Θωρακίζοντας την υποδομή AI σας προτού το NadMesh αδειάσει τους λογαριασμούς σας στο cloud

Μια στρατηγική άμυνας επιχειρήσεων πολλών εκατομμυρίων δολαρίων συχνά καταρρέει υπό το βάρος ενός και μόνο μη πιστοποιημένου κοντέινερ. Το είδα αυτό από πρώτο χέρι το περασμένο τρίμηνο κατά τη διάρκεια ελέγχου σε ένα ερευνητικό εργαστήριο που είχε αφιερώσει έξι μήνες για τη θωράκιση των συμπλεγμάτων Kubernetes, αλλά άφησε μια παρουσία ComfyUI ανοιχτή για ένα demo Σαββατοκύριακου. Αυτή η μοναδική εκτεθειμένη θύρα στο 8188 ήταν αρκετή για να παρακάμψει κάθε πολιτική δικτύου που είχαν εφαρμόσει. Το botnet NadMesh, που ανακαλύφθηκε στις αρχές Ιουλίου 2026, ζει ακριβώς σε αυτό το κενό μεταξύ των εταιρικών προτύπων ασφαλείας και του φρενήρους ρυθμού ανάπτυξης της Τεχνητής Νοημοσύνης (AI).

Το NadMesh είναι μια οικογένεια κακόβουλου λογισμικού βασισμένη σε Go που δίνει προτεραιότητα στην ταυτότητα έναντι της ακατέργαστης υπολογιστικής ισχύος. Ενώ προηγούμενα botnets επικεντρώνονταν στην κατάληψη GPU για εξόρυξη Monero, οι χειριστές πίσω από το NadMesh κατανοούν ότι ένα κλεμμένο μυστικό κλειδί AWS είναι πιο πολύτιμο από μερικές χιλιάδες hashes ανά δευτερόλεπτο. Το XLab της QiAnXin δημοσίευσε μια έκθεση την Παρασκευή περιγράφοντας λεπτομερώς πώς αυτό το botnet κυνηγά γεννήτριες εικόνων, τοπικούς εκτελεστές μοντέλων και εργαλεία δημιουργίας ροής εργασιών που οι ομάδες μηχανικών στήνουν γρήγορα και θωρακίζουν αργά.

Το αρχιτεκτονικό κόστος του «πυρετού του χρυσού» της AI

Υπάρχει ένα θεμελιώδες παράδοξο στη σύγχρονη ανάπτυξη AI. Οι οργανισμοί επενδύουν σε μεγάλο βαθμό σε ρόλους cloud IAM και κρυπτογραφημένη αποθήκευση, ωστόσο επιτρέπουν στους προγραμματιστές να εκτελούν εργαλεία χωρίς πιστοποίηση, όπως το Ollama ή το n8n, απευθείας στο δημόσιο διαδίκτυο. Το NadMesh εκμεταλλεύεται αυτή την έλλειψη τριβής. Το botnet χρησιμοποιεί έναν συλλέκτη Shodan για να διατηρεί την ουρά σάρωσής του γεμάτη με στόχους που εκτελούν ComfyUI, Open WebUI, Langflow και Gradio. Αυτά είναι τα εργαλεία της σύγχρονης στοίβας AI και σπάνια είναι θωρακισμένα εξ ορισμού.

Πρόσφατα ανέλυσα μια καταγραφή όπου ένας προγραμματιστής ανέπτυξε ένα σημειωματάριο Marimo για να δοκιμάσει ένα νέο μοντέλο. Αγνοήθηκαν οι προειδοποιήσεις ασφαλείας επειδή το χρειάζονταν μόνο για μία ώρα. Μέσα σε είκοσι λεπτά, ένα bot του NadMesh είχε σαρώσει την IP, αναγνώρισε την υπηρεσία και επιχείρησε μια εκμετάλλευση. Αυτή η ταχύτητα είναι δυνατή επειδή το botnet αντιμετωπίζει το διαδίκτυο σαν μια βάση δεδομένων με δυνατότητα αναζήτησης παρά σαν μια απέραντη περιοχή για περιπλάνηση. Τα υποδίκτυα που παράγουν επιτυχημένα χτυπήματα επανεξετάζονται κάθε πέντε λεπτά. Εάν ένας στόχος επισημανθεί ως επικίνδυνος, το botnet επιστρέφει κάθε δεκαπέντε λεπτά για να εκτελέσει πρώτα μια σάρωση υψηλής προτεραιότητας σε θύρες ειδικά για AI.

