Lumen’ın Black Lotus Labs (BLL) araştırmacılarına göre, internete açık hizmetleri hedef alan bir kripto madenciliği kampanyası, sunucuları ele geçirmek, başka sistemleri taramak ve istismar saldırıları başlatmak için PoeLLM zararlı yazılımını kullanıyor.
BLL, botnetin 2.100’den fazla sunucuyu ele geçirdiğini ve tek bir günde en fazla 800 bulaşmış sistemin etkin olduğunu bildiriyor. Zararlı yazılım en az nisan ayından beri etkin; araştırmacılar en az 11 komuta ve kontrol (C2) sunucusu belirledi. Operasyon, Amerika Birleşik Devletleri ve Batı Avrupa’daki sistemleri hedef aldı. Kurbanlar arasında LiteLLM, Ollama, Gotenberg ve Gitea gibi hizmetler de vardı; araştırmacılar Ivanti Sentry’nin hedef alındığına dair işaretler de buldu.
libgcrypt adlı bir ELF dosyası olan zararlı yazılım, GitHub’da barındırılan bir dash.css dosyasındaki şiirden dört kelime veya ifade alıyor. Yerleşik bir sözlükle bunları sayılara dönüştürerek bir C2 IPv4 adresi oluşturuyor. Şiirin değiştirilmesi adresi değiştiriyor. Araştırmacılar, operatörün şiiri 11 kez değiştirdiğini söylüyor ve başka bir güncelleme yapılmış olabileceğinden şüpheleniyor.
PoeLLM; uzaktan kabuk işlevleri, XMRig ve Iron kripto para madencileri, web taraması ve istismar dağıtımı özellikleri içeriyor. BLL’ye göre bulaşmış sunucular 3000 ve 4000 numaralı bağlantı noktalarını tarıyor ve LiteLLM’in MCP sunucusu test uç noktalarını etkileyen CVE-2026-42271’i istismar etmeye çalışıyor. Horizon.ai araştırmacıları, bu açığın CVE-2026-48710 ile zincirlenerek kimlik doğrulaması gerektirmeyen uzaktan kod yürütmeye imkân verebildiğini buldu. BLL operatörü kesin olarak belirleyemedi ancak orta güven düzeyiyle operatörün İtalyan olduğunu değerlendiriyor.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.