NadMesh Botnet ใช้ Shodan ค้นหา AI และ MCP Server ที่เปิดอยู่บนอินเทอร์เน็ต เพื่อเจาะระบบและขโมย Credential

นักวิจัยด้านความปลอดภัยจาก XLab เปิดเผยการค้นพบ NadMesh มัลแวร์ประเภท Botnet ที่เขียนด้วยภาษา Go ซึ่งแพร่กระจายอย่างรวดเร็วนับตั้งแต่ต้นเดือนกรกฎาคม 2026 และสิ่งที่ทำให้ NadMesh แตกต่างจาก Botnet ทั่วไปอย่างสิ้นเชิงคือ มันถูกออกแบบมาเพื่อ โจมตี Infrastructure ของ AI และ MCP (Model Context Protocol) โดยเฉพาะ โดยใช้ Shodan ในการค้นหาเป้าหมายก่อนที่จะโจมตี

NadMesh ไม่ใช่ Botnet ที่แพร่กระจายแบบสุ่มอีกต่อไป แต่คือ แพลตฟอร์มโจมตีระดับ Industrial-grade ที่รวม Autonomous Scanning, ช่องทางการโจมตีกว่า 20 แบบ และระบบ Shodan-powered Intelligence เข้าไว้ในระบบเดียว ซึ่งผู้ควบคุมเรียกว่า "n4d mesh controller"

NadMesh คืออะไร และมันทำงานอย่างไร

NadMesh ทำงานผ่าน 5 ขั้นตอนที่ประสานกันอย่างแน่นหนา ได้แก่ การรวบรวมข่าวกรอง (Intelligence Gathering), ศูนย์ควบคุม (Centralized Control), การจัดส่งคำสั่งอัตโนมัติ (Autonomous Task Supply), การสร้าง Binary ที่เปลี่ยนลายเซ็นทุกครั้ง (Polymorphic Binary Construction) และการแพร่กระจายไปยังเป้าหมาย (Active Delivery)

ระบบ Controller กลางทำงานบน Port 80 และ 8443 โดยใช้ HMAC-authenticated Beacon เพื่อบริหารจัดการ Bot ในเครือข่าย และยังมี Web Management Panel ที่ให้ผู้ควบคุมเห็นข้อมูล Real-time เกี่ยวกับจำนวน Bot ที่ติดเชื้อ, Credential ที่ขโมยได้ และสถานะการโจมตี ซึ่งเป็นความสามารถที่ใกล้เคียงกับซอฟต์แวร์องค์กรระดับ Commercial มากกว่า Malware ทั่วไป

จุดเด่นที่อันตราย — Shodan API สำหรับค้นหาเป้าหมาย AI

ฟีเจอร์ที่โดดเด่นที่สุดของ NadMesh คือโมดูลชื่อ ai_harvest.py ซึ่งทำหน้าที่ Query Shodan API โดยตรง เพื่อค้นหาบริการ AI ที่เปิดอยู่บนอินเทอร์เน็ต โดยเฉพาะแอปพลิเคชันต่อไปนี้

• ComfyUI (Port 8188) — แพลตฟอร์มสร้างภาพด้วย AI แบบ Workflow
• Ollama (Port 11434) — Platform รัน AI Model แบบ Local
• n8n (Port 5678) — Workflow Automation Platform
• Gradio (Port 7860) — Framework สำหรับสร้าง AI Demo และ Web App
• Open WebUI และ Langflow — Frontend สำหรับ AI Model และ LLM Workflow

เมื่อ Shodan ค้นพบ Service ที่เปิดอยู่แล้ว ระบบจะนำ IP Address เหล่านั้นมาเพิ่มในคิวการสแกนด้วยลำดับความสำคัญสูงสุดโดยอัตโนมัติ การใช้ Shodan แทนการสแกนแบบ Brute-force ทำให้ผู้โจมตีสามารถ ระบุเป้าหมายที่มีชีวิตจริง ได้รวดเร็วมากขึ้น โดยไม่เสียทรัพยากรไปกับ IP Address ที่ว่างเปล่า

ช่องทางการโจมตีกว่า 20 แบบ

NadMesh มีคลัง Exploit กว้างขวางซึ่งครอบคลุมเทคโนโลยีหลายประเภทพร้อมกัน

MCP Infrastructure

• ส่ง JSON-RPC Tool Call ไปยัง MCP Server ที่ไม่มี Authentication เพื่อเรียก execute_command โดยตรง

Cloud และ Container

• สร้าง Malicious Pod บน Kubernetes พร้อม hostPath mount เพื่อเข้าถึงระบบไฟล์ Host
• ใช้ Docker API ที่เปิดไว้โดยไม่มี Auth สร้าง Privileged Container เพื่อหลบหนีออกจาก Container

Database และ Middleware

• ใช้ Redis ที่ไม่มีรหัสผ่าน ผ่านคำสั่ง CONFIG SET เพื่อเขียนไฟล์ลงระบบ
• โจมตี Elasticsearch ด้วย Remote Code Execution
• ใช้ Jenkins Script Console รันคำสั่งได้โดยตรง

Legacy Systems

• โจมตีผ่าน WebLogic Deserialization ซึ่งเป็นช่องโหว่เก่าที่ยังคงใช้งานได้ในหลายองค์กร

สิ่งที่ NadMesh ขโมยจากเครื่องที่ติดเชื้อ

เมื่อเข้าถึงระบบได้แล้ว NadMesh ไม่ได้หยุดแค่ใช้ทรัพยากร Compute แต่ยังขุดข้อมูลที่มีมูลค่าสูงจากเครื่องเป้าหมาย ได้แก่

• AWS Access Keys และ Amazon Bedrock Credential สำหรับเข้าถึง Cloud AI Service
• Kubernetes ServiceAccount Token ที่มีสิทธิ์ระดับ Cluster-admin
• Docker Configuration ที่มี Registry Credential
• รายการ AI Model ที่รันอยู่ในเครื่อง เช่น Llama2, Mistral และ GPT-4 API Token
• Configuration ของ MCP Tool ที่มีสิทธิ์อันตราย เช่น execute_sql และ execute_shell

ข้อมูลทั้งหมดจะถูกส่งกลับไปยัง Dashboard ของผู้โจมตีซึ่งแสดงภาพรวมของ Credential ที่ขโมยได้, MCP Vulnerability ที่ยังเปิดอยู่ และ Docker Host ที่สามารถ Escape ได้ ซึ่งข้อมูลเหล่านี้มีมูลค่าทางการค้ามากกว่าตัว Compute ของเครื่องเองเสียอีก

กลไกหลบเลี่ยงการตรวจจับ

NadMesh มีกลไกป้องกันการตรวจจับหลายชั้น ประการแรกคือการใช้ Garble Obfuscation และ UPX Compression ทำให้ Binary ทุกตัวที่ถูก Deploy ออกไปมี Cryptographic Hash ที่ไม่ซ้ำกันเลย ทำให้ Signature-based Detection ไม่สามารถจับได้

ประการที่สองคือระบบ Honeypot Detection โดยอัตโนมัติ ถ้า IP ใดล้มเหลวในการติดเชื้อ 10 ครั้งติดต่อกัน ระบบจะ Blacklist IP นั้นทันทีเพื่อหลีกเลี่ยงการวิเคราะห์จาก Researcher

ประการที่สามคือ Persistence หลายชั้น ได้แก่ SSH Authorized-key Backdoor, Binary หลายชุดที่ซ่อนไว้ในตำแหน่งต่าง ๆ และ Cron-based Watchdog ที่คอยเริ่มต้น Process ใหม่ถ้าหากตัวใดตัวหนึ่งถูกลบออกไป

ผลกระทบที่อาจเกิดขึ้น

1. AI Service ที่เปิดสู่อินเทอร์เน็ต ตกเป็นเป้าหมายหลักของ NadMesh โดยเฉพาะ Ollama, ComfyUI, n8n และ Gradio ที่นิยมใช้ใน Development และ Internal Tool
2. MCP Server ที่ไม่มี Authentication สามารถถูกสั่งรัน Command ได้โดยตรง ทำให้ผู้โจมตีเข้าถึงระบบที่ MCP เชื่อมต่ออยู่ได้ทั้งหมด
3. Cloud Credential ที่ถูกขโมย เช่น AWS Key และ Bedrock Token อาจนำไปใช้เรียก AI API โดยทำให้ค่าใช้จ่าย Cloud พุ่งสูง หรือนำไปสร้างโครงสร้างโจมตีต่อยอด
4. Kubernetes Cluster ที่ถูก Compromise อาจนำไปสู่การเข้าถึง Container ทั้งหมดในระบบ และข้อมูลที่อยู่ภายใน
5. ระบบที่ใช้ Legacy Software เช่น WebLogic เก่า ยังคงเป็นเป้าหมายได้แม้จะเป็นช่องโหว่ที่รู้จักมานานแล้ว

