Neuer Botnet-Trend: AI-Services im Visier
Anfang Juli wurde das Go-basierte Botnet NadMesh entdeckt, das es gezielt auf freiliegende AI-Services abgesehen hat. Laut Dashboard des Operators verfügt die Kampagne bereits über 3.811 eindeutige AWS-Keys – ein alarmierendes Zeichen für die Sicherheitslage im AI-Ökosystem.
Shodan als Waffe
Das Botnet nutzt einen automatisierten Shodan-Harvester, um potenzielle Ziele zu identifizieren. Die Scan-Queue ist mit bekannten Open-Source-Tools gefüllt: ComfyUI, Ollama, n8n, Open WebUI, Langflow und Gradio. Diese Tools haben eines gemeinsam – Teams stellen sie schnell bereit, sichern aber oft die Netzwerk-Zugriffe nicht ausreichend ab.
ComfyUI und Ollama ermöglichen lokales Deployment von KI-Modellen, n8n und Langflow sind populäre Workflow-Automation-Plattformen, Open WebUI bietet Web-Interfaces für Sprachmodelle und Gradio ist eine häufig genutzte Demo-Plattform. Sie sind ideal für schnelle Prototyping-Szenarien – und genau dort entstehen die gefährlichsten Sicherheitslücken.
Das Kernproblem
Die Problematik ist strukturell: Entwickler und Teams deployen diese Services oft in internen Netzwerken oder mit minimaler Authentifizierung, um schnell arbeiten zu können. Cloud-Keys werden aus Bequemlichkeit in Umgebungsvariablen oder Config-Dateien abgelegt. Kubernetes-Token liegen in Default-Installationen manchmal völlig ungeschützt vor.
NadMesh profitiert genau von dieser Realität. Einmal Zugriff auf eine freiliegende Instanz gewonnen, kann der Botnet-Operator nicht nur das Service selbst missbrauchen, sondern erhält oft auch Zugang zu Cloud-Credentials – das eigentliche Ziel.
Was passiert mit den gestohlenen Keys?
Mit 3.811 AWS-Keys in der Hand können Angreifer:
- Infrastruktur-Ressourcen stehlen oder zerstören
- Weitere Daten aus S3-Buckets exfiltrieren
- Credential-Spray-Attacken durchführen
- Seitwärts in verbundene Systeme eindringen
Kubernetes-Token ermöglichen ähnlich kritische Zugriffe auf Container-Orchestrierung und damit auf alle darin laufenden Workloads.
Maßnahmen
- Netzwerksegmentierung: AI-Services nicht direkt ins Internet exponieren
- Authentifizierung erzwingen: Reverse-Proxy mit Basic-Auth mindestens
- Credentials rotieren: Keine statischen Keys in Services speichern
- Cloud-IAM nutzen: AWS-Rollen statt direkter Keys
- Regelmäßige Scans: Mit Shodan selbst checken, ob Services exponiert sind
Die NadMesh-Kampagne zeigt ein bekanntes Muster: Sicherheit wird zur nachträglichen Gedanke, wenn Convenience die Priorität hat. Für Teams mit vielen AI-Services sollte das ein Weckruf sein.