NadMesh-Botnetz stiehlt Cloud-Zugänge über KI-Dienste

Das neue Go-Botnetz NadMesh sucht nach ungeschützten KI-Diensten, um AWS-Zugangsdaten und Kubernetes-Token aus den Systemen zu entwenden.

Das IT-Sicherheitsteam XLab des Unternehmens QiAnXin hat ein neues, in Go geschriebenes Botnetz namens NadMesh identifiziert. Die Schadsoftware sucht seit Anfang Juli 2026 gezielt nach öffentlich erreichbaren KI-Diensten, Bilderzeugern und Workflow-Systemen. Zu den primären Zielen gehören Installationen von ComfyUI, Ollama, n8n, Open WebUI, Langflow und Gradio, die ohne ausreichende Absicherung im Internet stehen.

Das Ziel der Angreifer liegt nicht primär in der Übernahme der lokalen Rechenleistung für Krypto-Mining, sondern im Diebstahl von Berechtigungen. Das Dashboard des Botnetz-Betreibers verzeichnete bereits über 3.811 eindeutige entwendete AWS-Schlüssel. Die Bots extrahieren gezielt AWS-Konfigurationen, Kubernetes-Service-Account-Token, Docker-Anmeldedaten sowie Umgebungsvariablen aus lokalen .env-Dateien. Zudem listen sie vorhandene KI-Modelle wie DeepSeek, GLM oder Kimi auf, die mit Cloud-Anbindungen verknüpft sind.

Ausnutzung ungeschützter Administrations-Schnittstellen

Die Infektion der Systeme erfolgt primär über Fehlkonfigurationen und bekannte Schwachstellen in administrativen Schnittstellen. Die von XLab beobachteten Angriffsversuche verteilen sich auf verschiedene Vektoren:

• Die Ausnutzung ungeschützter Docker-Container-APIs macht mit 30,31 Prozent den größten Anteil des gemessenen Netzwerkverkehrs aus.
• Die Ausnutzung von Remote-Code-Execution-Schachstellen in Jenkins-Skriptkonsolen liegt bei 22,28 Prozent.
• Einfache Anmeldeversuche über schwache Telnet-Passwörter machen 10,36 Prozent aus.
• Unauthentifizierte Zugriffe auf Redis-Datenbanken erreichen einen Anteil von 8,29 Prozent.

Das Botnetz attackiert zudem das Model Context Protocol (MCP) über den Befehl execute_command, um Befehle direkt auf den Zielsystemen auszuführen. Dieser Vektor machte in den realen Beobachtungen der Forscher jedoch nur 0,78 Prozent aus. Neben Fehlkonfigurationen nutzt NadMesh auch aktuelle Sicherheitslücken wie CVE-2026-39987 in Marimo-Notebooks und CVE-2026-41176 in rclone-Servern aus.

Technische Gegenmaßnahmen für Systemadministratoren

Zum Schutz der Infrastruktur müssen administrative Schnittstellen und KI-Dienste umgehend durch Authentifizierungsmechanismen geschützt oder vom öffentlichen Internet getrennt werden. Folgende Ports stehen bei den automatisierten Scan-Prozessen des Botnetzes an erster Stelle:

• Port 8188 (ComfyUI)
• Port 11434 (Ollama)
• Port 7860 (Gradio)
• Port 5678 (n8n)

Zur Überprüfung auf eine bestehende Infektion sollten Administratoren die Datei für autorisierte SSH-Schlüssel, geplante Cronjobs unter /etc/cron.d/ sowie die Systemverzeichnisse /dev/shm/, /var/tmp/ und /tmp/ auf verdächtige, versteckte Dateien prüfen. Liegt eine Kompromittierung vor, muss das betroffene System isoliert werden. Da sich der Schadcode über drei verschiedene Mechanismen gleichzeitig im System verankert und die Dateihashes durch Obfuskation bei jedem Build variieren, müssen sämtliche betroffenen Cloud-Schlüssel, Token und Passwörter vollständig widerrufen und neu generiert werden.

(red)