคุมผ่าน Telegram
นักวิจัยด้านความปลอดภัยจาก ThreatDown ค้นพบมัลแวร์ Botnet ตัวใหม่ชื่อ Carbonato ที่มุ่งเป้าโจมตี Docker daemon ที่ตั้งค่าไม่ปลอดภัย เพื่อฝัง Hermes AI Agent และควบคุมสั่งการจากระยะไกลผ่านแอป Telegram
📌 สรุปประเด็นสำคัญ:
- Carbonato คือ Botnet Malware ตัวใหม่ที่กำลังแพร่กระจายโดยพุ่งเป้าไปที่ Docker daemon ที่ตั้งค่าความปลอดภัยไม่ถูกต้องและเปิดให้เข้าถึงได้จากภายนอก
- แฮกเกอร์ใช้ช่องโหว่นี้เพื่อติดตั้ง Hermes Agent ซึ่งเป็น AI Agent แบบโอเพนซอร์ส เพื่อใช้เป็นเครื่องมือในการควบคุมเครื่องเป้าหมาย
- การสั่งการและควบคุม Hermes AI Agent ที่ถูกฝังไว้ ทำผ่านแอปพลิเคชัน Telegram ทำให้ยากต่อการตรวจจับและป้องกัน
นักวิจัยด้านความปลอดภัยทางไซเบอร์จาก ThreatDown ได้ออกมาเปิดเผยรายละเอียดของมัลแวร์ Botnet สายพันธุ์ใหม่ที่ชื่อว่า 'Carbonato' ซึ่งกำลังพุ่งเป้าโจมตี Docker host ที่มีการตั้งค่า Docker daemon ไม่ปลอดภัยและเปิดให้เข้าถึงได้จากอินเทอร์เน็ตโดยตรง เป้าหมายหลักของแฮกเกอร์คือการแอบติดตั้งเฟรมเวิร์ก AI Agent แบบโอเพนซอร์สที่ชื่อว่า Hermes Agent เพื่อยึดครองและควบคุมระบบจากระยะไกล
🤖 การทำงานของ Carbonato Botnet
การโจมตีเริ่มต้นจากการที่ Botnet สแกนหา Docker daemon ที่เปิดพอร์ต API ทิ้งไว้โดยไม่มีการป้องกัน เมื่อพบเป้าหมายแล้ว มันจะทำการติดตั้ง Hermes Agent ซึ่งเป็นเครื่องมือ AI ที่มีความสามารถหลากหลายเข้าไปในระบบของเหยื่อทันที แต่ความน่ากลัวไม่ได้หยุดอยู่แค่นั้น
หลังจากติดตั้งสำเร็จ ตัวมัลแวร์จะทำการเขียนทับไฟล์คอนฟิกของ AI ที่ชื่อว่า 'SOUL.md' ซึ่งเป็นไฟล์ที่ใช้กำหนดบุคลิกและคำสั่งพื้นฐานของ AI โดยจะใส่ Prompt หรือชุดคำสั่งใหม่ความยาว 39 บรรทัดเข้าไปแทนที่ ชุดคำสั่งใหม่นี้จะสั่งให้ Hermes Agent รอรับคำสั่งจากแฮกเกอร์ผ่านแอปพลิเคชัน Telegram ซึ่งทำหน้าที่เป็น Command-and-Control (C2) Server
🛡️ ความเสี่ยงและผลกระทบ
การใช้ Telegram เป็นช่องทางการสั่งการทำให้การโจมตีนี้ตรวจจับได้ยากมาก เนื่องจากเป็นการใช้ทราฟฟิกบนแพลตฟอร์มที่ถูกกฎหมาย ทำให้ Docker host ที่ถูกยึดครองกลายเป็นส่วนหนึ่งของเครือข่าย Botnet โดยสมบูรณ์ และอาจถูกใช้เป็นฐานในการโจมตีครั้งต่อไป เช่น การขโมยข้อมูลสำคัญ การโจมตี DDoS หรือแม้กระทั่งการขุดเงินคริปโตโดยที่เจ้าของไม่รู้ตัว
สำหรับผู้ดูแลระบบ นี่คือสัญญาณเตือนที่สำคัญให้ตรวจสอบการตั้งค่าความปลอดภัยของ Docker environments ของตนเอง ต้องแน่ใจว่า Docker daemon API ไม่ได้ถูกเปิดให้เข้าถึงได้จากเครือข่ายสาธารณะโดยไม่มีการยืนยันตัวตนที่รัดกุม ควรใช้ Firewall และตั้งค่า Access Control List (ACLs) เพื่อจำกัดการเข้าถึงเฉพาะจาก IP ที่ได้รับอนุญาตเท่านั้น
💬 องค์กรของคุณมีการใช้ Docker หรือไม่ และมีมาตรการป้องกัน Docker daemon ที่เปิดสู่สาธารณะอย่างไรกันบ้างครับ?