Una campaña de minería de criptomonedas motivada financieramente, denominada Canto Incognito, ha comprometido más de 3.400 servidores, principalmente en Estados Unidos y Europa Occidental, explotando vulnerabilidades en infraestructuras expuestas de IA y modelos de lenguaje extenso (LLM). La campaña utiliza un malware, con el nombre en clave PoeLLM, para convertir los servidores comprometidos en escáneres y plataformas de lanzamiento para nuevas infecciones. Lumen Black Lotus Labs identificó que la actividad comenzó en abril de 2026, con un pico de casi 2.200 servidores afectados a mediados de junio. El malware instala mineros de criptomonedas, incluidos XMRig e Iron, y conecta a las víctimas con Kryptex, un servicio ruso de minería de criptomonedas.
El malware PoeLLM emplea una técnica única para ocultar su dirección de comando y control (C2), escondiéndola dentro de un poema alojado en GitHub. Según Ryan English, ingeniero de seguridad de la información en Lumen Technologies, los actores de la amenaza modifican el poema para cambiar la dirección C2 cada vez que se configura un nuevo servidor, derivando la dirección de palabras clave dentro del texto alterado. Los servicios objetivo incluyen despliegues empresariales de LiteLLM y Gotenberg, así como dispositivos de Gitea e Ivanti Sentry. Los servidores comprometidos se reutilizan para buscar sistemas vulnerables similares, enviando solicitudes HTTP POST para descargar el malware.
Lumen Black Lotus Labs atribuye la campaña a un actor de amenazas de habla italiana con confianza moderada, basándose en artefactos en idioma italiano e indicadores de tráfico de red. La actividad reciente sugiere experimentación con ataques de fuerza bruta distribuidos, aunque la madurez de esta capacidad sigue siendo incierta. El enfoque de la campaña en la infraestructura de IA resalta la creciente atractividad de estos servicios como objetivos, no solo debido a vulnerabilidades de software, sino también por su sustancial potencia de cómputo.
Leer la cobertura original
💬 Comentarios
📜 Política de comentarios