NadMesh Uses Shodan to Find and Hijack Exposed AI and MCP Infrastructure
2026/07/19 CyberSecurityNews — XLab のセキュリティ研究者たちが発見したのは、2026年7月初旬以降において急速な拡散を続ける Go ベースのボットネット NadMesh である。それは、ボットネットを取り巻く状況における、構造的な変化を示すものである。このマルウェアは、日和見的なワームの挙動から、Artificial Intelligence (AI) および Model Context Protocol (MCP) インフラを標的とする、産業グレードの ROI 重視型攻撃プラットフォームへと明確な進化を遂げている。
この NadMesh は、無差別に拡散する従来のワームとは、まったく異なるものである。それが統合するのは、自律スキャン／20 件超の独自の悪用ベクター／Shodan を活用したインテリジェンス収集などであり、その結果を、運営者が n4d mesh controller と呼ぶ単一のクローズド・ループ・システムへと取り込む。
Shodan を悪用して公開 AI／MCP インフラを検出
NadMesh の最も特徴的な機能は、”ai_harvest.py” と呼ばれる専用の偵察モジュールであり、そこに含まれるスクリプトにより Shodan API に対してクエリを実行し、公開されている AI および自動化サービスを探索して対象をプロファイリングする。対象となるアプリケーションは、ComfyUI／Ollama／n8n／Open WebUI／Langflow／Gradio などである。
公開サービスを特定すると、マルウェアは検出した IP アドレスを最優先ティアとして自身のスキャン・キューへと自動的に追加する。この手法は、クラウド・エコシステム全体で既に観測されている広範な脅威の傾向を反映している。たとえば、クラウド IP アドレス範囲を巡回する自動スキャナが、リモート・コード実行 (RCE) に対して脆弱な認証不要インスタンスを探索する動きと一致する。
初期偵察を Shodan に委ねる NadMesh の運営者は、リソース消費が大きく時間がかかるブルートフォース方式のインターネット・スキャンだけに依存することなく、稼働中の AI デプロイメントに素早く照準を合わせ、未使用のアドレス空間に対する帯域幅の浪費を回避している。サイバー犯罪者たちは、このようなインフラ・スキャン・ワークフローを継続的に最適化しており、その手法は企業内部ネットワークを体系的に標的とする EncryptHub キャンペーンのような多段階攻撃を想起させる。
コンバージョン・ファネル／バイナリ・コンパイル・パターン／アクティブな感染クラスタに関する詳細な分析は、包括的な NadMesh Botnet Analysis レポートで確認できる。
このボットネットは、インテリジェンス収集／集中制御／自律タスク供給／ポリモーフィック・バイナリ生成／アクティブ配信という順序で、緊密に連携する 5 段階のフェーズで運用され、ポート 80 と 8443 でリッスンする中央コントローラが、HMAC 認証ビーコンを利用して侵害済みボット群を管理する。
また、コンバージョン・ファネル分析／自動カナリア更新／リアルタイム運用可視化を備えた高度な Web 管理パネルも公開している。これらの機能は、従来型マルウェアよりもエンタープライズ向け商用ソフトウェアに近い設計となっている。
エンドポイントが感染すると、ボット・エージェントは SSH の authorized_keys ファイルを利用したバックドア／複数の隠しバイナリ複製／cron ベースの watchdog プロセスを利用して冗長化された、永続化のためのレイヤを構築する。したがって、単一のアーティファクトを削除するだけでは感染を完全に排除できない。
このマルウェアは、エンタープライズ Web サービス／Kubernetes クラスタ／データベース管理システム／コンテナ API／内部監視ツールなどを含む、30 種類のポートを積極的にスキャンする。その中でも、AI サービス向けポートを優先的に標的とする。対象となる主なポートは以下のとおりである。
- ポート 8188：ComfyUI
- ポート 11434：Ollama
- ポート 5678：n8n
- ポート 7860：Gradio
20 件超の悪用ベクターに及ぶ機能群は、MCP JSON-RPC ツール呼び出し／悪意のある Kubernetes Pod 作成／Docker API を利用したコンテナ・エスケープ／認証不要 Redis インスタンス／Elasticsearch の RCE／Jenkins Script Console コンポーネント／WebLogic デシリアライゼーションなどのレガシー脆弱性を標的とする。
| Target Attack Surface | Primary Exploitation Vector | Implicated Severity Risk |
| MCP Servers | JSON-RPC tools/call -> execute_command execution loops | High |
| Kubernetes | Malicious pod creation paired with hostPath mount overrides | High |
| Docker API | Privileged container creation to facilitate escape sequences | High |
| Redis Infrastructure | Unauthenticated CONFIG SET file write operations | High |
| AI Services | Shodan-sourced prioritization of ComfyUI, Ollama, n8n, and Gradio | High |
NadMesh は、初期アクセスを確立するだけではなく、侵害したホストから高価値のアーキテクチャ情報を徹底的に収集する。具体的には、AWS アクセスキー／Amazon Bedrock 認証情報／cluster-admin 権限を持つ Kubernetes ServiceAccount トークン／ローカル Docker 設定／Llama2／Mistral／有効な GPT-4 API トークンを含むローカル AI モデルの包括的なインベントリなどを抽出するが、その他にも、execute_sql や execute_shell などの、悪用が可能な内部 MCP ツールのアクセス設定も収集する。
すべての収集された情報は中央ダッシュボードへ送信され、証明書総数／アクティブな MCP 脆弱性／エスケープ可能な Docker ホストなどが一元管理される。このような脅威インテリジェンスは、運営者にとってきわめて収益性の高いものとなる。
シグネチャベースの検出を回避するために NadMesh は、Garble による難読化と UPX 圧縮を適用し、動的に生成／配信される各バイナリが、完全に一意の暗号学的ハッシュを持つようにしている。また、自動化されたハニーポット回避機能も備えており、10 回連続で感染に失敗した IP アドレスはブラック・リストへ登録される。
アクティブな機械学習パイプラインを運用する管理者は、最新のサイバー攻撃シミュレーション・ツールを継続的に導入し、この種の自動化されたアーキテクチャ・ピボットに対するモデルの露出を評価する必要がある。
侵害指標 (IOC)
- Command and Control (C2) IP ノード：209.99.186.235
- C2 Content Delivery Network ドメイン：cdnorigin.net
今回の記事では、NadMesh と呼ばれるボットネットが急拡大している状況について解説されています。この問題の主な原因は、認証が設定されていない Ollama や ComfyUI などの AI 関連サービスや n8n などの自動化ツールが、インターネット上に公開された状態で放置されている点にあります。攻撃者は Shodan API を用いてこれらの公開インスタンスを探索し、優先的にスキャン対象へ登録することで効率よく侵入を試みます。さらに、設定不備がある Redis や Docker API、Kubernetes の設定ミスや旧来の RCE 脆弱性なども複合的に悪用されています。よろしければ、MCP での検索結果も、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.