El malware PoeLLM ataca servidores de IA expuestos para minar criptomonedas

Una campaña de minería de criptomonedas dirigida a servicios expuestos en internet utiliza el malware PoeLLM para comprometer servidores, buscar otros sistemas y lanzar ataques, según investigadores de Black Lotus Labs (BLL), de Lumen.

BLL afirma que la botnet ha comprometido más de 2.100 servidores, con hasta 800 sistemas infectados activos en un solo día. El malware está activo desde al menos abril y los investigadores han identificado al menos 11 servidores de comando y control (C2). La operación atacó sistemas de Estados Unidos y Europa occidental. Entre las víctimas había servicios como LiteLLM, Ollama, Gotenberg y Gitea; los investigadores también encontraron indicios de ataques dirigidos a Ivanti Sentry.

El malware, un archivo ELF llamado libgcrypt, obtiene cuatro palabras o frases de un poema incluido en un archivo dash.css alojado en GitHub. Las convierte en números mediante un diccionario integrado para generar una dirección IPv4 de C2. Cambiar el poema cambia la dirección. Los investigadores afirman que el operador lo ha modificado 11 veces y sospechan que pudo haber otra actualización.

PoeLLM incluye funciones de shell remoto, mineros de criptomonedas XMRig e Iron, escaneo web y despliegue de exploits. Según BLL, los servidores infectados escanean los puertos 3000 y 4000 e intentan explotar CVE-2026-42271, que afecta a los puntos de prueba del servidor MCP de LiteLLM. Investigadores de Horizon.ai descubrieron que podía encadenarse con CVE-2026-48710 para lograr la ejecución remota de código sin autenticación. BLL no pudo atribuir la operación con certeza, pero considera con confianza moderada que el operador es italiano.