Waspada! Botnet NadMesh Serang Layanan AI dan Cloud

Ancaman terhadap layanan Artificial Intelligence (AI) yang terhubung ke internet kembali meningkat. Kali ini, para peneliti keamanan siber mengungkap kemunculan botnet baru bernama NadMesh yang secara khusus memburu layanan AI dengan konfigurasi keamanan yang lemah untuk mencuri kredensial cloud, token Kubernetes, hingga informasi model AI.

Botnet yang ditulis menggunakan bahasa pemrograman Go tersebut pertama kali terdeteksi aktif pada awal Juli. Berdasarkan hasil penelitian tim keamanan QiAnXin XLab, operator NadMesh mengklaim telah mengumpulkan 3.811 kunci akses Amazon Web Services (AWS) yang unik dari berbagai server yang berhasil mereka kompromikan.

Berbeda dengan botnet konvensional yang lebih berfokus memanfaatkan sumber daya perangkat korban untuk serangan Distributed Denial of Service (DDoS) atau penambangan mata uang kripto, NadMesh justru mengincar aset yang jauh lebih berharga, yakni identitas digital dan kredensial cloud yang dapat digunakan untuk mengakses berbagai layanan penting milik organisasi.

Memburu Layanan AI yang Terbuka ke Internet

Untuk mencari korban, NadMesh memanfaatkan data dari Shodan, mesin pencari yang mengindeks perangkat dan layanan yang dapat diakses melalui internet. Botnet ini secara otomatis memindai berbagai layanan AI yang populer digunakan oleh pengembang maupun perusahaan.

Beberapa platform yang menjadi sasaran utama meliputi ComfyUI, Ollama, n8n, Open WebUI, Langflow, dan Gradio. Layanan tersebut banyak digunakan untuk menjalankan Large lnguage model (LLM), membuat workflow AI, membangun chatbot, hingga menghasilkan gambar menggunakan kecerdasan buatan.

Menurut para peneliti, layanan AI sering kali dipasang dengan cepat untuk mendukung kebutuhan pengembangan aplikasi. Sayangnya, dalam banyak kasus layanan tersebut langsung dibuka ke internet tanpa konfigurasi keamanan yang memadai sehingga menjadi target empuk bagi pelaku kejahatan siber.

Fokus Mencuri Kredensial Cloud

Analisis terhadap panel kontrol NadMesh menunjukkan bahwa botnet ini tidak hanya menginfeksi server, tetapi juga mengumpulkan berbagai informasi sensitif.

Dalam 100 catatan intelijen terakhir yang ditemukan peneliti, terdapat 47 hasil pencurian kredensial serta 41 inventaris model AI. Inventaris tersebut memuat nama-nama model seperti DeepSeek, GLM, dan Kimi yang diberi label cloud, mengindikasikan bahwa pelaku juga berusaha mengakses layanan cloud yang terhubung dengan server korban. Peneliti menemukan bahwa malware secara otomatis mengumpulkan berbagai data penting, antara lain:

• Kunci akses cloud yang tersimpan pada environment variables.
• Token akun layanan Kubernetes.
• File konfigurasi AWS (~/.aws/config).
• File .env yang umumnya berisi API key dan kata sandi aplikasi.
• File konfigurasi Docker (~/.docker/config.json).

Temuan tersebut menunjukkan bahwa tujuan utama NadMesh bukan hanya mengambil alih server, melainkan memperoleh kredensial yang dapat digunakan untuk mengakses infrastruktur cloud organisasi secara lebih luas.

Dashboard Operator Menampilkan Data yang Tidak Konsisten

QiAnXin XLab berhasil memperoleh tangkapan layar dashboard milik operator NadMesh yang diambil pada 10 Juli. Menariknya, sejumlah statistik yang ditampilkan justru saling bertentangan.

