Кампания PoeLLM скомпрометировала более 3400 серверов
Финансово мотивированная кампания PoeLLM активна как минимум с апреля 2026 года. Она нацелена на общедоступные сервисы искусственного интеллекта и большие языковые модели, а также другие приложения с открытым исходным кодом. Основными жертвами стали уязвимые развертывания LiteLLM и Ollama; также зафиксированы компрометации Gotenberg, Gitea и, возможно, Ivanti Sentry. Большинство инцидентов пришлось на США и Западную Европу. В ходе кампании скомпрометировали более 3400 серверов, а пиковая активность превышала 800 заражённых систем в день.
Динамическое управление и инфраструктура
PoeLLM использует необычный механизм управления. ВПО извлекает стихотворение из файла dash.css в репозитории GitHub, которым управляет аккаунт ejejejdfbbebe. Затем оно выбирает из текста четыре слова или фразы и преобразует их в числовые значения с помощью встроенного словаря. Полученные значения объединяются в адрес IPv4, который указывает на текущий сервер C2. Оператор обновлял стихотворение не менее 11 раз, поэтому заражённые системы могут определять новые адреса C2 без обновления ВПО.
В кампании неоднократно использовали скомпрометированные маршрутизаторы и периферийные устройства для размещения ВПО и работы инфраструктуры C2. Выявленные серверы C2 обычно содержали уязвимые веб-серверы Boa и интерфейсы администрирования маршрутизаторов. ВПО загружали через порт 81, а заражённые хосты связывались с сервисами C2 через порты 3778, 5001, 5002 или 9999.
В коде ВПО и связанной с ней инфраструктуре обнаружили комментарии на итальянском языке. На этом основании исследователи со средней степенью уверенности предположили, что оператор владеет итальянским языком.
Распространение и возможности ВПО
PoeLLM распространяется, сканируя интернет в поисках уязвимых сервисов, в частности Gotenberg на порту 3000 и LiteLLM на порту 4000. Для эксплуатации LiteLLM использовалась конечная точка /mcp-rest/test/connection, связанная с уязвимостью внедрения команд CVE-2026-42271. ВПО может отправлять специально сформированные POST-запросы, которые заставляют уязвимые системы загружать полезную нагрузку с сервера C2.
Ранее скомпрометированные серверы повторно используют как сканеры и рабочие узлы для эксплуатации, что приводит к расширению ботнета. Площадка поддерживает удалённую оболочку, сканирование по HTTP/S и развёртывание эксплойтов; в её состав также входят майнеры криптовалют, включая XMRig и Iron. Заражённые системы подключаются к инфраструктуре майнинга Kryptex. Их также использовали для сканирования SSH и других порталов входа, что указывает на разработку распределённой возможности подбора паролей.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
