Lumen bünyesindeki Black Lotus Labs araştırmacıları, PoeLLM adlı kötü amaçlı yazılımın 3.400’den fazla sunucuya bulaşan bir kripto para madenciliği kampanyasında kullanıldığını ve tek bir günde yaklaşık 800 aktif bulaşmış sistemle zirveye ulaşıldığını açıkladı. Soruşturmaya göre kampanyanın faaliyetleri nisan ayında başladı, ancak daha sonra tırmanarak en az 11 kontrol ve komuta sunucusunun çalıştırılmasına yol açtı.
Operasyon, Amerika Birleşik Devletleri ve Batı Avrupa’daki sunucuları hedef aldı. Etkilenen sistemler arasında LiteLLM ve Ollama gibi internete açık yapay zekâ hizmetlerinin yanı sıra Gotenberg PDF dönüştürücüsü ve Gitea geliştirme aracı da bulunuyordu. Araştırmacılar ayrıca Ivanti Sentry’nin hedef alınmış olabileceğine dair daha fazla incelemeyi gerektiren göstergeler tespit etti.
Bir şiir kontrol sunucusunun adresine dönüşüyor
ELF dosyası olan ve libgcrypt adını taşıyan PoeLLM, kontrol sunucusunun adresini elde etmek için alışılmadık bir yöntem kullanıyor. Yazılım, GitHub’daki bir depoda barındırılan ve Node.js’in türetilmiş bir sürümü gibi görünen dash.css dosyasının içindeki “On the Nature of Connection” başlıklı şiirden dört kelime veya ifade okuyor, ardından gömülü bir sözlük aracılığıyla bu kelimeleri sayılara dönüştürerek bir IPv4 adresi oluşturuyor.
Bu yöntem, operatörün şiirin kendisini değiştirerek kontrol sunucusunun adresini değiştirmesine olanak tanıyor. Araştırmacılar şimdiye kadar 11 değişiklik tespit etti; ayrıca henüz belgelenmemiş başka bir güncellemenin bulunma ihtimali de var.
Bulaşan sunucular yayılma platformlarına dönüşüyor
Kötü amaçlı yazılım yalnızca madencilik araçlarını çalıştırmakla sınırlı değil. Uzaktan kabuk işlevi, XMRig ve Iron madencileri, HTTP ve HTTPS hizmetlerini tarama yetenekleri ve istismarları yayma işlevleri içeriyor. Black Lotus Labs, bazı kurbanların kripto para madenciliği yapmak için Rusya merkezli Kryptex hizmetine bağlandığını tespit etti.
Sunucu ele geçirildikten sonra kampanya, yeni kurbanları aramak üzere sunucuyu bir başlangıç noktası olarak kullanıyor. Bunun için Gotenberg ve LiteLLM hizmetleriyle ilişkili 3000 ve 4000 numaralı portlar taranıyor ve LiteLLM’in MCP test uç noktalarındaki CVE-2026-42271 güvenlik açığı istismar edilmeye çalışılıyor. Güvenlik açığı ilk olarak kimlik doğrulama gerektiren bir açık olarak ortaya çıkarılmış ve yüksek önem derecesi almıştı. Ancak Horizon.ai araştırmacıları, bu açığın CVE-2026-48710 ile zincirlenerek kimlik doğrulama olmadan uzaktan komut yürütülmesine olanak sağlayabileceğini doğruladı.
Bu haber neden önemli?
Kampanya, internete açık yapay zekâ sunucularının yalnızca işlem gücü nedeniyle madencilik için hedef olmadığını, aynı zamanda ağları taramak ve bulaşmayı genişletmek için araçlara dönüşebileceğini gösteriyor. Hizmet düzgün yapılandırılmadığında veya doğrudan internetten erişilebilir olduğunda riskin etkisi artıyor; bu durum özellikle güçlü GPU birimlerine dayanan ortamlar için geçerli.
Araştırmacılar ayrıca bazı kontrol sunucularında zayıf yönlendirici yönetim arayüzleri bulunduğunu tespit etti. Bu durum, ele geçirilmiş yönlendiricilerin saldırı altyapısı içinde yeniden kullanıldığını düşündürüyor. Kampanyayı belirli bir aktöre güvenilir biçimde atfedemediler, ancak kötü amaçlı yazılım içindeki yorumlara ve yönetim arayüzünü İtalya’da barındıran bir sunucuya dayanarak operatörün İtalyan olduğu yönünde orta düzeyde bir değerlendirme yaptılar.
Yöneticiler ne yapmalı?
Black Lotus Labs, en güncel güvenlik güncellemelerinin yüklenmesini, hassas varlıkların genel internete maruz bırakılmasının azaltılmasını ve dış erişimin güvenilir IP adresleriyle sınırlandırılmasını öneriyor. Ayrıca ağ izleme günlükleri incelenmeli ve araştırmacıların yayımladığı güvenlik ihlali göstergeleriyle ilişkili bağlantılar aranmalı.
BleepingComputer, araştırmacıların canlı raporlarını güncellemesinin ardından, bulaşan sunucu sayısını 2.100’den 3.400’e düzeltti.