Malware-i PoeLLM infektoi mbi 3,400 servera AI
Studiuesit e sigurisë nga Lumen Black Lotus Labs po tërheqin vëmendjen te një familje e re malware-i të quajtur PoeLLM, e cila sipas tyre ka infektuar tashmë më shumë se 3,400 servera të ekspozuar në internet, kryesisht në Shtetet e Bashkuara dhe Evropën Perëndimore. Malware-i synon sistemet e ekspozuara të inteligjencës artificiale (AI) dhe modelet e mëdha gjuhësore (LLM), të cilat janë programe AI të trajnuara mbi sasi të mëdha teksti, më pas instalon minatorë kriptovalutash, programe që përdorin fuqinë përpunuese të një kompjuteri për të fituar monedhë dixhitale, si XMRig dhe Iron, dhe lidh makinat e infektuara me Kryptex, një shërbim rus i minimit të kriptovalutave. Lumen e përshkruan këtë fushatë të motivuar financiarisht si Canto Incognito, dhe qëllimi i saj është t'i kthejë serverat e komprometuar në një botnet, një rrjet kompjuterësh të rrëmbyer që kontrollohen nga distanca nga sulmuesi.
Malware-i e fsheh adresën e tij të komandës dhe kontrollit (C2), serverin që u dërgon urdhra makinave të infektuara, brenda një poezie që sulmuesit shkruan dhe e vendosën në një depo GitHub në github.com/ejejejdfbbebe. Ryan English, inxhinier i sigurisë së informacionit në Lumen Technologies, shpjegoi se çdo herë që grupi ngre një C2 të ri, ai ndryshon disa fjalë në poemë. Malware-i më pas nxjerr adresën e re nga një çelës i lidhur me ato fjalë të ndryshuara. Commit-i i parë i kodit në atë depo u bë më 13 prill 2026.
Lumen raporton se fushata kryesisht veçon vendosjet e ndërmarrjeve të ekspozuara në internet si LiteLLM dhe Gotenberg, si dhe pajisjet Gitea dhe Ivanti Sentry. Synimi i këtyre instancave LLM është i qëllimshëm: sulmuesit duan të shfrytëzojnë fuqinë e tyre llogaritëse për minim të paligjshëm të kriptovalutave. Provat tregojnë për aktivitet që nga prilli 2026, me më shumë se 3,400 servera viktima të identifikuar deri tani. Në kulmin e operacioneve në mes të qershorit, fushata përfshinte pothuajse 2,200 servera të prekur, dhe gati 800 ishin aktivë çdo ditë.
Serverat e infektuar ripërdoren gjithashtu për të zgjeruar botnet-in. Sipas Lumen, hostet e komprometuar kthehen në skanerë që kërkojnë në internet për sisteme të ngjashme të ekspozuara, si dhe servera shfrytëzimi që përdoren për t'i sulmuar ato. Malware-i dërgon një kërkesë HTTP POST, një mënyrë standarde për një program për të dërguar të dhëna te një server, në portet e ekspozuara të objektivave të identifikuar, duke i udhëzuar ato makina të shkarkojnë malware-in nga C2. Lumen ia atribuon aktivitetin një aktori kërcënimi italishtfolës me besim të moderuar, bazuar në artefakte në gjuhën italiane dhe tregues netflow, të cilët janë regjistrime të modeleve të trafikut të rrjetit. Qëllimi përfundimtar është të armatosë dobësitë e njohura në shërbimet e ekspozuara publikisht, të regjistrojë ato makina në një botnet të minimit të kriptovalutave dhe të konvertojë një nëngrup të tyre në skanerë për të rritur më tej grupin e viktimave.
Lumen gjithashtu vëren se trafiku më i fundit drejt SSH, një protokoll i zakonshëm për hyrje të sigurt në distancë, dhe portale të tjera hyrjeje sugjeron eksperimentim me sulme brute-force të shpërndara, ku sulmuesit provojnë shumë fjalëkalime kundër shumë makinave. Pjekuria e kësaj aftësie mbetet e pasigurt. Kompania paralajmëron se infrastruktura e AI po bëhet një objektiv tërheqës, sepse shërbimet e ekspozuara AI dhe LLM janë të vlefshme jo vetëm për dobësitë e tyre softuerike, por edhe sepse mund të përmbajnë të dhëna të dobishme dhe të funksionojnë në pajisje të fuqishme që janë të përshtatshme për minim. Për pronarët e faqeve të internetit dhe ofruesit e pritjes, raporti është një kujtesë se çdo shërbim i ekspozuar publikisht mund të bëhet objektiv nëse nuk korrigjohet dhe qasja nuk kufizohet. Për ekipet që operojnë shërbime të ekspozuara në internet si ato të synuara në këtë fushatë, AEU-I, një shërbim konsulence IT dhe infrastrukture i orientuar nga siguria, mund të ndihmojë në rishikimin e sistemeve të ekspozuara dhe zvogëlimin e sipërfaqes së tyre të sulmit para se sulmuesit t'i gjejnë.