PoeLLM malware infecteert blootgestelde AI-servers en zet deze in voor cryptomining, met een unieke methode om command-and-control-adressen te verkrijgen.
Een cryptomining-campagne die zich richt op blootgestelde AI-diensten maakt gebruik van de PoeLLM-malware om geïnfecteerde servers om te vormen tot scanners en exploit-lanceerplatforms. Deze malware gebruikt een ongebruikelijke techniek om command-and-control (C2) adressen te achterhalen door sleutelwoorden te extraheren uit een gedicht dat op GitHub staat.
Onderzoekers van Lumen's Black Lotus Labs (BLL), die de botnet-malware volgen, melden dat meer dan 2.100 servers zijn geïnfecteerd, met een piekactiviteit van ongeveer 800 actieve systemen op één dag. PoeLLM is actief sinds minstens april 2026, maar de activiteit is sindsdien sterk toegenomen, met inmiddels elf C2-servers. De aanval richt zich op systemen in de Verenigde Staten en West-Europa.
Veel van de getroffen systemen draaien blootgestelde AI-tools zoals LiteLLM en Ollama, de Gotenberg PDF-converter en de Gitea ontwikkeltoolkit. Ook zijn aanwijzingen gevonden dat Ivanti Sentry wordt aangevallen. Volgens BLL zijn AI- en LLM-implementaties aantrekkelijke doelwitten omdat ze vaak slecht geconfigureerd zijn, online toegankelijk zijn en doorgaans draaien op krachtige GPU-clusters die geschikt zijn voor cryptomining.
De malware, een ELF-bestand genaamd libgcrypt, haalt vier woorden of zinnen uit een gedicht getiteld "On the Nature of Connection" in een 'dash.css'-bestand op GitHub, dat lijkt te zijn geforkt van Node.js. Deze woorden worden met een vaste woordenlijst omgezet in een IPv4-adres dat correspondeert met het C2-adres. De operator kan het C2-adres wijzigen door het gedicht aan te passen; dit is inmiddels elf keer gebeurd. De malware bevat functionaliteiten voor remote shell, XMRig en Iron cryptocurrency miners, HTTP/S-scanning en het inzetten van exploits.
BLL ontdekte dat geïnfecteerde systemen communiceren met de Russische cryptominingdienst Kryptex. Eenmaal geïnfecteerd, fungeren de servers als springplank om de malware verder te verspreiden door te scannen op poorten 3000 en 4000, die gekoppeld zijn aan Gotenberg en LiteLLM, en door te proberen de kwetsbaarheid CVE-2026-42271 te misbruiken. Deze kwetsbaarheid betreft LiteLLM’s MCP-server testendpoints en werd oorspronkelijk als hoog risico beoordeeld. Onderzoekers van Horizon.ai bevestigden dat deze kwetsbaarheid kan worden gecombineerd met CVE-2026-48710 voor ongeauthentiseerde remote code execution (meer details).
Analyse van de infrastructuur toont aan dat meerdere C2-servers kwetsbare routerbeheerinterfaces bevatten, wat suggereert dat de aanvaller gecompromitteerde routers hergebruikt. Hoewel er geen definitieve attributie is, vermoeden de onderzoekers met matige zekerheid dat de operator Italiaans is, op basis van commentaar in de malware en een in Italië gevestigde server die de beheerinterface host.
Om bescherming te bieden tegen PoeLLM-aanvallen wordt aanbevolen om de laatste beveiligingsupdates toe te passen, de blootstelling van kritieke assets aan het publieke internet te beperken en externe toegang alleen toe te staan voor vertrouwde IP-adressen. Daarnaast is het raadzaam om netwerkmonitoringlogs te controleren op verbindingen met de door Black Lotus Labs gedeelde indicatoren van compromittering.
