La red de bots PoeLLM ataca infraestructuras de IA expuestas para minar criptomonedas

Una campaña de criptominería denominada Canto Incognito ha infectado más de 3.400 servidores al explotar servicios de inteligencia artificial y herramientas de desarrollo expuestos a internet, según una investigación publicada por Black Lotus Labs. El malware subyacente, llamado PoeLLM, compromete equipos expuestos, despliega cargas útiles de minería y utiliza los sistemas vulnerados para rastrear nuevos objetivos.

Sistemas objetivo y vulnerabilidades

La campaña ha estado activa desde abril de 2026, afectando principalmente a víctimas en Estados Unidos y Europa Occidental. Los investigadores señalan que los sistemas comprometidos ejecutan con frecuencia utilidades de IA de código abierto alojadas localmente, como LiteLLM u Ollama, junto con kits de desarrollo de software como Gitea y el convertidor de PDF Gotenberg. Los atacantes se dirigieron a los puertos de servicio por defecto y aprovecharon fallos conocidos, como una vulnerabilidad de inyección de comandos en LiteLLM registrada como CVE-2026-42271, para iniciar la descarga de cargas útiles.

Comando y control ofuscado mediante GitHub

Para localizar los servidores de comando y control (C2) sin incluir direcciones IP estáticas en el código, PoeLLM inspecciona un repositorio público de GitHub mantenido por el atacante. El malware recupera un archivo llamado dash.css que contiene un poema titulado "On the Nature of Connection". Al extraer cuatro palabras específicas de posiciones fijas en el poema y compararlas con un diccionario integrado, el código malicioso calcula la dirección IPv4 numérica del servidor C2 activo. Entre abril y junio de 2026, el atacante actualizó el texto del poema 11 veces para redirigir los equipos infectados a nuevas ubicaciones de servidores.

Entrega de cargas útiles y evolución táctica de la red de bots

Tras obtener acceso, PoeLLM instala el software de criptominería XMRig e Iron, canalizando las ganancias hacia el grupo de minería Kryptex. Los equipos infectados también reciben funciones de consola remota interactiva y herramientas automatizadas de escaneo de red diseñadas para localizar y explotar puertos expuestos en otros dispositivos. Black Lotus Labs observó casos recientes en los que nodos comprometidos realizaron intentos de fuerza bruta en portales SSH, lo que indica pruebas iniciales de ataques de inicio de sesión distribuidos. El grupo de seguridad ha implementado bloqueos de red contra las direcciones IP de C2 conocidas de PoeLLM.

Ilustración editorial generada con IA; no es una fotografía documental.

Fuente: Cryptomining botnet hides C2 addresses in GitHub poem, infects over 3,400 servers