Uma campanha de mineração de criptomoedas que mira serviços de IA expostos usa o malware PoeLLM para transformar servidores comprometidos em ferramentas de varredura e pontos de apoio para disseminar exploits.
O malware emprega um método incomum para obter endereços de comando e controle (C2): extrai palavras-chave de um poema hospedado no GitHub.
Pesquisadores do Black Lotus Labs (BLL), da Lumen, que acompanham a botnet, afirmam que mais de 2.100 servidores foram comprometidos. No pico da atividade, até 800 sistemas infectados ficaram ativos em um único dia.
O PoeLLM está em atividade desde pelo menos abril, mas sua presença cresceu significativamente desde então. Até agora, pelo menos 11 servidores C2 foram colocados em operação.
Segundo os pesquisadores, a operação atingiu sistemas nos Estados Unidos e na Europa Ocidental.
Muitas das vítimas usavam ferramentas de IA expostas, como LiteLLM e Ollama, o conversor de PDF Gotenberg e a plataforma de desenvolvimento Gitea. Os pesquisadores também encontraram indícios de ataques contra o Ivanti Sentry.
O BLL observa que implementações de IA e modelos de linguagem de grande porte costumam atrair threat actors porque podem estar mal configurados, expostos à internet e instalados em clusters de GPUs potentes, adequados para a mineração de criptomoedas.
Em um relatório, os pesquisadores do BLL afirmam que o PoeLLM, um arquivo ELF chamado libgcrypt, obtém quatro palavras ou expressões de um poema intitulado “On the Nature of Connection”. O poema está em um arquivo dash.css hospedado em um repositório do GitHub que parece ser um fork do Node.js.
Em seguida, o malware converte as palavras em números usando um dicionário hardcoded e gera um endereço IPv4 correspondente ao servidor C2.
Para alterar o endereço C2, o operador modifica o poema. Até agora, ele fez isso 11 vezes, mas os pesquisadores suspeitam que possa ter havido pelo menos outra atualização.
O malware inclui recursos de acesso remoto por shell, os mineradores de criptomoedas XMRig e Iron, ferramentas de varredura por HTTP e HTTPS e a capacidade de instalar exploits.
Os pesquisadores do BLL identificaram vítimas que se comunicavam com o Kryptex, um serviço russo de mineração de criptomoedas.
Depois de comprometido, um servidor é usado como ponto de apoio para disseminar o malware. A campanha faz varreduras nas portas 3000 e 4000, associadas ao Gotenberg e ao LiteLLM, e tenta explorar a
CVE-2026-42271
.
A vulnerabilidade
CVE-2026-42271
afeta os endpoints de teste do servidor MCP do LiteLLM. Inicialmente, sua divulgação indicava que era necessário estar autenticado, e a falha recebeu uma classificação de alta gravidade.
Pesquisadores da Horizon.ai confirmaram que a falha pode ser combinada com outro problema de segurança, a
CVE-2026-48710
, para permitir execução remota de código (RCE) sem autenticação.
Ao analisar a infraestrutura, o BLL constatou que vários servidores C2 tinham interfaces de administração de roteadores vulneráveis. Isso sugere que o invasor reutilizou roteadores comprometidos nos ataques.
Os pesquisadores não conseguiram atribuir a operação com segurança, mas avaliam, com confiança moderada, que o operador é italiano. A avaliação se baseia em comentários encontrados no malware e em um servidor localizado na Itália que hospedava a interface administrativa.
Para se proteger contra ataques do PoeLLM, administradores de sistemas devem instalar as atualizações de segurança mais recentes, reduzir a exposição de ativos críticos à internet pública e permitir acesso externo apenas a endereços IP confiáveis.
Também é recomendável analisar os registros de monitoramento de rede e procurar conexões com os indicadores de comprometimento (IoCs) divulgados pelo Black Lotus Labs.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...