PoeLLM Malware Infects 3,400+ Servers to Expand Crypto Mining Botnet
The Hacker News · 7 oct, 17:33
Investigadores de ciberseguridad descubrieron PoeLLM, una familia de malware que ha infectado más de 3.400 servidores con infraestructura expuesta de IA y modelos de lenguaje para desplegar minadores de criptomonedas. La campaña, atribuida a un actor de habla italiana, utiliza una técnica creativa para ocultar la dirección de comando y control (C2) dentro de un poema alojado en un repositorio de GitHub, cambiando palabras clave cada vez que se configura un nuevo C2. Los servidores comprometidos se reutilizan como exploradores y servidores de exploit para encontrar y comprometer sistemas adicionales.
La campaña denominada Canto Incognito ha estado activa desde abril de 2026, afectando principalmente a instancias de LLM de cara a Internet como LiteLLM y Gotenberg, así como a aplicativos Gitea e Ivanti Sentry. Los atacantes despliegan minadores de criptomonedas como XMRig e Iron, conectando las víctimas al servicio ruso Kryptex. En su pico operativo a mediados de junio, la campaña involucraba casi 2.200 servidores afectados, con casi 800 activos por día, concentrados principalmente en EE.UU. y Europa Occidental.
La técnica de ofuscación del C2 mediante un poema en GitHub es particularmente ingeniosa: el malware extrae la dirección del C2 a partir de palabras clave que los atacantes modifican cada vez que actualizan el servidor de comando. El malware también experimenta con ataques distribuidos de fuerza bruta contra portales SSH y otros servicios de login. La infraestructura de IA se ha convertido en objetivo atractivo debido a que ejecuta hardware potente adecuado para minería de criptomonedas y puede contener datos valiosos.
Puntos clave
- Más de 3.400 servidores infectados desde abril de 2026, concentrados en EE.UU. y Europa Occidental
- Malware PoeLLM oculta dirección C2 en poema GitHub con palabras clave modificables
- Afecta a LiteLLM, Gotenberg, Gitea e Ivanti Sentry; despliega XMRig, Iron y conecta a Kryptex
- Servidores comprometidos se reutilizan como scanners para buscar y explotar sistemas adicionales
- Atribuido a actor de habla italiana con confianza moderada; experimenta con ataques de fuerza bruta SSH
Figuras de la fuente
