Botnet Carbonato usa IA para sequestrar Docker e roubar dados

Você já parou para pensar que aquele servidor que você configura rapidinho, sem muita atenção, pode se tornar a porta de entrada para um ataque sofisticado? Pois é exatamente isso que está acontecendo com a nova ameaça chamada Carbonato. Descoberta recentemente, essa botnet está atacando servidores Docker mal configurados e usando inteligência artificial para roubar dados e se espalhar. E o pior: ela pode abrir caminho para outros golpes, como a clonagem do seu chip de celular. Vem comigo que eu te explico tudo e, mais importante, te mostro como se proteger.

O que é o botnet Carbonato e como ele age?

O Carbonato é um tipo de malware que se comporta como um worm, ou seja, ele consegue se replicar e se espalhar sozinho pela rede. Ele foi descoberto em um registro Docker não autenticado que continha quase 60 repositórios e 4,3 GB de dados. Os pesquisadores da ThreatDown, divisão da Malwarebytes, identificaram que ele explora uma falha simples: o daemon do Docker rodando com a API exposta na porta 2375, sem pedir senha.

Quando o atacante encontra um servidor assim, ele se conecta e instrui o Docker a iniciar um contêiner privilegiado. Esse contêiner tem acesso total ao sistema hospedeiro. A partir daí, o malware abre um túnel SSH reverso, instala um servidor SSH com a chave dos criminosos e avisa o sucesso pelo Telegram. Para garantir que vai continuar funcionando mesmo após reinicializações, ele configura tarefas cron, temporizadores do systemd e outros mecanismos de persistência.

O papel da inteligência artificial no ataque

O detalhe mais assustador é que o Carbonato instala um framework de IA chamado Hermes Agent, com um agente apelidado de GH0ST. Esse agente substitui o arquivo de personalidade padrão e recebe comandos via Telegram. Ele é capaz de:

• Coletar chaves de API de serviços de IA
• Roubar credenciais SSH
• Capturar tokens de acesso
• Executar comandos no sistema e enviar os resultados de volta

Os pesquisadores descrevem a interação como um "loop de comando interativo": o modelo de IA interpreta a tarefa, escreve comandos de terminal, lê a saída e decide o próximo passo. Ou seja, o ataque se torna adaptativo e difícil de prever.

Por que isso é perigoso para você e para sua empresa?

Talvez você pense: "Ah, mas eu não tenho um servidor Docker". Só que o problema vai além. O Carbonato, ao comprometer servidores, pode roubar dados que depois são usados em outros golpes. E é aí que entra o SIM swap, um golpe que tem crescido muito no Brasil.

No SIM swap, o criminoso convence a operadora de telefonia a transferir o seu número para um chip que ele controla. Com isso, ele recebe seus SMS de autenticação, códigos de bancos e apps, e pode invadir suas contas. E como ele consegue convencer a operadora? Muitas vezes, usando dados pessoais que foram vazados ou roubados por malwares como o Carbonato. É uma cadeia: o malware rouba dados, os dados alimentam a engenharia social, e o golpe se concretiza.

Como o Carbonato se espalha e por que é difícil de detectar

O Carbonato tem capacidade de escanear a rede a cada cinco minutos em busca de outros daemons Docker expostos. Quando encontra, ele se copia e repete o processo. A ThreatDown não conseguiu atribuir o malware a nenhum grupo conhecido, mas encontrou indícios de que o operador pode estar na Costa Rica.

Os sinais de infecção incluem:

• Presença de um arquivo de persona chamado GH0ST
• Configuração com a chave CARBONATOAPIKEY
• Tráfego inesperado para o Telegram
• Túneis SSH reversos para o AS262145

Se você administra servidores, fique atento a esses indicadores. Mas mesmo que você seja apenas um usuário comum, entender essa ameaça ajuda a reforçar seus cuidados com dados pessoais.

Guia prático: como se proteger do Carbonato e de ameaças similares

A boa notícia é que a proteção contra o Carbonato não exige conhecimentos avançados. São medidas simples que qualquer pessoa ou empresa pode adotar. Vamos a elas:

Para administradores de servidores Docker

1. Nunca exponha a API do Docker sem autenticação. A porta 2375 deve estar fechada para a internet. Use sempre TLS e autenticação.
2. Configure firewalls para restringir o acesso. Apenas IPs confiáveis devem poder acessar o daemon.
3. Atualize o Docker e o sistema operacional regularmente. Muitos ataques exploram vulnerabilidades já corrigidas.
4. Monitore a atividade do Docker. Ferramentas como o Docker Bench for Security ajudam a identificar configurações inseguras.
5. Use redes isoladas para contêineres. Evite o modo privilegiado, a menos que seja absolutamente necessário.

Para todos os usuários: proteja seus dados e evite o SIM swap

O SIM swap é um golpe devastador, mas você pode dificultar muito a vida dos criminosos:

• Ative a autenticação em duas etapas com aplicativos autenticadores (como Google Authenticator ou Authy) em vez de depender de SMS.
• Cadastre uma senha ou PIN com sua operadora para qualquer alteração no plano ou chip.
• Evite compartilhar dados pessoais em redes sociais e sites não confiáveis.
• Monitore regularmente suas contas e ative alertas de login e transações.
• Desconfie de ligações ou mensagens que peçam códigos ou dados pessoais, mesmo que pareçam ser da operadora.

Lembre-se: os criminosos precisam de informações para convencer a operadora. Quanto menos dados seus estiverem circulando por aí, mais difícil será o golpe.

Comparativo: sinais de um servidor comprometido pelo Carbonato vs. servidor saudável

Para ajudar você a identificar rapidamente se um servidor pode estar infectado, preparei uma tabela comparativa:

Se você notar qualquer um dos sinais da coluna da direita, é hora de agir imediatamente: desconecte o servidor da rede, faça uma análise forense e restaure a partir de backups limpos.

O que fazer se você for vítima de SIM swap ou tiver dados vazados

Se você suspeita que seu chip foi clonado ou que seus dados vazaram, aja rápido:

1. Entre em contato com sua operadora imediatamente e solicite o bloqueio do chip e a recuperação do número.
2. Altere as senhas de todas as contas importantes, começando por e-mail e bancos.
3. Avise seus contatos sobre o possível golpe para evitar que eles caiam em mensagens falsas suas.
4. Registre um boletim de ocorrência na delegacia de crimes cibernéticos.
5. Monitore seu CPF e contas por atividades suspeitas nos próximos meses.

E para ter uma camada extra de proteção, você pode contar com a Kzarka. Nossa plataforma monitora vazamentos de dados e avisa se suas informações aparecerem em listas criminosas. Assim, você fica sabendo antes que os golpistas ajam.

Conclusão: a segurança digital é um hábito, não um evento

O botnet Carbonato é mais um lembrete de que as ameaças estão evoluindo, usando até inteligência artificial para atingir seus objetivos. Mas a defesa também pode ser inteligente: com boas práticas de configuração, atenção aos sinais e monitoramento proativo, você reduz drasticamente os riscos.

Não espere ser a próxima vítima. Comece hoje a revisar a segurança dos seus servidores, proteja seu chip de celular e fique de olho nos seus dados. E se quiser uma ajuda extra, visite a Kzarka para verificar se seus dados já vazaram e monitorar sua identidade digital. Afinal, prevenção é sempre o melhor remédio.