En kampagne med kryptomining har kompromitteret over 3.400 servere ved at udnytte eksponerede AI-tjenester og andre internettilgængelige værktøjer. PoeLLM-malware bruger inficerede maskiner til at udvinde kryptovaluta, scanne efter yderligere mål og gennemføre flere angreb.
Forskere hos Lumens Black Lotus Labs har fulgt operationen siden mindst april. På sit mest aktive havde netværket op til 800 inficerede systemer aktive på en enkelt dag.
Samtidig bruger operatørerne en usædvanlig metode til at styre malwaren: Et digt på GitHub skjuler de oplysninger, der er nødvendige for at finde kommando- og kontrolservere.
Eksponerede AI-tjenester tilbyder værdifuld computerkraft
Kampagnen har været rettet mod systemer i USA og Vesteuropa. Blandt ofrene er servere, der kører LiteLLM, Ollama, PDF-konverteringsværktøjet Gotenberg og udviklingsplatformen Gitea.
Forskerne fandt også tegn på forsøg på at angribe Ivanti Sentry.
Ifølge Black Lotus Labs kan AI-installationer kombinere svag konfiguration med direkte eksponering mod internettet. Derudover gør deres kraftfulde GPU-infrastruktur dem til attraktive mål for kryptomining.
Efter at have kompromitteret en server bruger angriberne dens ressourcer til mere end blot mining. Den inficerede maskine hjælper også med at identificere og angribe andre eksponerede tjenester, hvilket udvider operationens rækkevidde.
Et digt på GitHub skjuler kontrolservernes adresser
PoeLLM-malware leveres som en eksekverbar Linux ELF-fil med navnet libgcrypt. Den henter en fil kaldet dash.css fra et GitHub-repositorium, der ser ud til at være en forgrening af Node.js.
Filen indeholder dog et digt med titlen “On the Nature of Connection”. Malwaren udtrækker fire ord eller udtryk og omdanner dem til tal ved hjælp af en indbygget ordbog.
Disse tal danner en IPv4-adresse, der peger på en kommando- og kontrolserver.
Dermed kan operatøren omdirigere inficerede maskiner ved at redigere digtet. Forskerne observerede 11 ændringer og mistænker, at der muligvis også findes endnu en opdatering.
Operationen har brugt mindst 11 kommando- og kontrolservere, efterhånden som aktiviteten er vokset.
Inficerede servere scanner efter nye mål
Malwaren kombinerer fjernadgang via kommandoskal med HTTP- og HTTPS-scanning, udrulning af udnyttelseskode og funktioner til kryptomining. Den indeholder miningprogrammerne XMRig og Iron.
Forskerne observerede også, at inficerede systemer kommunikerede med Kryptex, en russisk tjeneste til kryptomining. Dette fund fastslår dog ikke, hvor operatøren befinder sig.
For at sprede sig yderligere scanner kompromitterede servere portene 3000 og 4000, som er forbundet med Gotenberg og LiteLLM. De forsøger også at udnytte CVE-2026-42271 i LiteLLM’s testendepunkter til MCP-servere.
Oprindeligt beskrev forskerne sårbarheden som en fejl, der krævede autentificering, og tildelte den en høj alvorlighedsgrad. Senere forskning viste dog, at angribere kunne kombinere den med CVE-2026-48710 for at udføre kode eksternt uden autentificering.
Denne angrebsvej øger risikoen for eksponerede installationer, der mangler de relevante sikkerhedsrettelser.
Infrastrukturen tyder på brug af kompromitterede routere
Black Lotus Labs fandt sårbare administrationsgrænseflader til routere på flere kommando- og kontrolservere. Dette tyder på, at angriberne muligvis har genbrugt kompromitterede routere til at understøtte kampagnen.
Forskerne kunne dog ikke med sikkerhed knytte operationen til en bestemt aktør.
De vurderede med moderat sikkerhed, at operatøren muligvis er italiener. Deres vurdering byggede på kommentarer i malwaren og en server i Italien, der hostede dens administrationsgrænseflade.
Disse spor udgør fortsat en vurdering snarere end en bekræftet identifikation.
Administratorer opfordres til at opdatere og begrænse eksponeringen
For at reducere risikoen for infektion bør administratorer installere de nyeste sikkerhedsopdateringer og begrænse offentlig adgang til kritiske tjenester.
Hvor ekstern adgang er nødvendig, kan begrænsning af forbindelser til betroede IP-adresser reducere eksponeringen. Administratorer bør også gennemgå netværkslogfiler for forbindelser, der matcher de indikatorer, som Black Lotus Labs har offentliggjort.
Disse kontroller er vigtige, fordi en inficeret server kan understøtte både kryptomining og angreb mod yderligere systemer.
0 svar til “PoeLLM-malware kaprer AI-servere til kryptomining og yderligere angreb”