Sebuah botnet bernama NadMesh yang ditulis dalam bahasa pemrograman Go muncul pada awal Juli 2026 dengan target baru yang mengkhawatirkan: layanan AI yang terekspos di internet. Dashboard operator botnet ini mengklaim telah mengumpulkan 3.811 AWS keys unik, bersama dengan Kubernetes service account tokens dan credential cloud lainnya dari ribuan sistem yang dikompromikan.
APA YANG TERJADI?
NadMesh menggunakan Shodan harvester untuk menjaga antrean pemindaian tetap terisi dengan layanan ComfyUI, Ollama, n8n, Open WebUI, Langflow, dan Gradio — platform pembuat gambar AI, model runner lokal, dan workflow builder yang seringkali dideploy dengan cepat tanpa firewall yang memadai. Tim riset QiAnXin XLab menerbitkan laporan lengkap tentang malware ini, menamakannya berdasarkan string “n4d mesh controller” dalam source code-nya.
Yang menarik, data dari intel feed di balik counter operator menunjukkan 47 credential hauls dan 41 model inventories dari 100 record terakhir. Inventories tersebut membawa identifier DeepSeek, GLM, dan Kimi dengan tag :cloud, yang menunjukkan bahwa apa yang dikumpulkan botnet melampaui host itu sendiri hingga ke layanan cloud di belakangnya.
Tingkat eksploitasi MCP (Model Context Protocol) menduduki urutan prioritas tertinggi di controller, di atas Kubernetes, Docker API, dan Redis. Vektor yang dicatat adalah JSON-RPC tools/call untuk execute_command. Sebagai konteks, Censys menghitung 12.520 layanan MCP yang dapat dijangkau per 28 April 2026, meningkat menjadi lebih dari 21.000 per 6 Mei, dengan sekitar 90 di antaranya mengiklankan tool yang menjalankan perintah.
DETAIL TEKNIS
Bot ini mengirimkan pulang cloud keys yang diambil dari environment variables, Kubernetes service account tokens, serta isi dari ~/.aws/config, .env, dan ~/.docker/config.json. Distribusi lalu lintas eksploitasi yang diamati oleh XLab menunjukkan docker_containers_api_rce mencapai 30,31%, jenkins_scripttext_rce 22,28%, Telnet weak passwords 10,36%, dan Redis 8,29%. MCP command execute (mcp_cmd_execute) berada di chart tetapi hanya menyumbang 0,78% dari total lalu lintas.
Mekanisme pemindaian NadMesh sangat agresif: subnet yang menghasilkan hit di-scan ulang lebih padat setiap lima menit, IP yang ditandai berbahaya dalam 24 jam terakhir di-scan ulang setiap 15 menit sebagai /32 dengan port AI didahulukan, dan pemindaian penuh mengembalikan semua yang ditandai berbahaya dalam tujuh hari terakhir ke puncak antrean. Target yang menyerap 10 percobaan deploy tanpa menghasilkan hasil akan secara otomatis masuk daftar hitam sebagai suspected honeypot.
Untuk persistensi, agen mempertahankan diri dalam tiga cara sekaligus sehingga mencabut satu metode meninggalkan yang lain untuk mengembalikannya. Setiap build melewati obfuscation Garble, UPX -9 packing, dan random padding, sehingga tidak ada dua agen yang berbagi hash yang sama. CVE yang dieksploitasi termasuk CVE-2026-39987 (pre-auth RCE di Marimo notebooks sebelum 0.23.0) dan CVE-2026-41176 (mematikan otentikasi di rclone RC servers).
DAMPAK TERHADAP INDONESIA
Serangan ini sangat relevan dengan kondisi Indonesia karena tren adopsi AI dan machine learning yang meningkat pesat di kalangan startup dan perusahaan teknologi Indonesia. Banyak organisasi Indonesia yang mulai menggunakan ComfyUI untuk generasi gambar AI, Ollama untuk menjalankan model LLM lokal, dan Gradio untuk membangun demo model AI. Sayangnya, banyak di antaranya yang dideploy di server VPS tanpa konfigurasi keamanan yang memadai, menjadikannya target ideal bagi NadMesh.
Dengan adanya UU PDP (Pelindungan Data Pribadi), organisasi Indonesia yang mengelola data pengguna memiliki kewajiban hukum untuk melindungi data tersebut dari akses tidak sah. Jika layanan AI dikompromikan dan credential cloud dicuri, maka data pelanggan yang diproses oleh layanan tersebut juga berpotensi bocor. BPJS Kesehatan, rumah sakit yang menggunakan AI untuk diagnosis, dan fintech yang menggunakan AI untuk credit scoring adalah beberapa contoh sektor yang sangat rentan.
