Carbonato 봇넷, Docker 서버 장악해 텔레그램으로 조종하는 Hermes AI 에이전트 배포

사이버보안 연구자들이 오픈소스 인공지능(AI) 에이전트 프레임워크인 Hermes Agent를 배포하기 위해 노출된 Docker 데몬을 노리는 Carbonato라는 새로운 봇넷 악성코드의 세부 내용을 공개했습니다.

"이 임플란트(감염 프로그램)는 프레임워크를 그대로 설치한 다음, 해당 프레임워크의 SOUL.md 페르소나(인격 설정) 파일을 덮어씁니다,"라고 ThreatDown은 밝혔습니다. "39줄짜리 프롬프트는 텔레그램을 통해 받은 작업을 실행하고, 지속성(감염 상태 유지)을 유지하며, 자격증명을 수집하도록 지시합니다."

높은 수준에서 보면, 이 봇넷은 인증 없이 2375번 포트로 노출된 Docker 데몬을 뚫고 들어간 뒤 5분마다 주변 네트워크를 스캔해 더 확산합니다. 각 호스트에서는 운영자의 텔레그램 명령을 따르도록 지시된 Hermes Agent를 설치합니다.

이 보안 업체는 2026년 5월부터 공개적으로 접근 가능한 상태였던 인증되지 않은 Docker 레지스트리를 통해 이번 작전을 발견했다고 밝혔습니다. 저장된 데이터에는 이 봇넷에 대한 세부 정보뿐 아니라, 트로이 목마화된 암호화폐 지갑 앱을 배포한 별도의 캠페인 정보도 포함되어 있었습니다.

CARBONATO는 웜과 같은 확산 능력을 가지고 있어, 인증되지 않은 Docker 데몬이 있는 다른 호스트로도 퍼질 수 있습니다. 취약한 호스트를 발견하면 권한이 있는(privileged) 컨테이너를 실행해 기반 시스템에서 명령을 실행합니다.

"권한 있는 컨테이너를 이용해 각 호스트에서 명령을 실행하고, 지속성과 원격 접근을 확보한 다음, 주변 네트워크를 스캔해 추가 Docker 데몬을 찾습니다,"라고 ThreatDown은 밝혔습니다. "Hermes Agent는 운영자들에게 감염된 호스트로 작업을 전송할 수 있는 텔레그램 인터페이스를 제공하며, 그 페르소나는 AI API 키 및 기타 자격증명을 최우선 목표로 지정합니다."

이 모든 과정은 셸 스크립트를 통해 이루어지는데, 이 스크립트는 피해자로부터 코스타리카에 위치한 중계 서버로 역방향 SSH 터널을 열고, 운영자의 키가 담긴 SSH 서버를 설치한 다음, 새로 배포된 컨테이너 정보를 텔레그램으로 보고합니다.

이 악성코드는 시스템 구성 요소로 위장해 탐지를 피하려 하며, cron 작업과 watchdog(감시) 스크립트를 이용해 지속성을 확보함으로써 악성 파일이 제거되더라도 임플란트가 다시 실행되도록 만듭니다.

지속성 확보가 끝나면, 다음 단계는 Hermes Agent를 배포하고 그 SOUL.md 페르소나 파일을 맞춤형 프롬프트로 덮어쓰는 것입니다. 이 프롬프트는 AI 도구에게 GH0ST라는 이름의 "고급 해커, 침투 테스터, 익스플로잇 개발자" 역할을 맡도록 요청하며, "도덕적·윤리적 제약" 없이 "지속성을 유지하고, 텔레그램으로 응답하며, 운영자가 요청하는 어떤 작업도 실행"하라고 지시합니다.

이후 이 에이전트는 텔레그램을 통해 들어오는 작업을 해석해 적절한 대형언어모델(LLM) 게이트웨이로 전달하는 대화형 명령 루프에 들어갑니다. 그러면 모델이 실행할 터미널 명령을 작성하고, 에이전트가 이를 실행한 뒤 결과를 메신저 플랫폼을 통해 공격자에게 돌려보냅니다.

이 활동은 아직 알려진 특정 위협 행위자나 그룹과 연결되지는 않았습니다. 언어, 시간대, 인프라 단서들은 운영자들이 코스타리카에 기반을 두고 있음을 시사합니다.

늘어나는 공격 체인 자동화

이번 공개는 위협 행위자들이 공격 수명 주기의 다양한 단계를 자동화하고 공격 작업을 떠넘기기 위해 AI 도구와 모델을 점점 더 많이 활용하는 가운데 나왔습니다.

2026년 7월, Palo Alto Networks는 "knaithe" 및 "KnYuan"으로 불리는 중국 기반 위협 행위자를 텔레그램을 통해 명령을 받도록 구성된 Hermes Agent 프레임워크를 통해 DeepSeek을 활용한 AI 기반 해킹 캠페인과 연결지었습니다. 이 캠페인은 표적을 열거하고, 익스플로잇 도구를 조달하며, 사람의 개입 없이 공격을 실행했습니다.

