PoeLLM Malware Infects 3,400+ Servers to Expand Crypto Mining Botnet
Mis à jour :
Menace PoeLLM : Exploitation d’infrastructures IA pour le cryptominage
La campagne malveillante « Canto Incognito » cible activement des serveurs d’intelligence artificielle et de LLM exposés sur Internet afin de déployer des outils de minage de cryptomonnaies (XMRig, Iron) et d’étendre un botnet d’envergure.
Points clés :
- Infection massive : Plus de 3 400 serveurs compromis, principalement localisés aux États-Unis et en Europe de l’Ouest.
- Technique de dissimulation : Le malware PoeLLM dissimule les adresses de commande et contrôle (C2) au sein d’un poème hébergé sur un dépôt GitHub, mis à jour régulièrement pour éviter la détection.
- Auto-propagation : Les serveurs infectés sont transformés en nœuds de scan pour identifier et compromettre de nouvelles cibles vulnérables.
- Attribution : Des artefacts linguistiques suggèrent une origine italophone.
Cibles privilégiées : Les déploiements exposés tels que LiteLLM, Gotenberg, Gitea et les appliances Ivanti Sentry.
Vulnérabilités : Bien que l’article ne mentionne pas de CVE spécifiques, les attaquants exploitent les failles connues sur les services publics non sécurisés et utilisent potentiellement des attaques par force brute (SSH) pour infiltrer les systèmes.
Recommandations :
- Réduire la surface d’attaque : Ne pas exposer directement les interfaces de gestion des infrastructures IA et LLM sur le Web.
- Gestion des vulnérabilités : Maintenir les logiciels (Gitea, Ivanti, serveurs d’IA) à jour et appliquer les correctifs de sécurité dès leur publication.
- Sécurisation des accès : Désactiver l’accès SSH par mot de passe au profit d’une authentification par clé SSH et restreindre les accès aux ports administratifs via des VPN ou des listes blanches d’adresses IP.
- Surveillance réseau : Détecter les requêtes HTTP POST inhabituelles vers des services exposés et surveiller les pics de consommation CPU, souvent indicateurs d’une activité de cryptominage.