Es will nicht deinen Rechner — es will, wo er sich überall einloggen kann. Ein neues Botnetz namens NadMesh durchkämmt seit Anfang Juli das Netz nach offen erreichbaren KI-Diensten. Und das ist ein Weckruf für jedes Homelab, das schnell einen lokalen KI-Server hochgezogen und die Firewall später vergessen hat.
WAS NADMESH JAGT
Die in Go geschriebene Schadsoftware hält über einen Shodan-Sammler ständig eine Scan-Warteschlange voll — mit ComfyUI, Ollama, n8n, Open WebUI, Langflow und Gradio. Also genau den Bildgeneratoren, lokalen Modell-Runnern und Workflow-Buildern, die man schnell aufsetzt und spät absichert. Analysiert und benannt hat das Netz das Team XLab von QiAnXin in einem Bericht vom 17. Juli.
Was ein infizierter Bot nach Hause schickt, sind Cloud-Schlüssel aus Umgebungsvariablen, Kubernetes-Service-Account-Token sowie die Inhalte von ~/.aws/config, .env und ~/.docker/config.json. Dazu Modellzugänge und aufrufbare MCP-Werkzeuge. Das Dashboard des Betreibers behauptet über 3.800 einzelne AWS-Schlüssel — die Zahlen darauf widersprechen sich allerdings selbst.
MCP ganz oben — aber der Alltag ist Docker
In der Prioritätenliste des Botnetzes steht das Model Context Protocol (MCP) an der Spitze, mit einem JSON-RPC-Aufruf tools/call auf execute_command. In der Praxis geht der Großteil des beobachteten Angriffsverkehrs aber weiterhin an klassische Ziele: offene Docker-APIs (rund 30 Prozent), Jenkins-Konsolen (gut 22 Prozent), schwache Telnet-Passwörter und ungesichertes Redis. Der KI-Bezug ist real bei der Beute — der Weg hinein bleibt oft die altbekannte offene Verwaltungsschnittstelle.
Unangenehm: Die Entfernung ist auf Scheitern gebaut. Der Schädling verankert sich dreifach gleichzeitig, und jeder Build läuft durch Obfuskation, UPX-Packing und Zufalls-Padding — kein Agent teilt einen Hash mit dem anderen. Ein veröffentlichter Sample-Hash erwischt genau einen Build und verfehlt den Rest.
SO SCHÜTZT DU DEIN HOMELAB
Das meiste, was NadMesh wirft, zielt auf offen erreichbare Dienste und aufrufbare Admin-Funktionen — dagegen hilft kein Patch, sondern nur Zugangskontrolle. Bring deine Dienste hinter Authentifizierung oder ganz vom öffentlichen Internet weg. Fang bei den vier Ports an, die der Rescan-Job zuerst abklopft: 8188 (ComfyUI), 11434 (Ollama), 7860 (Gradio) und 5678 (n8n).
EXTRA-TIPP: Diese Ablage-Pfade prüfen
Gibt es eine Patch-Warteschlange, ist auch die nicht uralt — darunter CVE-2026-39987 (Pre-Auth-RCE in Marimo-Notebooks) und CVE-2026-41176 (rclone-RC ohne HTTP-Auth). Prüfe außerdem verräterische Ablage-Pfade wie ~/.ssh/authorized_keys auf fremde Schlüssel sowie versteckte Dateien in /dev/shm/, /var/tmp/ und /tmp/. Findest du etwas: Host isolieren und alle Zugangsdaten, die er sehen konnte, widerrufen — widerrufen, nicht nur neu setzen, sonst gehen die neuen Schlüssel denselben Weg.
FAZIT: Ein lokaler KI-Dienst ist praktisch — aber nur hinter Auth. Alles andere ist eine offene Einladung.
Häufige Fragen
Bin ich betroffen, wenn ich Ollama nur im Heimnetz nutze?
Was genau stiehlt das Botnetz?
~/.aws/config, .env-Dateien und ~/.docker/config.json. Ziel ist nicht der Rechner selbst, sondern die Cloud- und Cluster-Zugänge, in die er sich einloggen kann.