Misalnya, dashboard menunjukkan angka 17.700 total penyebaran malware, tetapi pada bagian lain tertulis 95.700 penyebaran dalam 24 jam terakhir. Demikian pula jumlah bot aktif yang berbeda, yaitu 16 bot pada satu panel dan 12 bot pada panel lainnya.

Meski demikian, satu angka yang muncul secara konsisten adalah klaim pencurian 3.811 kredensial AWS, sehingga peneliti menilai angka tersebut kemungkinan merupakan data yang benar-benar digunakan operator sebagai indikator keberhasilan operasi mereka.

Sementara itu, sensor milik XLab memperlihatkan bahwa aktivitas NadMesh meningkat sangat cepat. Hingga akhir Juni hampir tidak ditemukan aktivitas berarti, tetapi pada minggu pertama Juli jumlah alamat IP unik yang menjalankan botnet tersebut melonjak hingga sekitar 139 IP per hari.

Model Context Protocol Menjadi Target Baru

Salah satu temuan penting dalam penelitian ini adalah fokus NadMesh terhadap Model Context Protocol (MCP), sebuah standar yang memungkinkan model AI berinteraksi dengan berbagai alat, data, dan layanan eksternal. Dalam daftar prioritas eksploitasi NadMesh, MCP bahkan ditempatkan di atas Kubernetes, Docker API, maupun Redis.

Peneliti mencatat bahwa botnet menggunakan pemanggilan JSON-RPC tools/call terhadap fungsi execute_command sebagai salah satu metode eksploitasinya.

Meskipun teknik tersebut tidak dikaitkan dengan kerentanan CVE tertentu, kondisi ini menjadi perhatian karena implementasi awal MCP memang tidak mewajibkan autentikasi. Walaupun mekanisme otorisasi mulai diperkenalkan pada Maret 2025, penggunaannya masih bersifat opsional sehingga banyak implementasi tetap berjalan tanpa perlindungan yang memadai.

Ribuan Layanan MCP Terbuka

Data dari Censys menunjukkan bahwa jumlah layanan MCP yang dapat diakses publik terus meningkat. Pada 28 April tercatat sekitar 12.520 layanan MCP yang tersebar pada 8.758 alamat IP. Hanya dalam waktu beberapa hari, jumlah tersebut meningkat menjadi lebih dari 21.000 layanan.

Dari jumlah tersebut, sekitar 90 layanan diketahui menyediakan fungsi yang memungkinkan eksekusi perintah sistem. Sebanyak 39 di antaranya menggunakan nama fungsi execute_command, sama seperti metode yang menjadi target eksploitasi NadMesh.

Meski begitu, peneliti juga menemukan ketidaksesuaian antara angka yang muncul pada dashboard botnet dengan data hasil pengamatan mereka. Hal tersebut menunjukkan bahwa statistik yang ditampilkan operator kemungkinan lebih bersifat internal dan belum tentu mencerminkan kondisi sebenarnya.

Mayoritas Serangan Tetap Menargetkan Infrastruktur Lama

Walaupun NadMesh sangat tertarik pada layanan AI dan MCP, sebagian besar lalu lintas eksploitasi yang diamati peneliti masih diarahkan ke layanan administrasi tradisional. Distribusi serangan yang tercatat meliputi:

• Docker API Remote Code Execution (RCE) sebesar 30,31 persen.
• Jenkins Script Console RCE sebesar 22,28 persen.
• Telnet dengan kata sandi lemah sebesar 10,36 persen.
• Redis tanpa autentikasi sebesar 8,29 persen.

Sementara itu, teknik mcp_cmd_execute memang muncul dalam pengamatan, tetapi porsinya masih di bawah satu persen.

Temuan tersebut menunjukkan bahwa layanan AI digunakan sebagai pintu masuk untuk memperoleh informasi sensitif, sedangkan eksploitasi terbesar masih memanfaatkan layanan administrasi yang telah lama dikenal memiliki risiko tinggi apabila dibiarkan terbuka ke internet.

