Malware PoeLLM skrývá adresu C2 v básni na GitHubu a zneužívá veřejně dostupné AI servery k těžbě kryptoměn

Výzkumníci z Black Lotus Labs společnosti Lumen popsali rodinu malwaru, kterou nazývají PoeLLM. Proniká do AI a LLM serverů dostupných z internetu, instaluje na ně těžaře kryptoměn a napadené stroje pak využívá k hledání dalších obětí. Finančně motivovanou kampaň výzkumníci pojmenovali Canto Incognito. Podle The Hacker News a BleepingComputer bylo od začátku aktivity v dubnu 2026 nakaženo více než 3400 serverů; The Register s odkazem na tytéž výzkumníky uvádí více než 3000. BleepingComputer poznamenává, že verze zprávy, kterou původně obdržel, uváděla 2100 kompromitovaných serverů – toto číslo výzkumníci v publikované zprávě později navýšili.

Název malwaru odkazuje na způsob, jakým hledá svůj řídicí (command-and-control) server. Podle výzkumníků uchovává operátor báseň s názvem „On the Nature of Connection“ v souboru dash.css v repozitáři na GitHubu, který je forkem zdrojového kódu webu Node.js. PoeLLM, podle BleepingComputer binárka ve formátu ELF s názvem libgcrypt, čte z pevně daných pozic v básni čtyři slova či slovní spojení, pomocí slovníku zabudovaného ve svém kódu je převádí na čísla a sestavuje z nich adresu IPv4. Ke změně serveru tak operátorovi stačí upravit několik slov. První commit vznikl 13. dubna 2026 a báseň byla od té doby změněna 11krát, uvádějí The Register a BleepingComputer. Black Lotus Labs serveru The Register sdělily, že text neobsahuje žádné odkazy, stahování ani šifrované řetězce, které by ho prozrazovaly jako škodlivý, že se s touto technikou tým setkal poprvé a že podle něj samotnou báseň napsala AI.

Po instalaci PoeLLM spouští těžaře XMRig a Iron a připojuje oběti ke službě Kryptex, kterou The Hacker News a BleepingComputer popisují jako ruskou službu pro těžbu kryptoměn. Obsahuje také funkce vzdáleného shellu, skenování a zneužívání zranitelností. Podle BleepingComputer nakažené stroje skenují porty 3000 a 4000, spojované s Gotenberg a LiteLLM, a pokoušejí se zneužít CVE-2026-42271, chybu v testovacích endpointech MCP serveru v LiteLLM, o níž se při prvním zveřejnění uvádělo, že vyžaduje autentizaci; výzkumníci z Horizon.ai tvrdí, že ji lze zřetězit s CVE-2026-48710 a dosáhnout tak vzdáleného spuštění kódu bez autentizace. Většina obětí podle The Register provozovala veřejně dostupné verze LiteLLM a Ollama, stovky pak PDF konvertor Gotenberg nebo vývojovou platformu Gitea. The Register dodává, že Black Lotus Labs malware poprvé zachytily při vyšetřování zranitelnosti Ivanti Sentry CVE-2026-10520. Oběti se soustředí ve Spojených státech a západní Evropě.

Black Lotus Labs se střední mírou jistoty připisují kampaň italsky hovořícímu aktérovi; odkazují na italské komentáře v malwaru a na útočníkových stránkách na GitHubu i na data netflow. BleepingComputer dodává, že administrační rozhraní bylo hostováno na serveru v Itálii. Několik serverů C2 vystavovalo zranitelné administrační stránky routerů, což výzkumníci vykládají jako známku toho, že útočník znovu využíval kompromitované routery. The Hacker News cituje společnost, podle níž kampaň vyvrcholila v polovině června s téměř 2200 zasaženými servery, z nichž bylo denně aktivních téměř 800, a novější provoz mířící na SSH a další přihlašovací stránky ukazuje na experimenty s distribuovanými útoky hrubou silou, jejichž vyspělost zatím není jasná. Pro obranu BleepingComputer radí správcům instalovat aktuální bezpečnostní aktualizace, kritické systémy pokud možno nevystavovat do veřejného internetu, omezit externí přístup na důvěryhodné IP adresy a prohledat síťové logy kvůli spojením s indikátory kompromitace zveřejněnými Black Lotus Labs.

Výzkumníci uvádějí, že AI infrastruktura přitahuje útočníky nejen kvůli chybám v softwaru, ale také proto, že takové servery mohou uchovávat užitečná data a často běží na GPU hardwaru vhodném k těžbě. Serveru The Register řekli, že kampaň se jeví jako neobvyklá tím, že útočí na několik služeb souvisejících s AI zároveň, zatímco letošní kompromitace dodavatelského řetězce LiteLLM se zaměřila na jednu službu a podle otevřených zdrojů zasáhla zhruba 2500 obětí. Black Lotus Labs uvedly, že očekávají další útoky tohoto druhu, protože nástroje AI podle nich usnadňují nasazení služeb jako LiteLLM, Ollama nebo Gotenberg bez kontroly, zda jsou aktualizované a chráněné.