Temmuz ayı başında keşfedilen NadMesh adlı Go botnet'i, açıkta bırakılan AI servislerini hedef alarak bulut kimlik bilgilerini ve Kubernetes token'larını çalmaya başladı. Operatörün kendi kontrol panelinde 3.811 benzersiz AWS anahtarı olduğu iddia ediliyor. QiAnXin XLab'ın raporuna göre, botnet ComfyUI, Ollama, n8n, Open WebUI, Langflow ve Gradio gibi popüler AI araçlarını tarıyor. Bu araçlar, ekiplerin hızla ayağa kaldırdığı ancak güvenlik duvarını sonradan eklediği sistemler arasında yer alıyor.
NadMesh'in Shodan tarayıcısı, sürekli olarak yeni hedefler keşfediyor. XLab'ın verilerine göre, botnet'in son 100 kaydında 47 kimlik bilgisi avı ve 41 model envanteri bulunuyor. Bu envanterlerde DeepSeek, GLM ve Kimi gibi modellere ait ':cloud' etiketli tanımlayıcılar yer alıyor. Bu durum, botların sadece sistemin kendisini değil, bulut bağlantılarını da hedef aldığını gösteriyor.
Kontrol panelindeki verilerde tutarsızlıklar dikkat çekiyor. Toplam 17.700 dağıtım sayısı gösterilirken, son 24 saatte 95.700 dağıtım yapıldığı iddia ediliyor. Aktif bot sayısı 16 veya 12 olarak görünüyor. XLab'ın kendi sensörleri ise farklı bir tablo çiziyor: Haziran sonunda neredeyse sıfır olan kaynak IP sayısı, Temmuz'un ilk haftasında günde 139'a yükselmiş.
Sonuç ve Değerlendirme
Botların eve gönderdiği veriler arasında ortam değişkenlerinden çıkarılan bulut anahtarları, Kubernetes servis hesabı token'ları, ~/.aws/config, .env ve ~/.docker/config.json dosyalarının içeriği yer alıyor. Araştırmacılar, operatörün hedefinin 'ana bilgisayarın kendisi değil, üzerindeki bulut kimlik bilgileri ve Kubernetes küme ayrıcalıkları' olduğunu vurguluyor. Model erişimi ve MCP araçları da listede.
Gelecekte Ne Bekleniyor?
NadMesh'in öncelik sırasında MCP (Model Context Protocol) ilk sırada yer alıyor. MCP'nin ilk spesifikasyonunda kimlik doğrulama protokolün dışında bırakılmıştı. Mart 2025'te eklenen yetkilendirme akışı ise hala isteğe bağlı. Censys verilerine göre, Nisan sonunda 12.520, Mayıs başında 21.000'den fazla erişilebilir MCP servisi bulunuyordu. Bunların 90'ı komut çalıştırabilen bir araç reklamı yapıyordu.
XLab'ın gözlemlediği trafikte en yaygın saldırı vektörü %30,31 ile docker_containers_api_rce olurken, onu %22,28 ile jenkins_scripttext_rce takip ediyor. Telnet zayıf parolaları %10,36, Redis ise %8,29 pay alıyor. mcp_cmd_execute ise %0,78 ile en düşük seviyede. Bu veriler, AI hedeflemesinin gerçek olduğunu ancak saldırıların çoğunun hala Docker ve Jenkins üzerinden yapıldığını gösteriyor.
NadMesh'in kendini besleyen bir tarama mekanizması var. Alt ağlar her beş dakikada bir yeniden taranıyor; son 24 saatte tehlikeli olarak işaretlenen IP'ler 15 dakikada bir AI portları öncelikli olarak taranıyor. Bir hedef 10 dağıtım denemesine yanıt vermezse otomatik ol Kara listeye alınıyor. Ayrıca botnet, tespit edilmeyi önlemek için Garble obfuscation, UPX -9 paketleme ve rastgele padding kullanıyor.
Önemli Gelişmeler
Korunmak için açıkta bırakılan servisleri kapatmak veya kimlik doğrulama ile korumak gerekiyor. Özellikle 8188 (ComfyUI), 11434 (Ollama), 7860 (Gradio) ve 5678 (n8n) portlarına dikkat edilmeli. Ayrıca ~/.ssh/authorized_keys, /dev/shm/.a, /var/tmp/.a, /tmp/.a ve /etc/cron.d/.sys_monitor gibi dosyalar kontrol edilmeli. Bulunan herhangi bir iz durumunda ana bilgisayar izole edilmeli ve tüm kimlik bilgileri derhal iptal edilmelidir.
Kaynak: thehackernews.com
