Hackers maken gebruik van een nieuw type malware, PoeLLM, om AI-infrastructuur om te zetten in een botnet voor het minen van cryptocurrencies. De malware is sinds april 2026 actief en richt zich specifiek op internet-gerichte diensten zoals LiteLLM en Ollama, evenals op Gotenberg PDF-converters en Gitea-ontwikkelservers.

Een unieke methode die PoeLLM toepast, is het gebruik van een gedicht gehost op GitHub om command-and-control (C2) servers te bereiken. Dit gedicht, getiteld "On the Nature of Connection", werd geplaatst in een repository die is afgeleid van de broncode van de Node.js-website. Er is echter geen duidelijk verband gevonden tussen de malware en het legitieme Node.js-project. De malware extraheert vier woorden of zinsdelen uit het gedicht door middel van vaste tekstmarkeringen. Deze geëxtraheerde woorden worden vervolgens gekoppeld aan getallen via een woordenboek in de malware. Deze vier getallen vormen samen het IPv4-adres van de C2-server. Een voorbeeld laat zien hoe de woorden "driver", "diode", "decryption" en "string" worden gekoppeld aan de vier componenten van het adres. Deze methode stelt de aanvaller in staat om de command-and-control server aan te passen zonder de malware zelf te hoeven vervangen. Na de initiële commit op 13 april 2026 werden er elf updates aan het gedicht waargenomen, terwijl het decodeerpatroon ongewijzigd bleef.

Breder scannen op kwetsbare systemen begon in mei 2026, met de focus op poorten die geassocieerd worden met Gotenberg en LiteLLM. Speciaal opgestelde POST-verzoeken gaven kwetsbare systemen de opdracht om payloads te downloaden van de infrastructuur van de aanvaller. Een waarschijnlijke aanvalsroute via LiteLLM werd gekoppeld aan de command-injection kwetsbaarheid CVE-2026-42271.

De Linux ELF-payload van de malware biedt toegang tot remote shells, voert HTTP/S-scanning uit, levert exploits en bevat XMRig- en Iron-cryptocurrency-miners. Geïnfecteerde machines namen contact op met Kryptex-miningdiensten, wat bijdroeg aan het botnet. Gekraakte servers werden ook ingezet als scanners en exploit-werknemers, waardoor de operatie meer slachtoffers kon bereiken. Eerder werd al melding gemaakt van hetzelfde blootstellingsprobleem bij publiek toegankelijke Ollama-servers. Daarnaast werd er verkeer waargenomen richting SSH en andere inlogportals, wat wijst op pogingen tot gedistribueerd wachtwoord raden.

Onderzoekers van Lumen’s Black Lotus Labs identificeerden de malware in juni tijdens onderzoek naar activiteit gerelateerd aan een Ivanti Sentry-kwetsbaarheid. Het technische rapport beschrijft meer dan 3.400 getroffen servers, hoewel eerdere cijfers van bijna 2.200 werden genoemd. De meeste slachtoffers bevonden zich in de Verenigde Staten en West-Europa. Italiaanse codecommentaren en netwerkbewijs suggereren een Italiaanssprekende operator. Diverse C2-servers toonden kwetsbare routerbeheerpagina's. Er wordt vermoed dat de aanvaller gecompromitteerde routers heeft hergebruikt, hoewel er geen direct bewijs is gevonden voor de exploitatie van de twee geïdentificeerde kwetsbaarheden van de eerste router. PoeLLM demonstreert directe serverexploitatie, in tegenstelling tot de compromittering van een pakket of een schema voor gestolen modeltoegang.