Майнер PoeLLM заразил более 3400 серверов

Исследовательская команда Black Lotus Labs компании Lumen зафиксировала кампанию Canto Incognito, в ходе которой вредоносное ПО PoeLLM заразило более 3 400 серверов. Кампания отслеживается с апреля 2026 года, а основная цель — криптомайнинг на чужих мощностях. По данным Lumen, большинство пострадавших серверов запускали уязвимые версии открытых AI/LLM-сервисов, в частности LiteLLM и Ollama.

Механизм управления заражёнными хостами оказался необычным: адреса командных серверов (C2) кодировались через четыре слова в двухстрофном стихотворении «On the Nature of Connection», опубликованном на GitHub. Стихотворение менялось 11 раз, и каждая новая версия указывала на очередной C2-сервер. Вредоносное ПО извлекало нужные слова и преобразовывало их в IPv4-адрес; по словам исследователей, схема расшифровки при этом не менялась.

Полезная нагрузка PoeLLM включает майнеры XMRig и Iron, подключённые к инфраструктуре Kryptex. Заражённые серверы сами становились сканерами и эксплойт-серверами, распространяя атаку дальше. Lumen отмечает, что «основной общей чертой первых 900 жертв» был контакт с конечной точкой российского криптомайнингового сервиса, что указывает на финансовую мотивацию.

Среди основных целей названы LiteLLM — прокси-сервер (AI Gateway) для вызова API разных LLM через одну точку, и Gotenberg — Docker-API для конвертации PDF, который производитель не рекомендует выставлять в интернет. Также атаковали Ollama для запуска открытых моделей на своём оборудовании и Gitea — платформу для самостоятельного хостинга Git. Кроме того, возможно, была затронута Ivanti Sentry; именно один из её экземпляров помог Lumen обнаружить кампанию.

Заражение происходило через эксплуатацию уязвимостей публично доступных сервисов, массовое сканирование началось в мае. Для LiteLLM вероятным путём эксплуатации был специально сформированный POST-запрос к конечной точке подключения, использовавший уязвимость CVE-2026-42271: два эндпоинта выполняли переданную команду на хосте без проверки роли. В июне CISA добавила эту уязвимость в список эксплуатируемых. Методы атак на Ollama, Gotenberg и Gitea в Lumen не раскрыли.

На момент публикации отчёта три из 12 C2-серверов оставались активными, и кампания продолжала заражать новые жертвы. Lumen заблокировала весь трафик к серверам PoeLLM и обещает следить за новыми подключениями. Исследователи предупреждают: поверхность атаки предприятий быстро растёт вместе с развитием AI-инфраструктуры, поэтому подобные инциденты, вероятно, будут повторяться.

Для защиты рекомендуется проверить журналы подключений на индикаторы компрометации, опубликованные на GitHub-странице Lumen, закрыть лишние порты и обновить уязвимые продукты. Для LiteLLM безопасной считается версия 1.83.7 или новее, для Ivanti Sentry — R10.5.2, R10.6.2 или R10.7.1. Стихотворный приём, подчёркивают исследователи, служил лишь обфускацией адресов C2 и не является джейлбрейком или prompt-инъекцией.