Malware PoeLLM odczytuje adres serwera C&C z wiersza na GitHubie

Black Lotus Labs opisało malware PoeLLM, aktywne co najmniej od kwietnia 2026 roku. Atakuje wystawione do sieci usługi AI i open source, kopie kryptowaluty i rozbudowuje botnet. Zainfekowane maszyny wyciągają cztery słowa kluczowe z wiersza na GitHubie i zamieniają je na adres IP bieżącego serwera C&C. Operator, oceniany jako włoskojęzyczny, zmieniał wiersz 11 razy. Materiał nie podaje poprawki.

W tym samym przeglądzie SecurityWeek opisuje kampanię GhostAction. Według GitGuardian między 31 sierpnia a 30 września workflow GitHub Actions kradnący sekrety trafił do 772 publicznych repozytoriów, które należą do 373 użytkowników i organizacji. Celem było 2577 sekretów, w tym klucze SSH oraz dane dostępowe do Azure, AWS i baz danych.

Kogo dotyczy

PoeLLM atakuje głównie wystawione do sieci usługi LiteLLM, Ollama, Gotenberg i Gitea. GhostAction dotyczy publicznych repozytoriów na GitHubie, do których trafił złośliwy workflow, i sekretów w nich zapisanych.