Eine finanziell motivierte Kryptomining-Kampagne namens Canto Incognito hat über 3.400 Server, primär in den USA und Westeuropa, kompromittiert, indem sie Schwachstellen in exponierten KI- und Large Language Model (LLM)-Infrastrukturen ausnutzte. Die Kampagne verwendet eine Malware mit dem Codenamen PoeLLM, um kompromittierte Server in Scanner und Startrampen für weitere Infektionen zu verwandeln. Lumen Black Lotus Labs stellte fest, dass die Aktivitäten im April 2026 begannen, mit einem Höhepunkt von fast 2.200 betroffenen Servern Mitte Juni. Die Malware installiert Kryptowährungs-Miner, darunter XMRig und Iron, und verbindet die Opfer mit Kryptex, einem russischen Kryptomining-Dienst.
Die PoeLLM-Malware verwendet eine einzigartige Technik, um ihre Command-and-Control (C2)-Adresse zu verbergen, indem sie diese in einem auf GitHub gehosteten Gedicht versteckt. Laut Ryan English, Informationssicherheitsingenieur bei Lumen Technologies, ändern die Bedrohungsakteure das Gedicht, um die C2-Adresse jedes Mal zu ändern, wenn ein neuer Server eingerichtet wird, wobei die Adresse aus Schlüsselwörtern innerhalb des geänderten Textes abgeleitet wird. Zu den Zieldiensten gehören Enterprise-Deployments von LiteLLM und Gotenberg sowie Gitea- und Ivanti Sentry-Appliances. Kompromittierte Server werden umfunktioniert, um nach ähnlichen verwundbaren Systemen zu suchen, indem sie HTTP-POST-Anfragen zum Herunterladen der Malware senden.
Lumen Black Lotus Labs schreibt die Kampagne mit mäßiger Sicherheit einem italienischsprachigen Bedrohungsakteur zu, basierend auf italienischsprachigen Artefakten und Netzwerkverkehrsindikatoren. Jüngste Aktivitäten deuten auf Experimente mit verteilten Brute-Force-Angriffen hin, obwohl die Reife dieser Fähigkeit ungewiss bleibt. Der Fokus der Kampagne auf KI-Infrastruktur unterstreicht die zunehmende Attraktivität dieser Dienste als Ziele, nicht nur aufgrund von Software-Schwachstellen, sondern auch wegen ihrer erheblichen Rechenleistung.
Originale Berichterstattung lesen
💬 Kommentare
📜 Kommentar-Richtlinie