Πώς ο συλλέκτης τροφοδοτεί την ουρά

Η λογική σάρωσης είναι επίμονη. Μια πλήρης σάρωση επαναφέρει κάθε IP που σημειώθηκε ως επικίνδυνη τις τελευταίες επτά ημέρες στην κορυφή της ουράς. Ο δημιουργός γνωρίζει ξεκάθαρα ότι ερευνητές και παγίδες (honeypots) παρακολουθούν. Εάν ένας στόχος απορροφήσει δέκα προσπάθειες ανάπτυξης χωρίς να επιστρέψει αποτέλεσμα, το botnet τον βάζει αυτόματα στη μαύρη λίστα. Αυτό εμποδίζει τον στόλο από το να σπαταλά πόρους σε δολώματα. Όταν η ουρά στερεύει, τα bots δημιουργούν ένα τυχαίο υποδίκτυο /24 και συνεχίζουν το κυνήγι.

Μέχρι τη δεύτερη εβδομάδα του Ιουλίου, οι διακριτές πηγές IP που προωθούσαν το NadMesh αυξήθηκαν κατακόρυφα. Το XLab κατέγραψε τον αριθμό να εκτινάσσεται από σχεδόν μηδέν σε περίπου 139 την ημέρα. Το ταμπλό ελέγχου του ίδιου του χειριστή, που καταγράφηκε στις 10 Ιουλίου, ισχυρίζεται μια συγκομιδή 3.811 μοναδικών κλειδιών AWS. Αυτή η διαφορά μεταξύ του μικρού αριθμού ενεργών bots και του τεράστιου όγκου κλεμμένων διαπιστευτηρίων υποδηλώνει μια εξαιρετικά αποτελεσματική μηχανή αυτοματισμού. Ο χειριστής δεν χρειάζεται ένα τεράστιο botnet εάν κάθε μόλυνση αποδίδει ένα κύριο κλειδί για ένα περιβάλλον cloud.

Η ευπάθεια μέσα στο Model Context Protocol

Το Model Context Protocol (MCP) είναι ο κύριος φορέας στη λίστα προτεραιότητας του ελεγκτή. Το MCP είναι ένα πρότυπο που επιτρέπει στα μοντέλα AI να καλούν εξωτερικά εργαλεία και να έχουν πρόσβαση σε πηγές δεδομένων. Από σχεδιασμού, η πρώτη προδιαγραφή του MCP έθεσε την πιστοποίηση εκτός του κύριου πρωτοκόλλου. Μια ροή εξουσιοδότησης υπάρχει από τον Μάρτιο του 2025, αλλά η προδιαγραφή την περιγράφει ως προαιρετική. Πολλοί προγραμματιστές την παραλείπουν για να εξοικονομήσουν χρόνο κατά τη διαμόρφωση.

Το Censys μέτρησε πάνω από 21.000 προσβάσιμες υπηρεσίες MCP μέχρι τον Μάιο του 2026. Περίπου 90 από αυτές διαφήμιζαν ένα εργαλείο με το όνομα execute_command. Αυτό το εργαλείο είναι η ακριβής κλήση στην κορυφή του πίνακα εκμετάλλευσης του NadMesh. Το botnet χρησιμοποιεί ένα JSON-RPC tools/call για να ενεργοποιήσει αυτή την εντολή. Δεν υπάρχει CVE που να σχετίζεται με αυτή τη δραστηριότητα, επειδή το λογισμικό λειτουργεί ακριβώς όπως έχει ρυθμιστεί. Το πρόβλημα δεν είναι ένα σφάλμα στον κώδικα. Το πρόβλημα είναι ένα πρωτόκολλο που επιτρέπει την εκτέλεση εντολών χωρίς πιστοποίηση από προεπιλογή.

