Ερευνητές της Black Lotus Labs της Lumen ανακάλυψαν μια νέα εκστρατεία κακόβουλου λογισμικού με την ονομασία PoeLLM, η οποία στόχευσε εκτεθειμένες υποδομές τεχνητής νοημοσύνης. Το λογισμικό χρησιμοποιεί ένα ποίημα που φιλοξενείται στο GitHub ως μηχανισμό υπολογισμού της διεύθυνσης του διακομιστή διοίκησης και ελέγχου, μετατρέποντας τις μολυσμένες υποδομές σε δίκτυο εξόρυξης κρυπτονομισμάτων.
Ο μηχανισμός απόκρυψης και η λειτουργία του PoeLLM
Το κακόβουλο λογισμικό εντοπίζει ένα ποίημα με τίτλο «On the Nature of Connection» σε ένα αποθετήριο του GitHub. Χρησιμοποιώντας καθορισμένους δείκτες κειμένου, το PoeLLM εξάγει τέσσερις λέξεις-κλειδιά, τις οποίες μετατρέπει μέσω εσωτερικού λεξικού σε αριθμούς, σχηματίζοντας τη διεύθυνση IPv4 του διακομιστή ελέγχου. Αυτή η τεχνική επιτρέπει στον επιτιθέμενο να αλλάζει την υποδομή του απλώς τροποποιώντας τις λέξεις του ποιήματος, χωρίς να χρειάζεται να ανανεώσει το κακόβουλο φορτίο στα μολυσμένα συστήματα.
Στόχευση υποδομών AI και εξόρυξη κρυπτονομισμάτων
Η εκστρατεία, η οποία είναι ενεργή τουλάχιστον από τον Απρίλιο του 2026, εκμεταλλεύεται ευάλωτες υπηρεσίες όπως LiteLLM, Ollama, Gotenberg και Gitea, κυρίως στις ΗΠΑ και τη Δυτική Ευρώπη. Μετά τη μόλυνση, το σύστημα εκτελεί σαρώσεις στο διαδίκτυο για τον εντοπισμό νέων θυμάτων, ενώ παράλληλα εγκαθιστά εργαλεία εξόρυξης κρυπτονομισμάτων, όπως το XMRig. Περισσότεροι από 3.400 διακομιστές έχουν επηρεαστεί συνολικά, υπογραμμίζοντας την ανάγκη για άμεση θωράκιση και τακτική ενημέρωση των εκτεθειμένων εργαλείων τεχνητής νοημοσύνης.