PoeLLM-მა პოეზიის გამოყენებით 3 400-ზე მეტი სერვერი დააინფიცირა

მავნე პროგრამის დატვირთვა XMRig-ისა და Iron-ის მაინერებისგან შედგება. ისინი Kryptex-ის მაინინგინფრასტრუქტურას უკავშირდებიან, ხოლო ინფიცირებული სერვერები სკანერებად და სხვა სისტემებზე შეტევის სერვერებად გარდაიქმნებიან. Lumen-ის თქმით, პირველ 900 მსხვერპლს შორის მთავარი საერთო ნიშანი „რუსული კრიპტომაინინგის სერვისის საბოლოო წერტილთან“ კავშირი იყო. ეს ფინანსურ მოტივზე შეიძლება მიუთითებდეს. კომპანიის განმარტებით, „ხელოვნური ინტელექტის ინფრასტრუქტურა მიმზიდველ სამიზნედ იქცევა“, რადგან საჯაროდ ხელმისაწვდომი სერვისები შეიძლება ღირებულ მონაცემებსა და აპარატურაზე, განსაკუთრებით გრაფიკულ პროცესორებზე, წვდომას იძლეოდეს. Lumen-მა ამასობაში PoeLLM-ის C2 სერვერებიდან და მათკენ მიმავალი მთელი ტრაფიკი დაბლოკა.

მთავარი სამიზნეები LiteLLM და Gotenberg-ია. LiteLLM პროქსი სერვერია, ანუ ხელოვნური ინტელექტის კარიბჭე, რომელიც დიდი ენობრივი მოდელების პროგრამულ ინტერფეისებს მიმართავს. მისი მეშვეობით კომპანიებს აპლიკაციების მრავალი მოდელისკენ ერთი საბოლოო წერტილიდან მიმართვა შეუძლიათ. Gotenberg კი PDF ფაილების გარდასაქმნელად განკუთვნილი, Docker-ზე დაფუძნებული პროგრამული ინტერფეისია. მის სახელმძღვანელოში მომხმარებლებს ინტერნეტში საჯაროდ განთავსებისგან აფრთხილებენ. თავდასხმა შეეხო Ollama-საც, რომელიც საკუთარ აპარატურაზე ღია წონების მქონე მოდელების გაშვების საშუალებას იძლევა, თუმცა ნაგულისხმევად ინტერნეტში ხელმისაწვდომი არ არის. დაზარალდა თვითჰოსტინგისთვის განკუთვნილი Git პლატფორმა Gitea-ც. შესაძლოა, თავდამსხმელებს სამიზნედ Ivanti Sentry-ის კორპორაციული კარიბჭის მოწყობილობაც ჰქონდათ შერჩეული. Lumen-მა კამპანია სწორედ მისი ერთი ეგზემპლარის მეშვეობით აღმოაჩინა.

მავნე პროგრამა პოეზიას მხოლოდ ინფიცირებული სერვერებისთვის C2 სერვერის მისათითებლად იყენებს. ეს საზიანო მოთხოვნებით ხელოვნური ინტელექტის შეზღუდვების გვერდის ავლა, ბრძანების ჩასმა ან შარშანდელ ნაშრომში აღწერილი „მტრული პოეზია“ არ არის.

ლექსი, სახელწოდებით „კავშირის ბუნების შესახებ“, GitHub-ზე პირველად აპრილში აიტვირთა. მისი ყოველი ახალი ვერსია ახალ C2 სერვერზე მიუთითებდა. მავნე პროგრამა ახალ მისამართს კონკრეტული სიტყვების ამოღებითა და მათ IPv4 მისამართად გარდაქმნით შიფრავს. ანგარიშის გამოქვეყნებისას, Lumen-ის თქმით, მავნე პროგრამის შემქმნელს ლექსის გაშიფვრის სქემა არ შეეცვალა. მკვლევრებმა The Register-ს უთხრეს: „ლექსი მნიშვნელოვანი შეტყობინების დასამალად იდეალური საშუალებაა“. მათი აზრით, პოეზიის გამოყენებამ კოდის შენიღბვა გაამარტივა.

მავნე პროგრამა საჯაროდ ხელმისაწვდომი სერვისების დაუცველობების გამოყენებით ვრცელდება. მასშტაბური სკანირება მაისში დაიწყო. LiteLLM-ის შემთხვევაში, კავშირის საბოლოო წერტილისთვის საგანგებოდ შედგენილი POST მოთხოვნა, სავარაუდოდ, სისტემაში შეღწევის გზა იყო. CVE-2026-42271 ხარვეზის გამო, ორ საბოლოო წერტილს სერვერზე მიწოდებული ბრძანების შესრულება მომხმარებლის როლის შემოწმების გარეშე შეეძლო. აშშ-ის კიბერუსაფრთხოებისა და ინფრასტრუქტურის უსაფრთხოების სააგენტომ (CISA) ეს ხარვეზი ივნისში ექსპლუატირებული დაუცველობების სიას დაამატა. Lumen-ს Ollama-ს, Gotenberg-ისა და Gitea-ს წინააღმდეგ გამოყენებული მეთოდები არ დაუკონკრეტებია.