Καταγραφή του μοντέλου και της ταυτότητας

Όταν ένα bot παραβιάζει επιτυχώς έναν κεντρικό υπολογιστή, δεν εγκαθιστά απλώς έναν εξορύκτη. Καταγράφει το περιβάλλον. Η ροή πληροφοριών πίσω από το ταμπλό του NadMesh δείχνει καταλόγους μοντέλων DeepSeek, GLM και Kimi. Αυτές οι καταγραφές συχνά φέρουν την ετικέτα ":cloud". Αυτό υποδηλώνει ότι το bot κοιτάζει πέρα από το τοπικό μηχάνημα και προσδιορίζει ποιες απομακρυσμένες υπηρεσίες AI μπορεί να έχει πρόσβαση ο κεντρικός υπολογιστής.

Αυτό που στέλνει το bot πίσω στη βάση του είναι η ταυτότητα του οργανισμού. Αντλεί κλειδιά cloud από μεταβλητές περιβάλλοντος, εξάγει διακριτικά λογαριασμού υπηρεσίας Kubernetes και συλλέγει τα περιεχόμενα του ~/.aws/config. Στοχεύει επίσης αρχεία .env και το ~/.docker/config.json. Οι ερευνητές είναι σαφείς ως προς το κίνητρο. Ο χειριστής αναζητά τα διαπιστευτήρια cloud και τα προνόμια συμπλέγματος παρά τον ίδιο τον κεντρικό υπολογιστή. Σε μια σύγχρονη αρχιτεκτονική, ο κεντρικός υπολογιστής είναι ένα αναλώσιμο αγαθό, αλλά τα διαπιστευτήρια παρέχουν επίμονη πρόσβαση στο επίπεδο δεδομένων.

Επιμονή μέσω τριπλής πλεονάζουσας ασφάλειας

Η αφαίρεση του NadMesh από ένα παραβιασμένο σύστημα είναι δύσκολη λόγω των πλεοναζόντων μηχανισμών επιμονής του. Ο πράκτορας διατηρεί τρεις ξεχωριστούς τρόπους για να επιβιώσει από μια επανεκκίνηση. Εάν ένας διαχειριστής βρει και διαγράψει μια καταχώριση, οι άλλες δύο παραμένουν για να τραβήξουν ένα νέο αντίγραφο του κακόβουλου λογισμικού. Αυτό είναι σαν να προσπαθείς να σβήσεις μια φωτιά που έχει τρεις ανεξάρτητες πηγές καυσίμου. Κάθε έκδοση του κακόβουλου λογισμικού περνά επίσης από συσκότιση Garble και συσκευασία UPX με τυχαία πλήρωση. Αυτό σημαίνει ότι κάθε πράκτορας έχει ένα μοναδικό hash αρχείου. Μια ομάδα ασφαλείας δεν μπορεί να βασιστεί σε ένα μόνο hash για να βρει μολύνσεις σε όλο το δίκτυό της.

Πέντε εκδόσεις του botnet κυκλοφορούν αυτή τη στιγμή ελεύθερα. Η πιο κοινή είναι η 33.8-GO-TITAN. Ο χειριστής χρησιμοποιεί ένα τελικό σημείο canary για να δοκιμάσει νέες εκδόσεις σε ένα μικρό τμήμα του στόλου πριν από μια ευρεία κυκλοφορία. Αυτό είναι ένα επίπεδο ωριμότητας DevOps που αντικατοπτρίζει τις νόμιμες εταιρείες λογισμικού που στοχεύουν. Η επιτυχία για τον χειριστή βαθμολογείται σε μια λίστα επιτρεπόμενων αποτελεσμάτων που εξαιρεί τη συγκομιδή Ollama και AWS. Αυτό υποδηλώνει ότι ο πίνακας αποτελεσμάτων στο ταμπλό δείχνει μόνο ένα κλάσμα της συνολικής επιχείρησης.

