In questo articolo4
Ascolta
Voce del browser e privacy
Parte solo quando premi Ascolta. Alcune voci possono usare un servizio online. La nuova velocità può applicarsi dal passaggio successivo. Il testo non viene tradotto.
La campagna PoeLLM
Una campagna di cryptomining sta colpendo server AI esposti online, compromettendo oltre 2.100 sistemi secondo i ricercatori di Black Lotus Labs (BLL), il team di Lumen. Il malware, chiamato PoeLLM, trasforma i server violati in scanner e piattaforme per lanciare ulteriori attacchi, con picchi di attività che hanno raggiunto 800 sistemi infetti attivi in un solo giorno.
La campagna è attiva da almeno aprile, ma l'attività è aumentata significativamente da allora, con almeno 11 server di comando e controllo (C2) creati fino ad oggi. I bersagli principali si trovano negli Stati Uniti e in Europa occidentale.
Come funziona il malware
PoeLLM, un file ELF chiamato libgcrypt, usa un metodo insolito per recuperare gli indirizzi dei server di comando: estrae quattro parole o frasi da una poesia intitolata "On the Nature of Connection" ospitata in un file 'dash.css' su un repository GitHub che sembra un fork di Node.js. Queste parole vengono poi convertite in numeri tramite un dizionario hard-coded, generando un indirizzo IPv4 corrispondente al C2.
Per cambiare l'indirizzo del server di comando, l'operatore modifica la poesia. Finora è stata modificata 11 volte, ma i ricercatori sospettano che possa esserci un altro aggiornamento. Il malware include funzionalità di shell remota, i miner di criptovaluta XMRig e Iron, scanner HTTP/S e capacità di distribuzione di exploit.
I bersagli e le vulnerabilità sfruttate
Molte vittime eseguono strumenti AI esposti come LiteLLM e Ollama, il convertitore PDF Gotenberg e il toolkit di sviluppo Gitea, con segni di targeting anche su Ivanti Sentry. BLL nota che le implementazioni AI/LLM sono bersagli attraenti perché spesso mal configurate, esposte online e tipicamente eseguite su potenti cluster GPU adatti al cryptomining.
Una volta compromesso, il server diventa una piattaforma per diffondere ulteriormente il malware, usando la scansione sulle porte 3000 e 4000, associate a Gotenberg e LiteLLM, e tentando di sfruttare CVE-2026-42271. Questa vulnerabilità impatta gli endpoint di test del server MCP di LiteLLM: originariamente segnalata come richiedente autenticazione e con punteggio di gravità alto, i ricercatori di Horizon.ai hanno confermato che può essere concatenata con un'altra issue, CVE-2026-48710, per esecuzione remota di codice non autenticata.
Infrastruttura e attribuzione
Analizzando l'infrastruttura, BLL ha scoperto che diversi server C2 presentavano interfacce di amministrazione di router vulnerabili, suggerendo che l'attaccante ha riutilizzato router compromessi negli attacchi. I ricercatori non possono fare un'attribuzione sicura, ma valutano con moderata confidenza che l'operatore sia italiano, basandosi su commenti nel malware e su un server in Italia che ospita l'interfaccia amministrativa.
Le vittime comunicano con un servizio di mining di criptovaluta russo chiamato Kryptex. Per proteggersi, gli amministratori di sistema dovrebbero applicare gli ultimi aggiornamenti di sicurezza, ridurre l'esposizione pubblica delle risorse critiche e limitare l'accesso esterno solo a IP fidati. È consigliato ispezionare i log di monitoraggio di rete e cercare connessioni agli indicatori di compromissione (IoC) condivisi da Black Lotus Labs.
