Forscher von Black Lotus Labs, einer Abteilung von Lumen, erklärten, dass eine Malware namens PoeLLM in einer Kampagne zum Mining von Kryptowährungen eingesetzt wurde, die mehr als 3.400 Server infizierte. Dabei wurde an einem einzigen Tag ein Höchststand von etwa 800 aktiv infizierten Systemen verzeichnet. Die Kampagne begann der Untersuchung zufolge im April, nahm später jedoch an Umfang zu, wobei mindestens 11 Command-and-Control-Server betrieben wurden.
Der Angriff zielte auf Server in den Vereinigten Staaten und Westeuropa. Zu den betroffenen Systemen gehörten im Internet exponierte KI-Dienste wie LiteLLM und Ollama sowie der PDF-Konverter Gotenberg und das Entwicklungstool Gitea. Außerdem fanden die Forscher Hinweise, die eine Untersuchung im Hinblick auf eine mögliche Ausrichtung auf Ivanti Sentry rechtfertigen.
Ein Gedicht wird zur Adresse eines Command-and-Control-Servers
PoeLLM, eine ELF-Datei mit dem Namen libgcrypt, verwendet eine ungewöhnliche Methode, um die Adresse eines Command-and-Control-Servers abzurufen. Die Malware liest vier Wörter oder Ausdrücke aus einem Gedicht mit dem Titel „On the Nature of Connection“, das sich in der Datei dash.css befindet und in einem offenbar von Node.js abgeleiteten GitHub-Repository gehostet wird. Anschließend wandelt sie diese Wörter mithilfe eines eingebetteten Wörterbuchs in Zahlen um, um eine IPv4-Adresse zu erzeugen.
Mit dieser Methode kann der Betreiber die Adresse des Command-and-Control-Servers ändern, indem er das Gedicht selbst bearbeitet. Die Forscher haben bislang 11 Änderungen beobachtet; möglicherweise gibt es ein weiteres Update, das noch nicht dokumentiert wurde.
Infizierte Server werden zu Plattformen für die Verbreitung
Die Malware beschränkt sich nicht auf den Betrieb von Mining-Tools. Sie enthält eine Remote-Shell-Funktion sowie die Miner XMRig und Iron und kann HTTP- und HTTPS-Dienste scannen und Exploits verbreiten. Black Lotus Labs stellte fest, dass sich einige Opfer mit dem russischen Dienst Kryptex zum Mining von Kryptowährungen verbinden.
Nach der Kompromittierung eines Servers nutzt die Kampagne ihn als Ausgangspunkt, um durch das Scannen der Ports 3000 und 4000 nach neuen Opfern zu suchen. Diese Ports sind mit den Diensten Gotenberg und LiteLLM verbunden. Außerdem versucht die Kampagne, die Schwachstelle CVE-2026-42271 in den MCP-Testendpunkten von LiteLLM auszunutzen. Die Schwachstelle war zunächst als authentifizierungspflichtig eingestuft worden und erhielt eine hohe Risikobewertung. Forscher von Horizon.ai bestätigten jedoch, dass sie mit der Schwachstelle CVE-2026-48710 verkettet werden kann, um ohne Authentifizierung eine Remote-Befehlsausführung zu erreichen.
Warum ist diese Nachricht wichtig?
Die Kampagne zeigt, dass exponierte KI-Server nicht nur wegen ihrer Rechenleistung Ziele für Mining sind, sondern auch als Werkzeuge zum Scannen von Netzwerken und zur Ausweitung der Infektion dienen können. Die Gefahr nimmt zu, wenn der Dienst nicht ordnungsgemäß abgesichert oder direkt aus dem Internet erreichbar ist, insbesondere in Umgebungen, die auf leistungsstarke GPU-Einheiten angewiesen sind.
Die Forscher stellten außerdem fest, dass einige Command-and-Control-Server schwache Verwaltungsoberflächen für Router enthielten. Dies lässt vermuten, dass kompromittierte Router innerhalb der Angriffsinfrastruktur wiederverwendet wurden. Sie konnten die Kampagne keiner bestimmten Gruppe mit ausreichender Sicherheit zuordnen, schätzten jedoch mit mittlerer Wahrscheinlichkeit, dass der Betreiber Italiener ist. Grundlage dafür waren Kommentare innerhalb der Malware sowie ein Server, der die Verwaltungsoberfläche in Italien hostet.
Was sollten Verantwortliche tun?
Black Lotus Labs empfiehlt, die neuesten Sicherheitsupdates zu installieren, die Exponierung sensibler Ressourcen gegenüber dem öffentlichen Internet zu reduzieren und den externen Zugriff auf vertrauenswürdige IP-Adressen zu beschränken. Außerdem sollten die Netzwerküberwachungsprotokolle überprüft und nach Verbindungen gesucht werden, die mit den von den Forschern veröffentlichten Kompromittierungsindikatoren zusammenhängen.
BleepingComputer korrigierte in einem späteren Update die Zahl der infizierten Server von 2.100 auf 3.400, nachdem die Forscher ihren Live-Bericht aktualisiert hatten.