Diferencia entre revisiones de «Carbonato»

== '''Origen y motivación''' ==

Carbonato es una botnet de Docker construida en torno a un agente de inteligencia artificial, descubierta por los investigadores de ThreatDown en agosto de 2026 a partir de un registro Docker no autenticado que había estado expuesto públicamente desde mayo de ese año, y cuyo archivo de imágenes documenta dos líneas de producto vinculadas —una fábrica de aplicaciones troyanizadas de monederos de criptomonedas y la propia botnet— con marcas de tiempo que abarcan desde octubre de 2024 hasta agosto de 2026 . Su motivación es económica y de post-explotación: el malware compromete demonios Docker expuestos en el puerto 2375 para lanzar contenedores privilegiados, establece persistencia mediante túneles inversos SSH y watchdogs, instala el framework legítimo Hermes Agent con un prompt malicioso de 39 líneas que lo transforma en la herramienta GH0ST, y utiliza un gateway LLM propio para ejecutar tareas de post-explotación vía Telegram, con una prioridad explícita en la recolección de claves API de IA (OpenAI, Anthropic, Google Gemini, OpenRouter, Together, Groq, Mistral, Cohere, LocalAI, Ollama, vLLM, LiteLLM y One API) por encima de credenciales SSH, tokens de acceso y bases de datos, presumiblemente para alimentar el propio gateway LLM de la operación y monetizar el acceso robado . Aunque ThreatDown no atribuyó la botnet a un actor específico, varias señales técnicas —marcas de tiempo UTC-6:00, reportes de despliegue redactados en español voseo, el handle de Telegram <code>Carbo506</code> (código de país de Costa Rica) y túneles inversos que terminan en AS262145— apuntan a operadores con base en Costa Rica, lo que sugiere un grupo de cibercrimen con motivación puramente lucrativa más que un actor estatal, integrado en el creciente ecosistema de servicios de malware profesionalizados que explotan configuraciones inseguras de infraestructura en la nube y capacidades de IA de código abierto.