A Lumen Black Lotus Labs afirma que o malware que chama de PoeLLM afetou mais de 3.400 servidores desde abril de 2026, transformando máquinas comprometidas em mineradores de criptomoedas e, em alguns casos, em scanners em busca de novos alvos. Os pesquisadores deram à campanha o nome Canto Incognito. Ela atingiu serviços de IA acessíveis pela internet, além de um conversor de PDF e uma plataforma de desenvolvimento. Para os operadores, a lição dessa combinação é que o serviço exposto e sua configuração importam mais do que o rótulo de IA.

A Lumen publicou sua investigação sobre o PoeLLM em 7 de outubro, segundo reportagens da época do The Hacker News e do The Register. Os pesquisadores datam o primeiro commit do repositório GitHub da campanha em 13 de abril e dizem que a varredura e a exploração mais amplas vieram em maio. O total contabiliza servidores identificados na investigação da Lumen, não um censo de todas as instalações dos produtos citados. A empresa afirma que a maioria das vítimas observadas parecia executar serviços vulneráveis expostos publicamente e estava concentrada nos Estados Unidos e na Europa Ocidental.

Um poema usado como catálogo de endereços

O PoeLLM lê palavras selecionadas de um poema em um repositório do GitHub e usa um dicionário incorporado ao malware para deduzir o endereço atual do servidor de comando e controle. Alterar essas palavras permite ao operador direcionar sistemas infectados a um novo servidor sem mudar o malware em cada host. A Lumen contou 11 alterações no poema depois do commit inicial. O poema servia para localizar a infraestrutura do operador; não enganou um modelo de IA para fazê-lo seguir instruções. A avaliação da Lumen de que o agente fala italiano se baseia em artefatos em italiano e no tráfego de rede. É uma avaliação de atribuição, não a identificação de uma pessoa nem a confirmação de um local.

Os pesquisadores relatam mineradores XMRig e Iron no malware e conexões com a infraestrutura de mineração da Kryptex. Também viram hosts infectados escaneando e atacando outros sistemas expostos. A Lumen diz que sua telemetria de rede vinculou mais de 1.000 endereços IP adicionais a um servidor de comando inicial. No pico de meados de junho, descreveu quase 2.200 servidores afetados e quase 800 ativos em um dia. O número de mais de 3.400 destacado em outubro é cumulativo; essas cifras medem coisas diferentes em momentos diferentes. Mais tarde, a Lumen bloqueou o tráfego de e para os servidores de comando que identificou. O The Hacker News informou depois que o repositório do poema ficou indisponível, mas essa observação, por si só, não prova que todos os hosts infectados foram limpos ou que o agente parou.

A exposição por trás da manchete sobre IA

A Lumen cita LiteLLM e Ollama entre os serviços relacionados à IA observados nos IPs das vítimas, junto com Gotenberg e Gitea. O relatório também descreve um dispositivo Ivanti Sentry comprometido durante a investigação, mas trata um alvo mais amplo desse produto como possibilidade. Não fornece uma contagem de vítimas por produto, um inventário completo de versões nem provas de que todas as instâncias expostas do Ollama ou do LiteLLM eram vulneráveis. O banner de serviço em um endereço IP pode ajudar a identificar um sistema, mas não comprova sozinho o ponto de entrada exato em cada host.

Um caminho do LiteLLM tem detalhes mais firmes sobre versões. A Lumen encontrou uma amostra de malware que fazia referência a um endpoint de teste associado a CVE-2026-42271. O aviso publicado lista como afetadas as versões do LiteLLM de 1.74.2 até as anteriores à 1.83.7; a versão 1.83.7 foi corrigida. O aviso diz que os endpoints de teste exigiam uma chave de API proxy válida, mas não tinham a verificação de função necessária. Essa condição importa: o aviso descreve execução autenticada de comandos, enquanto a Lumen relata o possível uso de um endpoint em uma amostra. Nenhum dos documentos prova que essa vulnerabilidade explique todas as infecções por PoeLLM.

O Gotenberg mostra outro problema concreto de exposição. Seu guia de instalação orienta manter o serviço de conversão de PDF atrás de um firewall. Também alerta que portas Docker publicadas podem ser acessadas de fora e demonstra como vincular o serviço ao localhost. Sua referência de configuração documenta autenticação básica e OIDC como opções, ambas desativadas por padrão nas configurações listadas. Antes de confiar em qualquer configuração, os operadores devem verificar a versão e o padrão de implantação que realmente usam.

The big change

A escala relatada do PoeLLM torna a exposição à internet de ferramentas auxiliares uma questão imediata de inventário para as equipes de IA. A campanha atravessou categorias de produtos porque o operador procurou serviços vulneráveis acessíveis e reutilizou hosts infectados para buscar mais alvos. O poema facilitava a troca do servidor de comando, mas a resposta descrita para os operadores é convencional: encontrar o serviço exposto, confirmar sua versão e os controles de acesso e procurar sinais de comprometimento. A telemetria da Lumen sustenta o relato da campanha; não comprova roubo de dados confirmado nem comprometimento de todas as instalações dos produtos citados.

Uma verificação delimitada para operadores

  1. Faça o inventário das instâncias de LiteLLM, Ollama, Gotenberg e Gitea acessíveis pela internet, inclusive implantações temporárias. Confira o endereço de escuta real, as regras de firewall e gateway e se o acesso pela internet pública é necessário.
  2. No LiteLLM, compare a versão instalada e os endpoints habilitados com o aviso CVE-2026-42271. Atualize as instalações afetadas e verifique quem possui chaves proxy válidas; se uma atualização imediata não for possível, o aviso também documenta o bloqueio, no gateway, dos endpoints de teste afetados.
  3. Mantenha o Gotenberg na rede confiável, conforme recomenda o guia de instalação. Para implantações que exigem acesso controlado, examine as opções de autenticação pertinentes na documentação de configuração.
  4. Compare os registros de rede e dos hosts com os indicadores publicados pela Lumen e investigue mineração inesperada, tráfego de comando de saída ou varreduras. Uma correspondência com um indicador exige análise do incidente; não encontrar correspondência não atesta que o host esteja limpo.

Fontes e leituras adicionais