PoeLLM: botnet de criptominare cu C2 ascuns într-o poezie

Pe 7 octombrie 2026, Black Lotus Labs, echipa de cercetare a Lumen Technologies, a publicat analiza PoeLLM, un malware care pătrunde în servicii de inteligență artificială și instrumente open source expuse pe Internet, le folosește pentru a mina criptomonede și le transformă în noi atacatori. Campania, numită Canto Incognito, are o particularitate: adresa serverului de comandă și control (C2) nu este scrisă în malware, ci se obține dintr-o poezie publicată pe GitHub.

Ce s-a întâmplat

Potrivit cercetătorilor, campania este activă din aprilie 2026: primul commit cu poezia datează din 13 aprilie. CyberScoop și Help Net Security vorbesc despre peste 3.400 de servere compromise, The Register despre peste 3.000, mai ales în Statele Unite și Europa de Vest. La vârf, potrivit The Register, peste 800 de servere infectate erau active pe zi, iar campania continuă să facă victime noi.

Majoritatea serverelor afectate rulau versiuni vulnerabile de LiteLLM și Ollama; câteva sute aveau Gotenberg (conversie în PDF) și Gitea (dezvoltare software). Cercetătorii au descoperit PoeLLM în timp ce investigau o vulnerabilitate Ivanti Sentry, CVE-2026-10520: la începutul lui iunie 2026, un Ivanti Sentry compromis a contactat serverul 5.78.73[.]122 și imediat după aceea a început să caute alte dispozitive vulnerabile. Sursele nu numesc companii afectate.

Detalii tehnice

Accesul inițial. Din mai, atacatorii au scanat Internetul mai ales pe porturile 3000 și 4000, porturile implicite ale Gotenberg și LiteLLM. Când găsesc un server vulnerabil, un server de exploit îi trimite o cerere POST construită special, care îl face să descarce un fișier de pe C2. În eșantionul analizat, endpoint-ul LiteLLM vizat este /mcp-rest/test/connection, legat de CVE-2026-42271, o vulnerabilitate de command injection din LiteLLM.

Poezia ca agendă de adrese. Poezia, intitulată „On the Nature of Connection”, se află în fișierul dash.css al unui fork al codului site-ului nodejs.org, publicat de utilizatorul GitHub ejejejdfbbebe; malware-ul nu are legătură cu Node.js. PoeLLM descarcă poezia și extrage patru cuvinte din poziții fixe, găsite cu ajutorul unor fragmente de text care servesc drept ancore (de exemplu „In the silent hum of” și „of distant servers”, potrivit The Register). Un dicționar scris în cod transformă fiecare cuvânt într-un număr: cele patru numere formează adresa IPv4 a C2. Într-o versiune a poeziei, cuvintele „driver”, „diode”, „decryption” și „string” dădeau 92.119.165.74.

Pentru a muta C2 ajunge să schimbi cuvintele pe GitHub: boții calculează singuri noua adresă, fără actualizarea malware-ului. The Register și Help Net Security numără 11 modificări de la primul commit, iar CyberScoop vorbește despre cel puțin o duzină; metoda de decodare nu s-a schimbat niciodată. Potrivit cercetătorilor, multe dintre serverele C2 folosite nu au apărut niciodată în instrumentele de securitate colaborative.

Ce face pe server. PoeLLM rulează minerii XMRig și Iron și conectează victimele la infrastructura de minare Kryptex. Are un shell la distanță, funcții de scanare HTTP/S și de livrare a exploit-urilor: fiecare server compromis devine scanner și server de exploit, iar așa crește botnetul. Recent, grupuri de boți au început să vizeze SSH și alte portaluri de autentificare: pentru cercetători este un semn că se testează atacuri distribuite de tip forță brută, încă într-o fază incipientă.

Atribuire. Black Lotus Labs atribuie campania unui actor vorbitor de limba italiană, cu motivație financiară: comentariile din cod și din paginile GitHub sunt în italiană, iar serverele folosite pentru teste și C2 se află în Italia; nu au apărut legături cu alte grupuri.

MITRE ATT&CK (corespondență pe baza faptelor raportate): T1190 (Exploit Public-Facing Application), T1105 (Ingress Tool Transfer), T1102.001 (Web Service: Dead Drop Resolver), T1496 (Resource Hijacking), T1595.002 (Vulnerability Scanning), T1110 (Brute Force).

Impactul pentru companiile europene și italiene

Europa de Vest este printre zonele cele mai afectate. Țintele sunt servicii pe care multe companii le-au pus în producție în grabă: gateway-uri către modelele de limbaj, modele rulate local, convertoare de documente, depozite de cod. Minarea este paguba vizibilă, dar cercetătorii avertizează că același acces permite furtul de credențiale, abuzul de tokenuri ale modelelor, pierderea de date și mișcări laterale.

Pentru entitățile care intră sub incidența NIS2, serviciile de IA găzduite intern fac parte integrantă din gestionarea vulnerabilităților și a activelor; o compromitere cu shell la distanță trebuie evaluată și în vederea notificării către CSIRT-ul național.

Ce trebuie să faci acum

1. Fă inventarul instanțelor LiteLLM, Ollama, Gotenberg, Gitea și Ivanti Sentry accesibile din Internet.
2. Elimină expunerea directă pentru tot ce nu trebuie să fie public: acces prin VPN sau reverse proxy cu autentificare, porturile 3000 și 4000 închise către exterior.
3. Actualizează LiteLLM la versiunea care corectează CVE-2026-42271 și Ivanti Sentry pentru CVE-2026-10520, conform avizelor producătorilor.
4. Caută semne de compromitere: procese XMRig sau ale altor mineri, utilizare anormală a CPU și GPU, conexiuni către pool-uri de minare, cereri POST către /mcp-rest/test/connection în logurile LiteLLM.
5. Verifică traficul de ieșire: scanări către porturile 3000, 4000 și 22 pornite de pe serverele tale și cereri către GitHub de pe mașini care nu au motiv să le facă. Limitează ieșirea serverelor de IA la destinațiile necesare.
6. Compară logurile cu 5.78.73.122, 92.119.165.74 și lista completă a serverelor C2, cu datele primei și ultimei observări, publicată de Black Lotus Labs.
7. Dacă găsești un server compromis, izolează-l, reconstruiește-l dintr-o imagine curată și schimbă cheile API și tokenurile configurate în serviciu.

Cum ajută ARXDOME

ARX Expose arată din exterior porturile deschise, produsele recunoscute și vulnerabilitățile cunoscute ale serviciilor publice: acolo apare un gateway LLM expus din greșeală. ARX Shield listează vulnerabilitățile deschise pe mașină și pe pachet, cu cele deja exploatate evidențiate, și permite izolarea din rețea a unui server suspect. ARX Sentry, cu agentul pentru Linux, colectează procesele, porturile și software-ul instalat și aduce în paginile SOC logurile firewall-urilor, inclusiv traficul de ieșire blocat.

Ultima actualizare: 8 octombrie 2026