Mekanisme Pemindaian yang Sangat Agresif

NadMesh juga memiliki mekanisme pemindaian yang dirancang agar mampu menemukan target baru secara terus-menerus.

Subnet yang menghasilkan korban akan dipindai ulang setiap lima menit. Alamat IP yang dianggap menarik akan diperiksa kembali setiap 15 menit, sedangkan target yang gagal memberikan hasil setelah sepuluh kali percobaan akan dimasukkan ke daftar hitam karena diduga merupakan honeypot milik peneliti keamanan.

Jika antrean target habis, bot secara otomatis membuat subnet acak baru dan melanjutkan proses pemindaian tanpa campur tangan operator. Strategi tersebut memungkinkan botnet terus berkembang sekaligus mempercepat pencarian layanan AI maupun server administrasi yang rentan.

Sulit Dideteksi dan Dibersihkan

Peneliti juga mengungkap bahwa NadMesh dirancang agar sulit dihapus dari sistem korban. Malware menggunakan tiga mekanisme persistensi secara bersamaan sehingga apabila salah satu berhasil dihapus, mekanisme lainnya tetap mampu mengaktifkan kembali malware.

Selain itu, setiap sampel malware diproses menggunakan teknik obfuscation Garble, dikompresi dengan UPX -9, serta diberikan padding acak. Akibatnya, setiap file malware memiliki nilai hash yang berbeda sehingga deteksi menggunakan hash file menjadi jauh kurang efektif.

Administrator Diminta Segera Mengamankan Layanan

QiAnXin XLab mengingatkan bahwa sebagian besar serangan NadMesh tidak memanfaatkan kerentanan baru, melainkan mengeksploitasi layanan yang memang dibiarkan terbuka ke internet. Administrator sistem disarankan segera mengamankan Docker API pada port 2375, Jenkins Script Console, Redis tanpa autentikasi, Telnet, serta SSH yang masih menggunakan kata sandi lemah.

Selain itu, layanan AI seperti ComfyUI, Ollama, Gradio, dan n8n juga sebaiknya tidak diakses langsung dari internet tanpa autentikasi dan pembatasan akses jaringan. Tim keamanan juga menyarankan administrator memeriksa file-file seperti ~/.ssh/authorized_keys, /dev/shm/.a, /var/tmp/.a, /tmp/.a ,serta sejumlah file cron yang mencurigakan sebagai indikator kompromi.

Apabila ditemukan tanda infeksi, langkah pertama yang harus dilakukan adalah mengisolasi server, mencabut seluruh kredensial yang mungkin telah dicuri, kemudian menghapus seluruh mekanisme persistensi malware sebelum membuat kredensial baru. Jika langkah tersebut tidak dilakukan, kredensial baru berpotensi kembali dicuri oleh malware yang masih aktif.

Motif Serangan Berubah

Penelitian ini juga memperlihatkan adanya perubahan pola serangan terhadap layanan AI yang terbuka. Pada April lalu, peneliti Censys menemukan kelompok lain yang mengeksploitasi ComfyUI untuk memanfaatkan GPU korban sebagai alat penambangan mata uang kripto Monero dan Conflux.

Kini, NadMesh menunjukkan arah yang berbeda. Botnet ini tidak lagi mengejar sumber daya komputasi semata, tetapi lebih berfokus mencuri kredensial cloud, token Kubernetes, API key, hingga akses ke layanan AI yang dimiliki korban.

Perubahan tersebut menunjukkan bahwa identitas digital kini menjadi aset yang jauh lebih bernilai dibandingkan sekadar daya komputasi. Bagi organisasi yang mulai mengadopsi AI dan layanan cloud, memastikan seluruh layanan tidak terbuka tanpa perlindungan menjadi langkah penting untuk mencegah kebocoran kredensial yang dapat berujung pada kompromi infrastruktur secara menyeluruh.