같은 달, Hunt.io 역시 태국 재무부(MOF)를 표적으로 삼기 위해 공격자들이 "YOLO" 무인 모드로 Hermes Agent를 사용한 또 다른 작전을 조명했으며, 결국 해당 네트워크 내 여러 시스템이 침해당했습니다.

"눈에 띄는 것은 이 조합입니다: 작업을 조율하는 AI 에이전트, 접근을 유지하는 크로스 플랫폼 임플란트, 그리고 이 특정 표적을 위해 작성된 스크립트,"라고 Hunt.io는 밝혔습니다. "이것들이 합쳐져, 단일 정부 표적을 침투하기 위해 상당한 사전 준비를 투입한 운영자의 모습을 그려냅니다."

바로 지난주에는 Gambit Security가 중국어를 사용하는 금전적 동기의 위협 행위자가 세 가지 오픈소스 AI 하니스(harness)를 이용해 수백 개의 온라인 소매업체를 표적으로 삼아, 최소 27개 기업을 침해하고, 두 곳에서 60만 건 이상의 신용카드 정보를 탈취했으며, 다섯 개 온라인 매장에 스키머(결제정보 탈취) 스크립트를 심었다고 밝혔습니다.

2026년 7월부터 계속되고 있는 이 활동은 공격의 모든 단계에서 AI를 사용하며, 한 단계의 결과가 다음 단계에 반영됩니다 -

• Strix, 취약점 탐색을 위한 AI 침투 테스트 도구
• Cairn, 자율적인 종단 간(end-to-end) 익스플로잇을 위한 자율 침투 테스트 엔진으로, 2026년 9월 10일부터 15일 사이에 DeepSeek v4.1 Flash를 이용해 105건의 공격 프로젝트를 시작함
• Hermes, 조율·침투 후 작업·전술적 지침을 담당하며 Anthropic Claude Opus 4.6을 이용해 악성 활동을 지휘

이 위협 행위자는 "SOUL - Red Team Operator"라는 이름의 중국어 시스템 페르소나를 Hermes Agent에 탑재하고, 거의 사람의 개입 없이 공격을 수행했으며, 피해자의 Magento 데이터베이스에서 카드 데이터를 탈취한 뒤 그 흔적을 삭제한 것으로 알려졌습니다.

탈취된 카드 정보는 미국, 아랍에미리트, 사우디아라비아, 영국, 뉴질랜드, 아일랜드, 싱가포르, 쿠웨이트, 호주, 홍콩의 피해자들에 해당합니다.

"매우 낮은 비용으로, AI 도구들은 대부분의 인간 공격자가 이런 유형의 공격에서 지속하기 어려운 수준의 인내심, 끈기, 창의성을 보여주었고, 훨씬 더 빠르게 훨씬 더 큰 성과를 달성했습니다,"라고 보안 연구자 Eyal Sela는 말했습니다. "조직들은 공격이 훨씬 더 빠르고 포괄적으로 이루어지는 현실에 적응해야 하며, 회복탄력성(resilience) 중심의 사고방식과 AI 속도에 맞는 보안 체계로 전환해야 합니다."

이번 발견은 또한 CLOSEDQUORUM이라는 새로운 Go 기반 윈도우 임플란트의 발견과 시기가 겹칩니다. 이 임플란트는 최대 네 개의 LLM 제공업체, 즉 DeepSeek, Alibaba Qwen, Mistral, Google Gemini(이 순서대로)에 질의해 공격의 침해 후(post-compromise) 단계에서 다음 행동을 자율적으로 결정할 수 있습니다.

이 투표 시스템은 악성코드가 승리한 결정에 따라 미리 정해진 일련의 행동을 취할 수 있게 하여, 명령제어(C2) 체인을 자동화하고 공격자의 지속적인 명령이 필요 없도록 만듭니다. 이러한 행동에는 자격증명 탈취, 프로세스 홀로잉(process hollowing)이나 Early Bird APC 인젝션을 이용한 셸코드 주입, 지속성 확보, 그리고 아마도 측면 이동(lateral movement)이 포함됩니다.

"CLOSEDQUORUM은 개발자가 직접 배포하는 악성코드라기보다는 운영자가 설정하는 서비스처럼 작동하는 것으로 보입니다,"라고 Cisco Talos는 밝혔습니다. "동점이 발생하면 DeepSeek이 결정권을 가집니다. DeepSeek이 실패했거나 쿼럼(정족수)에 없으면 Qwen의 표가 결정표가 되며, 이런 식으로 우선순위 순서를 따라 내려갑니다. 동점 처리 방식은 완전히 결정론적(deterministic)이며 DeepSeek 쪽으로 편향되어 있습니다."