สิ่งที่องค์กรควรตรวจสอบทันที

1. ตรวจสอบว่า AI Service เช่น Ollama, ComfyUI, n8n หรือ Gradio ที่ใช้งานอยู่นั้น ไม่ได้เปิดสู่อินเทอร์เน็ต โดยตรง (ไม่ควร Bind กับ 0.0.0.0)
2. ตรวจสอบว่า MCP Server ทุกตัวในองค์กรต้องการ Authentication ก่อนรับ Connection ถ้าไม่มี ให้ถือว่าเป็น Misconfiguration เร่งด่วน
3. ตรวจสอบ Kubernetes RBAC โดยเฉพาะ ServiceAccount ที่มีสิทธิ์กว้างเกินไป และตรวจสอบ Docker API ว่าถูก Expose หรือไม่
4. ตรวจสอบการใช้งาน AWS และ Cloud API Key ว่ามี Usage สูงผิดปกติหรือมี Request จาก IP ที่ไม่คุ้นเคย
5. สแกนหา IOC ที่พบ: C2 IP 209.99.186.235 และ Domain cdnorigin.net ใน Network Log และ Firewall

แนวทางลดความเสี่ยง

1. จำกัด AI Service ไว้ใน Internal Network เท่านั้น

AI Tool เช่น Ollama และ ComfyUI ออกแบบมาสำหรับใช้งาน Local ไม่ควร Bind กับ Public Interface ถ้าจำเป็นต้องเข้าถึงจากภายนอก ควรใช้ VPN หรือ Reverse Proxy ที่มี Authentication

2. ใส่ Authentication ให้ MCP Server ทุกตัว

MCP Server ที่ไม่มี Auth ควรถือว่าเป็นประตูเปิดโล่ง ใช้ Token, API Key หรือ Mutual TLS สำหรับทุก Connection โดยเฉพาะ Tool ที่มีความสามารถรัน Command หรือ Query Database

3. ใช้ Least-privilege สำหรับ Kubernetes และ Docker

จำกัดสิทธิ์ ServiceAccount ให้น้อยที่สุดเท่าที่จำเป็น และปิด Docker API Socket ที่ไม่จำเป็น ไม่เปิด Docker Daemon ด้วย -H tcp:// โดยไม่มีการ Authenticate

4. Monitor AI Service Port ใน Firewall และ IDS

ตั้ง Alert สำหรับ Connection ที่ผิดปกติมายัง Port 8188, 11434, 5678, 7860 โดยเฉพาะจาก IP ภายนอก

5. Rotate Credential อย่างสม่ำเสมอ

AWS Key, Bedrock Token และ Kubernetes Token ที่ใช้ใน AI Infrastructure ควรมีอายุจำกัดและต้อง Rotate เป็นระยะ พร้อมตั้ง Alert ทันทีเมื่อมีการใช้งานผิดปกติ

6. ตรวจสอบ Legacy System

WebLogic, Redis และ Elasticsearch เก่าที่ยังใช้งานอยู่ในองค์กรควรได้รับการ Patch และตรวจสอบ Authentication Configuration ทันที

วิเคราะห์ในมุมมองจาก TXEC

NadMesh สะท้อนให้เห็นแนวโน้มที่น่ากังวลอย่างมาก นั่นคือ ผู้โจมตีเริ่มสร้างเครื่องมือที่ออกแบบมาเพื่อ AI Infrastructure โดยเฉพาะ ไม่ใช่แค่ปรับ Malware เก่ามาโจมตี AI เพิ่มเติม

สิ่งที่น่าเป็นห่วงสำหรับองค์กรไทยคือ AI Tool หลายตัว เช่น Ollama, n8n และ ComfyUI มักถูกติดตั้งโดยทีม Developer หรือทีม Data Science เพื่อใช้งานภายใน โดยไม่ผ่านกระบวนการ Security Review ที่เข้มงวด ทำให้มีความเสี่ยงสูงที่จะมี Service เหล่านี้เปิดอยู่บน Server โดยไม่ได้ตั้งใจ

นอกจากนี้ กลยุทธ์การใช้ Shodan หมายความว่า ผู้โจมตีไม่ต้องรู้ล่วงหน้าว่าองค์กรไหนมี AI Service เพราะ Shodan จะค้นหาให้โดยอัตโนมัติ องค์กรที่ติดตั้ง AI Tool โดยเปิด Port สู่อินเทอร์เน็ตจึงอาจตกเป็นเป้าหมายได้ภายในชั่วโมงแรกที่ Service ถูก Index

รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า

[ แหล่งอ้างอิง: XLab, CyberSecurityNews, The Hacker News, GBHackers, CyberPress ]