Uma botnet em Go chamada NadMesh apareceu no início de julho em busca de serviços de IA expostos, e o painel do próprio operador afirma ter 3.811 chaves AWS exclusivas.
Um coletor ligado ao Shodan mantém a fila de varredura abastecida com ComfyUI, Ollama, n8n, Open WebUI, Langflow e Gradio, os geradores de imagem, executores locais de modelos e construtores de fluxos que as equipes sobem rapidamente e protegem no firewall tarde demais.
O feed de inteligência por trás desse contador mostra 47 capturas de credenciais e 41 inventários de modelos nos 100 registros mais recentes.
Esses inventários trazem identificadores de DeepSeek, GLM e Kimi marcados como :cloud, o que sugere que o que as bots catalogam vai além da própria máquina.
A unidade XLab da QiAnXin publicou um relatório na sexta-feira, batizou o malware com base na string “n4d mesh controller” encontrada no código-fonte e divulgou capturas do painel.
Os números exibidos ali são os do próprio operador, registrados em 10 de julho, e não batem entre si.
Um contador de 17.700 implantações totais aparece acima de um funil que aponta 95.700 nas últimas 24 horas.
Um bloco informa 16 bots ativos; o seguinte, 12.
O número de credenciais é pelo menos o único que aparece repetido duas vezes.
Os próprios sensores da XLab oferecem outra medida, mas também não é uma contagem de bots: os IPs de origem distintos que enviavam NadMesh ficaram próximos de zero até o fim de junho e dispararam na primeira semana de julho, chegando a cerca de 139 por dia.
O que a botnet leva para casa são chaves de cloud extraídas de variáveis de ambiente, tokens de conta de serviço do Kubernetes e o conteúdo de ~/.aws/config, .env e ~/.docker/config.json.
Os pesquisadores resumiram de forma direta: o operador quer “não o host em si, mas as credenciais de cloud e os privilégios do cluster Kubernetes” nele.
O acesso a modelos e as ferramentas MCP invocáveis completam a lista.
MCP lidera a ordem de prioridade do controlador para exploração, acima de Kubernetes, Docker API e Redis, e o vetor registrado pela XLab ao lado dele é uma chamada JSON-RPC tools/call para execute_command.
Nenhum CVE foi associado a essa linha, e o relatório não afirma o contrário.
A primeira especificação do MCP deixou a autenticação totalmente fora do protocolo central, e o fluxo de autorização adicionado em março de 2025 ainda é opcional, nas palavras da própria especificação.
Muitas implementações simplesmente o ignoram.
A Censys contou 12.520 serviços MCP alcançáveis em 8.758 endereços IP em 28 de abril, mais de 21.000 em 6 de maio, e cerca de 90 anunciando uma ferramenta que executa comandos.
Em 39 deles, a ferramenta se chamava execute_command, a mesma chamada no topo da tabela da NadMesh.
Os próprios contadores de MCP da botnet não se conciliam: 12.100 serviços MCP listados como exploráveis, 21 fraquezas de MCP no total e nenhuma entre os 100 registros de inteligência exibidos na tela.
Há também o que a XLab realmente viu ser disparado.
A empresa mapeou o tráfego de exploração observado, e docker_containers_api_rce responde por 30,31% dele, enquanto jenkins_scripttext_rce soma mais 22,28%.
Senhas fracas em Telnet ficam com 10,36%, e Redis com 8,29%.
mcp_cmd_execute aparece no gráfico, então o vetor está no tráfego observado pela XLab, mas fica na cauda sem rótulo, abaixo da menor fatia que alguém se deu ao trabalho de nomear, com 0,78%.
Os rótulos do gráfico não correspondem às strings de status do controlador, então o que se vê ali é a visão do sensor sobre as tentativas, não o livro-caixa de sucesso do operador.
Ou seja, o foco em IA é real tanto na entrada quanto no que é roubado, mas a maior parte do tráfego de exploração ainda vai para sockets do Docker e consoles do Jenkins.
A varredura se alimenta sozinha.
Sub-redes que geram acertos são reamostradas com mais densidade a cada cinco minutos; IPs marcados como perigosos nas últimas 24 horas voltam a ser testados a cada 15 minutos em rescan de /32, com as portas de IA primeiro; uma varredura completa traz de volta ao topo tudo o que foi marcado como perigoso nos últimos sete dias.
Qualquer alvo que aceite dez tentativas de implantação sem nunca devolver resultado é colocado automaticamente em uma lista negra como possível honeypot.
