Исследователи Black Lotus Labs (BLL) из Lumen сообщают об обнаружении кампании по криптомайнингу, нацеленной на уязвимые сервисы ИИ, используется вредоносное ПО PoeLLM, которое превращает скомпрометированные серверы в сканеры и эксплойтирует площадки.

Вредоносная ПО использует необычный метод получения адресов C2 путем извлечения ключевых слов из стихотворения, размещенного на GitHub.

В Black Lotus Labs по результатам отсеивания вредоносной программуы-ботнета пришли к выводу о компрометации ей более 3400 серверов с пиковой активностью в 800 зараженных систем в день.

PoeLLM активен как минимум с апреля, но с тех пор его активность значительно возросла: на сегодняшний день запущено как минимум 11 серверов C2.

Согласно телеметрии BLL, кампания таргетировалась на системы в США и Западной Европе.

Многие из жертв использовали уязвимые инструменты ИИ, такие как LiteLLM и Ollama, PDF-конвертер Gotenberg и набор инструментов разработки Gitea. Кроме того, были обнаружены признаки целевого воздействия на Ivanti Sentry.

BLL отмечает, что реализации ИИ/LLM являются привлекательными целями для злоумышленников, поскольку они часто имеют проблемную конфигурацию, доступны в сети и, как правило, работают на мощных кластерах графических процессоров, подходящих для криптомайнинга.

В своем отчете BLL отмечают, что PoeLLM, ELF-файл под названием libgcrypt, извлекает четыре слова или фразы из стихотворения под названием «О природе связи» в файле dash.css, размещенном в репозитории GitHub, который, по всей видимости, является форком Node.js.

Затем система сопоставляет эти слова с числами, используя жестко закодированный словарь, и генерирует IPv4, соответствующий серверу C2.

Для изменения адреса C2 оператор меняет стихотворение. До настоящего момента стихотворение менялось 11 раз, но исследователи подозревают, что может быть как минимум еще одно обновление.

Вредоносная ПО включает в себя функции удаленной оболочки, майнинга XMRig и Iron, сканирования по протоколу HTTP/S и возможности развертывания эксплойтов.

После взлома сервер становится плацдармом для дальнейшего распространения вредоносного ПО, использующего сканирование портов 3000 и 4000, связанных с Gotenberg и LiteLLM, и эксплуатации CVE-2026-42271.

CVE-2026-42271 затрагивает тестовые конечные точки сервера MCP компании LiteLLM, ей был присвоен высокий уровень серьезности.

Исследователи Horizon.ai, в свою очередь, подтвердили также связь с другой проблемой безопасности, CVE-2026-48710, которая приводит к несанкционированному RCE.

Проанализировав инфраструктуру, BLL обнаружила, что на нескольких серверах C2 были выявлены уязвимые интерфейсы администрирования маршрутизаторов: злоумышленник повторно использовал скомпрометированные маршрутизаторы в своих атаках.

Исследователи не смогли с уверенностью установить личность оператора, но с умеренной степенью уверенности предположили, что он итальянец, основываясь на комментариях в вредоносном ПО и размещении административного интерфейса на сервере в Италии.

Рекомендации и IOCs - в отчете.