Αμυντικές ενέργειες για την εκτεθειμένη περίμετρο

Το μεγαλύτερο μέρος αυτών που εκτοξεύει το NadMesh στοχεύει σε λειτουργίες διαχειριστή που έχουν αφεθεί προσβάσιμες στο δημόσιο διαδίκτυο. Αυτό περιλαμβάνει ανοιχτά API Docker στη θύρα 2375, κονσόλες σεναρίων Jenkins και μη πιστοποιημένες παρουσίες Redis. Καμία ενημέρωση κώδικα (patch) δεν κλείνει αυτές τις τρύπες, επειδή αποτελούν επιλογές διαμόρφωσης. Για να ασφαλίσετε το περιβάλλον σας, πρέπει να μεταφέρετε αυτές τις υπηρεσίες πίσω από πιστοποίηση ή εντελώς εκτός του δημόσιου διαδικτύου. Δώστε προτεραιότητα στις τέσσερις θύρες που η εργασία επανασάρωσης του NadMesh θέτει πρώτες: 8188 (ComfyUI), 11434 (Ollama), 7860 (Gradio) και 5678 (n8n).

Υπάρχει επίσης μια σύντομη λίστα ευπαθειών που απαιτούν άμεση ενημέρωση. Η CVE-2026-39987 είναι ένα σφάλμα απομακρυσμένης εκτέλεσης κώδικα πριν από την πιστοποίηση σε σημειωματάρια Marimo. Η CISA την πρόσθεσε στον κατάλογο Γνωστών Εκμεταλλευόμενων Ευπαθειών τον Απρίλιο. Η CVE-2026-41176 είναι επίσης κρίσιμη, καθώς επιτρέπει σε μη πιστοποιημένους καλούντες να αλλάξουν τον διακόπτη πιστοποίησης σε διακομιστές rclone RC. Δεδομένου ότι οι διαμορφώσεις rclone συχνά περιέχουν διαπιστευτήρια cloud, αυτός είναι ένας στόχος υψηλής προτεραιότητας για το NadMesh.

Εάν βρείτε ενδείξεις παραβίασης, απομονώστε αμέσως τον κεντρικό υπολογιστή. Αναζητήστε αρχεία επιμονής στο /etc/cron.d/.sys_monitor και κρυφά αρχεία στο /dev/shm/.a ή στο /tmp/.a. Η ανάκληση των διαπιστευτηρίων είναι η μόνη ασφαλής οδός. Εάν ένας κεντρικός υπολογιστής παραβιαστεί, υποθέστε ότι κάθε κλειδί AWS, διακριτικό συμπλέγματος και αρχείο .env που άγγιξε βρίσκεται πλέον στα χέρια του χειριστή. Η εναλλαγή των κλειδιών δεν αρκεί εάν το κακόβουλο λογισμικό είναι ακόμα παρόν για να κλέψει τα νέα. Πρέπει να αφαιρέσετε την επιμονή πριν εκδώσετε αντικαταστάσεις. Ελέγξτε τα αρχεία καταγραφής σας για δραστηριότητα από την IP 209.99.186[.]235 ή συνδέσεις στον τομέα cdnorigin[.]net. Ο στόχος είναι να επαληθεύσετε πού χρησιμοποιήθηκαν οι κλεμμένες ταυτότητες όσο ήταν ενεργές.

Πηγές: NIST Cybersecurity Framework, MITRE ATT&CK (Resource Development, Initial Access), QiAnXin XLab NadMesh Report, Censys MCP Census 2026.

Αποποίηση ευθύνης: Αυτό το άρθρο προορίζεται μόνο για ενημερωτικούς και εκπαιδευτικούς σκοπούς και δεν αντικαθιστά έναν επαγγελματικό έλεγχο κυβερνοασφάλειας ή μια υπηρεσία απόκρισης σε περιστατικά.