PoeLLM przejął ponad 3400 serwerów z LiteLLM i Ollama do kopania kryptowalut

Złośliwe oprogramowanie PoeLLM przejęło ponad 3400 serwerów z wystawionymi do internetu narzędziami AI i kopie na nich kryptowaluty. Tak wynika z raportu Black Lotus Labs z firmy Lumen. Kampania działa co najmniej od kwietnia, a jednego dnia aktywnych było nawet 800 zainfekowanych maszyn. Adres serwera sterującego program odczytuje z wiersza „On the Nature of Connection” w pliku dash.css na GitHubie. Wybiera z niego cztery słowa, zamienia je na liczby i składa z nich adres IP. Operator zmieniał wiersz już 11 razy.

Kogo dotyczy

Ofiary to głównie serwery w Stanach Zjednoczonych i Europie Zachodniej, na których działają wystawione do internetu LiteLLM, Ollama, konwerter PDF Gotenberg albo Gitea. Badacze znaleźli też ślady ataków na Ivanti Sentry. Na przejętych maszynach PoeLLM uruchamia zdalną powłokę, koparki XMRig i Iron oraz skaner HTTP/S, a z ich pomocy przeprowadza kolejne ataki. Zainfekowane serwery łączą się z rosyjską usługą Kryptex.