PoeLLM: Malware utiliza 'poesia adversarial' para infetar servidores e minerar criptomoedas

Investigadores detetaram o malware PoeLLM, que utiliza 'poesia adversarial' no GitHub para localizar servidores de comando e controlo e minerar Monero.

Uma técnica inédita de ocultação de comandos

Investigadores da Black Lotus Labs, da Lumen, identificaram uma campanha de ciberataques que utiliza uma técnica pouco convencional: a "poesia adversarial". O malware, batizado de PoeLLM, recorre a versos publicados no GitHub para decodificar a localização dos seus servidores de comando e controlo (C2), contornando métodos tradicionais de deteção.

O funcionamento é simples, mas eficaz: o malware procura palavras específicas num poema, aparentemente gerado por Inteligência Artificial, e converte-as em números baseados num dicionário codificado internamente. Estes números formam o endereço IPv4 do servidor C2, permitindo que o atacante altere a infraestrutura apenas editando o texto do poema no GitHub, sem necessidade de atualizar o código do malware.

Impacto e alvo da campanha

A campanha, denominada Canto Incognito, tem como alvo principal serviços expostos à internet, como o LiteLLM e o Ollama. Uma vez infetado, o dispositivo é utilizado maioritariamente para a mineração de Monero através do software XMRig, consumindo recursos de computação e energia elétrica da vítima. Além disso, o malware possui capacidades de scanner, permitindo a propagação lateral para outros sistemas vulneráveis.

Segundo os dados recolhidos, o ataque já comprometeu mais de 3.000 dispositivos. A estratégia de visar múltiplos serviços de IA, em vez de se limitar a uma única vulnerabilidade, permitiu ao atacante manter uma rede de botnets mais robusta e lucrativa. O poema utilizado, intitulado "On the Nature of Connection", já sofreu 11 atualizações desde o seu compromisso inicial, com a última alteração registada em setembro de 2026.

Contexto de segurança

Este incidente sublinha a importância de proteger serviços de IA e ferramentas de desenvolvimento contra acessos não autorizados. A utilização de repositórios públicos como o GitHub para hospedar instruções maliciosas reforça a necessidade de monitorização constante de tráfego de rede e da integridade de serviços expostos. Para utilizadores e administradores de sistemas, a gestão de permissões e a atualização de serviços são fundamentais para mitigar riscos, tal como discutido em temas de segurança de permissões e acessos.

Fontes

• https://www.techradar.com/pro/security/this-is-a-first-for-us-attackers-uses-poem-to-infect-thousands-of-servers-with-malware