BSSN telah mencatat peningkatan serangan terhadap infrastruktur cloud Indonesia. Organisasi harus segera melakukan audit terhadap semua layanan AI yang terekspos ke internet dan memastikan tidak ada layanan yang berjalan tanpa autentikasi yang kuat. Penggunaan MCP tanpa otentikasi yang merupakan kondisi default menjadi celah kritis yang harus segera ditutup.
REKOMENDASI MITIGASI
Langkah pertama dan paling mendesak adalah memastikan tidak ada layanan AI yang terekspos ke internet tanpa autentikasi. Prioritaskan penutupan akses pada empat port utama yang menjadi target pemindaian NadMesh: 8188 (ComfyUI), 11434 (Ollama), 7860 (Gradio), dan 5678 (n8n). Gunakan VPN atauZero Trust Network Access (ZTNA) untuk akses jarak jauh.
Periksa sistem untuk tanda-tanda kompromi berikut: file di ~/.ssh/authorized_keys yang tidak dikenal, file tersembunyi di /dev/shm/.a, /var/tmp/.a, /tmp/.a, serta cron job mencurigakan di /etc/cron.d/.sys_monitor dan /etc/cron.d/.s. Jika ditemukan, isolasi host tersebut segera dan cabut SEMUA credential yang mungkin telah terlihat oleh agen — AWS keys, cluster tokens, isi .env, registry logins.
Aktifkan MCP authentication untuk semua deployment MCP yang terekspos. Perbarui CVE terkait dan pastikan layanan yang berjalan di Docker dan Jenkins tidak terekspos ke publik. Implementasikan network segmentation yang ketat antara layanan AI dan infrastruktur kritis lainnya. Gunakan YARA rules untuk mendeteksi NadMesh berdasarkan IOC yang dipublikasikan oleh QiAnXin XLab, termasuk C2 di 209.99.186[.]235 dan domain cdnorigin[.]net.
Analisa Retasan
NadMesh menandai evolusi signifikan dalam botnet berbasis AI. Sementara serangan sebelumnya terhadap layanan ComfyUI yang dilaporkan oleh Censys pada April 2026 berfokus pada penambangan GPU (Monero dan Conflux) dan operasi proxy, NadMesh memperluas target hingga ke credential cloud dan Kubernetes tokens. Perubahan dari mencuri GPU menjadi mencuri akses cloud mencerminkan pemahaman yang matang tentang nilai strategis dari cloud infrastructure yang dijalankan oleh target. Sebuah kompromi Docker API di 2375 tidak hanya memberikan akses ke host, tetapi juga ke seluruh cluster Kubernetes, registri container, dan layanan cloud yang terhubung.
Yang paling mengkhawatirkan dari NadMesh adalah integrasi MCP exploitation ke dalam pipeline eksploitasi otomatis. Model Context Protocol, yang dirancang untuk memfasilitasi komunikasi antara AI agents dan tools eksternal, masih memiliki gap keamanan fundamental: spesifikasi awalnya menempatkan otentikasi di luar protocol inti, dan alur otorisasi yang ditambahkan pada Maret 2025 masih bersifat opsional menurut spesifikasi resminya. Dengan 21.000+ layanan MCP yang terekspos dan sekitar 90 di antaranya menjalankan perintah execute_command tanpa otentikasi, ini adalah target yang sangat menggoda bagi attacker. Censys sendiri telah memperingatkan pada Mei 2026 bahwa exposed MCP tools berpotensi menjadi bagian dari botnet atau abuse infrastructure — dan tujuh minggu kemudian, NadMesh mewujudkan prediksi tersebut.
Dari sudut pandang pertahanan Indonesia, tren ini menunjukkan bahwa attack surface organisasi tidak lagi terbatas pada web server dan email. Layanan AI yang dideploy secara internal juga merupakan titik masuk yang sah bagi attacker. SKKNI Siber perlu diperbarui untuk mencakup guidelines spesifik mengenai deployment layanan AI yang aman, termasuk requirement untuk otentikasi wajib, network isolation, dan monitoring credential exposure. Tanpa evolusi regulasi ini, organisasi Indonesia akan terus menjadi target empuk bagi botnet canggih seperti NadMesh yang secara aktif memanfaatkan ketidaksiapan operasional dalam mengamankan layanan AI.
🔗 Sumber: The Hacker News — New NadMesh Botnet Hunts Exposed AI Services
