Uma nova campanha de malware, conhecida como PoeLLM, tem como alvo servidores expostos de inteligência artificial (IA) e modelos de linguagem grande (LLM), comprometendo mais de 3.400 sistemas para expandir uma botnet dedicada à mineração de criptomoedas. A atividade do malware foi identificada pela primeira vez em abril de 2026, mas sua intensidade aumentou significativamente desde então, com picos de até 800 servidores ativos em um único dia, conforme relatado por BleepingComputer e The Hacker News.
A técnica inovadora utilizada pelo PoeLLM envolve a ocultação de endereços de comando e controle (C2) em um poema hospedado no GitHub. O malware extrai palavras de uma obra chamada “On the Nature of Connection” e as mapeia para endereços IP, permitindo que os operadores mudem o C2 simplesmente alterando o poema. Até o momento, foram feitas 11 modificações no texto, o que indica uma abordagem criativa para evitar detecções, segundo a pesquisa da Lumen Black Lotus Labs.
Os sistemas afetados incluem ferramentas populares como LiteLLM, Gotenberg e Gitea, que frequentemente são mal configuradas e expostas na internet, tornando-as alvos atraentes para atacantes. O malware não apenas instala mineradores de criptomoedas, como XMRig e Iron, mas também transforma os servidores comprometidos em scanners, permitindo que novos alvos sejam identificados e atacados. A operação é descrita como Canto Incognito e se concentra principalmente em implantações empresariais.
A campanha de PoeLLM tem demonstrado um foco particular em explorar vulnerabilidades conhecidas, como a CVE-2026-42271, que afeta o LiteLLM. Essa vulnerabilidade permite a execução remota de código não autenticado, aumentando o potencial de exploração por parte dos atacantes. Além disso, a pesquisa sugere que os atacantes estão utilizando sistemas comprometidos para realizar ataques de força bruta distribuídos, embora a maturidade dessa capacidade ainda não esteja clara.
Os pesquisadores da Black Lotus Labs identificaram que a maioria dos servidores comprometidos está localizada nos Estados Unidos e na Europa Ocidental. A atribuição da atividade sugere que os operadores são falantes de italiano, com base em artefatos linguísticos encontrados no malware e na infraestrutura de rede analisada.
Para mitigar os riscos associados ao PoeLLM, os administradores de sistemas são aconselhados a aplicar as últimas atualizações de segurança, reduzir a exposição pública de ativos críticos e restringir o acesso externo a IPs confiáveis. Monitorar logs de rede e buscar indicadores de comprometimento (IoCs) também é recomendado para detectar possíveis infecções.
O cenário atual levanta preocupações sobre a segurança de infraestruturas de IA, que estão se tornando alvos cada vez mais atraentes para campanhas de malware devido à sua configuração frequentemente inadequada e ao poder computacional que oferecem. O próximo passo para os pesquisadores e administradores será monitorar a evolução das táticas dos atacantes e implementar medidas de defesa mais robustas.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews