Финансово мотивирана кампания за криптокопаене, наречена Canto Incognito, е компрометирала над 3 400 сървъра, основно в САЩ и Западна Европа, като е експлоатирала уязвимости в открита инфраструктура за изкуствен интелект (AI) и големи езикови модели (LLM). Кампанията използва зловреден софтуер с кодово име PoeLLM, за да превърне компрометираните сървъри в скенери и стартови площадки за допълнителни инфекции. Lumen Black Lotus Labs идентифицира, че дейността е започнала през април 2026 г., с пик от почти 2 200 засегнати сървъра в средата на юни. Зловредният софтуер инсталира копачи на криптовалута, включително XMRig и Iron, и свързва жертвите с Kryptex, руска услуга за копаене на криптовалута.
Зловредният софтуер PoeLLM използва уникална техника за прикриване на своя адрес за командно управление (C2), като го крие в стихотворение, хоствано в GitHub. Според Райън Инглиш, инженер по информационната сигурност в Lumen Technologies, извършителите модифицират стихотворението, за да променят C2 адреса всеки път, когато се настрои нов сървър, извеждайки адреса от ключови думи в променения текст. Целените услуги включват корпоративни внедрявания на LiteLLM и Gotenberg, както и устройства на Gitea и Ivanti Sentry. Компрометираните сървъри се използват за сканиране на подобни уязвими системи, изпращайки HTTP POST заявки за изтегляне на зловредния софтуер.
Lumen Black Lotus Labs приписва кампанията на италиноговорящ извършител с умерена увереност, базирано на артефакти на италиански език и индикатори за мрежов трафик. Скорошна активност предполага експерименти с разпределени brute-force атаки, въпреки че зрялостта на тази възможност остава неопределена. Фокусът на кампанията върху AI инфраструктурата подчертава нарастващата привлекателност на тези услуги като цели, не само поради софтуерни уязвимости, но и заради тяхната значителна изчислителна мощ.
Какво все още не е известно
• Остава неясно до каква степен възможността за разпределени brute-force атаки е била успешно внедрена.
• Конкретните уязвимости, които се експлоатират в целевите услуги, не са описани подробно.
Прочетете оригиналното отразяване
💬 Коментари
📜 Правила за коментари