PoeLLM-Malware kapert KI-Server für Kryptomining und weitere Angriffe

Eine Kryptomining-Kampagne hat mehr als 3.400 Server kompromittiert, indem sie öffentlich erreichbare KI-Dienste und andere mit dem Internet verbundene Tools ausnutzte. Die PoeLLM-Malware verwendet infizierte Rechner, um Kryptowährungen zu schürfen, nach weiteren Zielen zu suchen und zusätzliche Angriffe durchzuführen.

Forscher von Lumens Black Lotus Labs verfolgen die Operation seit mindestens April. Auf dem Höhepunkt ihrer Aktivität waren an einem einzigen Tag bis zu 800 infizierte Systeme im Netzwerk aktiv.

Unterdessen nutzen die Betreiber eine ungewöhnliche Methode, um die Malware zu steuern: Ein Gedicht auf GitHub verbirgt die Informationen, die zum Auffinden der Command-and-Control-Server benötigt werden.

Öffentlich erreichbare KI-Dienste bieten wertvolle Rechenleistung

Die Kampagne richtet sich gegen Systeme in den USA und Westeuropa. Zu den Opfern gehören Server, auf denen LiteLLM, Ollama, der PDF-Konverter Gotenberg und die Entwicklungsplattform Gitea ausgeführt werden.

Die Forscher entdeckten außerdem Hinweise auf Versuche, Ivanti Sentry anzugreifen.

Laut Black Lotus Labs können KI-Installationen eine unzureichende Konfiguration mit direkter Erreichbarkeit über das Internet kombinieren. Darüber hinaus macht ihre leistungsstarke GPU-Infrastruktur sie zu attraktiven Zielen für das Schürfen von Kryptowährungen.

Nachdem die Angreifer einen Server kompromittiert haben, nutzen sie dessen Ressourcen nicht nur für das Mining. Der infizierte Rechner hilft auch dabei, weitere öffentlich erreichbare Dienste zu identifizieren und anzugreifen, wodurch sich die Reichweite der Operation vergrößert.

Ein Gedicht auf GitHub verbirgt die Adressen der Kontrollserver

Die PoeLLM-Malware wird als ausführbare Linux-ELF-Datei mit dem Namen libgcrypt verbreitet. Sie ruft eine Datei namens dash.css aus einem GitHub-Repository ab, bei dem es sich offenbar um einen Fork von Node.js handelt.

Allerdings enthält diese Datei ein Gedicht mit dem Titel „On the Nature of Connection“. Die Malware extrahiert vier Wörter oder Wortgruppen und wandelt sie mithilfe eines integrierten Wörterbuchs in Zahlen um.

Diese Zahlen bilden eine IPv4-Adresse, die auf einen Command-and-Control-Server verweist.

Dadurch kann der Betreiber infizierte Rechner umleiten, indem er das Gedicht bearbeitet. Die Forscher beobachteten 11 Änderungen und vermuten, dass möglicherweise noch eine weitere Aktualisierung existiert.

Im Zuge ihrer zunehmenden Aktivität hat die Operation mindestens 11 Command-and-Control-Server verwendet.

Infizierte Server suchen nach neuen Zielen

Die Malware kombiniert Remote-Shell-Zugriff mit HTTP- und HTTPS-Scans, der Bereitstellung von Exploits und Funktionen zum Schürfen von Kryptowährungen. Sie enthält die Mining-Programme XMRig und Iron.

Die Forscher beobachteten außerdem, dass infizierte Systeme mit Kryptex kommunizierten, einem russischen Dienst für Kryptowährungs-Mining. Diese Feststellung allein belegt jedoch nicht den Standort des Betreibers.

Um sich weiterzuverbreiten, scannen kompromittierte Server die Ports 3000 und 4000, die mit Gotenberg und LiteLLM verbunden sind. Außerdem versuchen sie, CVE-2026-42271 in den Testendpunkten des MCP-Servers von LiteLLM auszunutzen.

Ursprünglich beschrieben die Forscher diese Schwachstelle als eine Sicherheitslücke, deren Ausnutzung eine Authentifizierung erfordert, und stuften ihren Schweregrad als hoch ein. Spätere Untersuchungen zeigten jedoch, dass Angreifer sie mit CVE-2026-48710 kombinieren können, um ohne Authentifizierung aus der Ferne Code auszuführen.

Dieser Angriffsweg erhöht das Risiko für öffentlich erreichbare Installationen, denen die entsprechenden Sicherheitskorrekturen fehlen.

Infrastruktur deutet auf den Einsatz kompromittierter Router hin

Black Lotus Labs entdeckte auf mehreren Command-and-Control-Servern anfällige Verwaltungsoberflächen von Routern. Dies deutet darauf hin, dass die Angreifer möglicherweise kompromittierte Router für die Unterstützung ihrer Kampagne umfunktioniert haben.

Dennoch konnten die Forscher die Operation keinem bestimmten Akteur mit ausreichender Sicherheit zuordnen.

Sie schätzten mit mittlerer Sicherheit ein, dass der Betreiber möglicherweise Italiener ist. Ihre Einschätzung stützte sich auf Kommentare innerhalb der Malware sowie auf einen Server in Italien, auf dem die Verwaltungsoberfläche gehostet wurde.

Diese Hinweise bleiben jedoch eine Einschätzung und stellen keine bestätigte Zuordnung dar.

Administratoren sollen Sicherheitsupdates installieren und die Erreichbarkeit einschränken

Um das Infektionsrisiko zu verringern, sollten Administratoren aktuelle Sicherheitsupdates installieren und den öffentlichen Zugriff auf kritische Dienste begrenzen.

Wo externer Zugriff erforderlich ist, kann die Beschränkung von Verbindungen auf vertrauenswürdige IP-Adressen die Angriffsfläche reduzieren. Administratoren sollten außerdem Netzwerkprotokolle auf Verbindungen überprüfen, die mit den von Black Lotus Labs veröffentlichten Indikatoren übereinstimmen.

Diese Überprüfungen sind wichtig, da ein infizierter Server sowohl für das Schürfen von Kryptowährungen als auch für Angriffe auf weitere Systeme eingesetzt werden kann.