A XLab entende isso como sinal de que o autor sabe que pesquisadores estão observando.
Se a fila seca, as bots geram um /24 aleatório e seguem em frente.
Cinco versões de compilação rodam ao mesmo tempo, 11 bots na 33.8-GO-TITAN, e os atrasados ficam na 30.0.
Um endpoint canário distribui novas compilações para uma parte da frota, com 5.448 respostas servidas e 84.024 nulos.
Um funil acompanha as tarefas desde as implantações até os hosts ativos.
A própria nota de rodapé do painel entrega a pista: o sucesso é medido com base em uma lista de permissões de resultados que exclui explicitamente a coleta de Ollama e AWS.
O placar do operador não conta exatamente aquilo que o operador está roubando.
A remoção foi projetada para falhar.
O agente se mantém de três formas ao mesmo tempo, de modo que remover uma deixa as outras para trazê-lo de volta.
Cada build passa por ofuscação com Garble, empacotamento com UPX -9 e preenchimento aleatório, o que faz com que nenhum agente compartilhe um hash.
O hash do sample publicado pega apenas aquela build e deixa as demais passarem.
Se você executa qualquer uma dessas tecnologias, boa parte do que a NadMesh dispara mira serviços expostos e funções administrativas deixadas acessíveis: uma Docker API aberta na porta 2375, um console de scripts do Jenkins, Redis sem autenticação, Telnet fraco e senhas SSH fracas.
Nenhum patch corrige isso sozinho.
Coloque tudo atrás de autenticação ou fora da internet pública, começando pelas quatro portas que a tarefa de rescan prioriza: 8188 (ComfyUI), 11434 (Ollama), 7860 (Gradio) e 5678 (n8n).
Também há uma fila de patch e ela não é composta só por itens antigos.
O gráfico inclui a
CVE-2026-39987
, o RCE pré-autenticação em notebooks Marimo anteriores à versão 0.23.0.
A CISA colocou a falha no KEV em abril, após a exploração ocorrer em poucas horas depois da divulgação.
Ao lado dela está a
CVE-2026-41176
, que permite a um chamador não autenticado alterar rc.NoAuth em servidores RC do rclone da versão 1.45.0 até a 1.73.5 que tenham sido iniciados sem autenticação HTTP.
Configurações do rclone são credenciais de cloud.
Registros mais antigos precisam ter suas condições verificadas antes de qualquer alarme: a
CVE-2022-22947
, com 6,48%, só afeta casos em que o endpoint Spring Cloud Gateway Actuator está habilitado e exposto sem proteção, e a
CVE-2017-12611
, com 4,15%, é a falha de tag Freemarker do Struts.
Depois, verifique os caminhos de drop:
~/.ssh/authorized_keys, em busca de chaves que ninguém se lembra de ter adicionado
/dev/shm/.a, /var/tmp/.a, /tmp/.a
/etc/cron.d/.sys_monitor, /etc/cron.d/.s
Se algo disso aparecer, isole o host e revogue imediatamente todas as credenciais que ele possa ver: chaves AWS, tokens de cluster, conteúdo de .env, logins de repositório.
Revogar não é rotacionar.
Remova a persistência antes de emitir as substituições, ou as novas chaves terão o mesmo destino das antigas.
Depois, revise onde as antigas foram usadas enquanto estavam válidas.
Os indicadores da XLab incluem um C2 em 209.99.186[.]235, o domínio cdnorigin[.]net e um sample do agente, SHA1 31c69b3e12936abca770d430066f379ec1d997ec.
Em abril houve a cobertura de um operador diferente, mas atuando na mesma classe de alvos: a Censys havia encontrado essa operação minerando ComfyUI exposto para obter GPU, Monero e Conflux, além de um nó proxy Hysteria para revenda.
Três meses depois, a NadMesh varre uma rede bem mais ampla, mas ComfyUI exposto e Docker na porta 2375 aparecem nas duas listas de alvos.
O que mudou foi o prêmio: o operador de abril queria a GPU, e a NadMesh quer aquilo em que a máquina consegue entrar.
A Censys encerrou seu censo de MCP com uma hipótese sobre o pior desfecho possível para essas ferramentas de shell expostas, com o host virando “parte de alguma futura botnet ou infraestrutura de abuso”.
Isso foi em 27 de maio.
Sete semanas depois, a XLab publicou uma botnet com mcp_cmd_execute no gráfico de exploração.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...