PoeLLM-botnettet har tatt over 3 400 servere via eksponerte LiteLLM- og Ollama-tjenester
onsdag 7. oktober · KI-generert · Kilde: The Hacker News
Oppdater LiteLLM til minst 1.83.7 og steng KI-tjenestene dine mot internett, for PoeLLM-botnettet gjør eksponerte servere om til kryptogruver.
Over 3 400 servere er infisert av skadevaren PoeLLM siden april 2026, ifølge en rapport fra Lumen Black Lotus Labs omtalt av The Hacker News. På toppen i midten av juni omfattet kampanjen nesten 2 200 servere, med nesten 800 aktive per dag. Ofrene står mest i USA og Vest-Europa og kjører sårbare, internett-eksponerte installasjoner av blant annet LiteLLM, Ollama, Gotenberg og Gitea.
Angriperen skanner internett etter port 3000 (Gotenberg) og 4000 (LiteLLM) og sender en tilpasset POST-forespørsel som får målet til å laste ned skadevaren. For LiteLLM peker Lumen på endepunktet /mcp-rest/test/connection, som hører til CVE-2026-42271. Endepunktene for å teste en MCP-server før lagring startet den oppgitte kommandoen som en subprosess på verten, og krevde bare en gyldig API-nøkkel uten rollesjekk. Feilen er rettet i LiteLLM 1.83.7. Infiserte servere får installert XMRig og Iron, kobles til den russiske tjenesten Kryptex og blir selv skannere som leter etter nye ofre.
Navnet kommer av at adressen til kommandoserveren er gjemt i et dikt i et GitHub-repo, med første commit 13. april 2026.
«Each time they set up a new C2, they change a few words in the poem, and the malware derives the address from the key associated with those words.» — Ryan English, informasjonssikkerhetsingeniør i Lumen Technologies, til The Hacker News
Lumen knytter aktiviteten med moderat sikkerhet til en italiensktalende aktør. Nyere trafikk mot SSH og andre innloggingsportaler tyder på at aktøren tester distribuerte brute force-angrep, men Lumen mener den evnen fortsatt er umoden.
Hva bør du gjøre?
- Oppgrader LiteLLM til 1.83.7 eller nyere, og sørg for at port 4000 ikke er åpen mot internett.
- Skann din egen offentlige IP-adresse utenfra og sjekk at Ollama, Gotenberg og Gitea bare kan nås fra ditt eget nettverk eller via VPN.
- Søk i nettverksloggene etter forbindelser til de tolv C2-adressene Lumen har publisert, særlig de tre som fortsatt var aktive da rapporten kom.