En kampanj för kryptobrytning riktar sig mot tjänster som är exponerade på internet och använder PoeLLM-skadlig kod för att ta över servrar, söka efter andra system och starta attacker, enligt forskare vid Lumen’s Black Lotus Labs (BLL).
BLL uppger att botnätet har tagit över fler än 2 100 servrar, med upp till 800 infekterade system aktiva under en och samma dag. Skadlig kod har varit aktiv sedan åtminstone april, och forskarna har identifierat minst 11 kommando- och kontrollservrar (C2). Kampanjen riktade sig mot system i USA och Västeuropa. Bland offren fanns tjänster som LiteLLM, Ollama, Gotenberg och Gitea; forskarna fann också tecken på att Ivanti Sentry hade varit ett mål.
Den skadliga koden är en ELF-fil med namnet libgcrypt. Den hämtar fyra ord eller fraser från en dikt i en dash.css-fil på GitHub. Med hjälp av en inbyggd ordlista omvandlar den orden till tal och skapar en C2-adress i IPv4-format. Om dikten ändras ändras adressen. Forskarna säger att operatören har ändrat dikten 11 gånger och misstänker att det kan ha skett ytterligare en uppdatering.
PoeLLM har funktioner för fjärrskal, kryptovalutautvinning med XMRig och Iron, webbsökning och distribution av sårbarhetsutnyttjanden. Enligt BLL söker infekterade servrar igenom portarna 3000 och 4000 och försöker utnyttja CVE-2026-42271, som påverkar LiteLLM:s teständpunkter för MCP-servern. Forskare vid Horizon.ai fann att sårbarheten kan kombineras med CVE-2026-48710 för att möjliggöra fjärrkörning av kod utan autentisering. BLL kunde inte med säkerhet fastställa vem som låg bakom, men bedömer med måttlig säkerhet att operatören är italienare.
Kommentarer
0Inga kommentarer ännu. Skriv den första.