Edição em Markdown

AI-translated from English; not yet reviewed by a fluent editor.

# Malware PoeLLM chegou a serviços de IA expostos e outras ferramentas

> A Lumen afirma que sua investigação sobre o PoeLLM encontrou mais de 3.400 servidores afetados desde abril. As evidências apontam para serviços vulneráveis expostos em ferramentas de IA e de outras áreas, e indicam verificações específicas para os operadores.

By BIG CHANGE Editorial

Published: 2026-10-11T08:55:09.294Z
Updated: 2026-10-11T08:55:09.294Z
Canonical: https://bigchange.ai/blog/poellm-malware-exposed-ai-services

![Charcoal illustration of a network cable entering a gateway on a steel shelf, with a second cable leading to a generic rack-mounted computer.](https://bigchange.ai/api/media/file/poellm-network-boundary-hero-v1.png)
A generic gateway and service host illustrate a network boundary operators can inspect. This is not a PoeLLM victim, observed deployment, field test or verified security outcome. AI-generated conceptual illustration by BIG CHANGE.

A Lumen Black Lotus Labs afirma que o malware que chama de PoeLLM afetou mais de 3.400 servidores desde abril de 2026, transformando máquinas comprometidas em mineradores de criptomoedas e, em alguns casos, em scanners em busca de novos alvos. Os pesquisadores deram à campanha o nome Canto Incognito. Ela atingiu serviços de IA acessíveis pela internet, além de um conversor de PDF e uma plataforma de desenvolvimento. Para os operadores, a lição dessa combinação é que o serviço exposto e sua configuração importam mais do que o rótulo de IA.

A Lumen publicou sua [investigação sobre o PoeLLM](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware) em 7 de outubro, segundo reportagens da época do [The Hacker News](https://thehackernews.com/2026/10/poellm-malware-infects-3400-servers-to.html) e do [The Register](https://www.theregister.com/security/2026/10/07/poetry-is-the-new-ai-security-threat-as-poellm-malware-infects-3k-servers/5301672). Os pesquisadores datam o primeiro commit do repositório GitHub da campanha em 13 de abril e dizem que a varredura e a exploração mais amplas vieram em maio. O total contabiliza servidores identificados na investigação da Lumen, não um censo de todas as instalações dos produtos citados. A empresa afirma que a maioria das vítimas observadas parecia executar serviços vulneráveis expostos publicamente e estava concentrada nos Estados Unidos e na Europa Ocidental.

## Um poema usado como catálogo de endereços

O PoeLLM lê palavras selecionadas de um poema em um repositório do GitHub e usa um dicionário incorporado ao malware para deduzir o endereço atual do servidor de comando e controle. Alterar essas palavras permite ao operador direcionar sistemas infectados a um novo servidor sem mudar o malware em cada host. A Lumen contou 11 alterações no poema depois do commit inicial. O poema servia para localizar a infraestrutura do operador; não enganou um modelo de IA para fazê-lo seguir instruções. A avaliação da Lumen de que o agente fala italiano se baseia em artefatos em italiano e no tráfego de rede. É uma avaliação de atribuição, não a identificação de uma pessoa nem a confirmação de um local.

Os pesquisadores relatam mineradores XMRig e Iron no malware e conexões com a infraestrutura de mineração da Kryptex. Também viram hosts infectados escaneando e atacando outros sistemas expostos. A Lumen diz que sua telemetria de rede vinculou mais de 1.000 endereços IP adicionais a um servidor de comando inicial. No pico de meados de junho, descreveu quase 2.200 servidores afetados e quase 800 ativos em um dia. O número de mais de 3.400 destacado em outubro é cumulativo; essas cifras medem coisas diferentes em momentos diferentes. Mais tarde, a Lumen bloqueou o tráfego de e para os servidores de comando que identificou. O The Hacker News informou depois que o repositório do poema ficou indisponível, mas essa observação, por si só, não prova que todos os hosts infectados foram limpos ou que o agente parou.

## A exposição por trás da manchete sobre IA

A Lumen cita LiteLLM e Ollama entre os serviços relacionados à IA observados nos IPs das vítimas, junto com Gotenberg e Gitea. O relatório também descreve um dispositivo Ivanti Sentry comprometido durante a investigação, mas trata um alvo mais amplo desse produto como possibilidade. Não fornece uma contagem de vítimas por produto, um inventário completo de versões nem provas de que todas as instâncias expostas do Ollama ou do LiteLLM eram vulneráveis. O banner de serviço em um endereço IP pode ajudar a identificar um sistema, mas não comprova sozinho o ponto de entrada exato em cada host.

Um caminho do LiteLLM tem detalhes mais firmes sobre versões. A Lumen encontrou uma amostra de malware que fazia referência a um endpoint de teste associado a [CVE-2026-42271](https://github.com/advisories/GHSA-v4p8-mg3p-g94g). O aviso publicado lista como afetadas as versões do LiteLLM de 1.74.2 até as anteriores à 1.83.7; a versão 1.83.7 foi corrigida. O aviso diz que os endpoints de teste exigiam uma chave de API proxy válida, mas não tinham a verificação de função necessária. Essa condição importa: o aviso descreve execução autenticada de comandos, enquanto a Lumen relata o possível uso de um endpoint em uma amostra. Nenhum dos documentos prova que essa vulnerabilidade explique todas as infecções por PoeLLM.

O Gotenberg mostra outro problema concreto de exposição. Seu [guia de instalação](https://gotenberg.dev/docs/getting-started/installation) orienta manter o serviço de conversão de PDF atrás de um firewall. Também alerta que portas Docker publicadas podem ser acessadas de fora e demonstra como vincular o serviço ao localhost. Sua [referência de configuração](https://gotenberg.dev/docs/configuration) documenta autenticação básica e OIDC como opções, ambas desativadas por padrão nas configurações listadas. Antes de confiar em qualquer configuração, os operadores devem verificar a versão e o padrão de implantação que realmente usam.

### The big change

A escala relatada do PoeLLM torna a exposição à internet de ferramentas auxiliares uma questão imediata de inventário para as equipes de IA. A campanha atravessou categorias de produtos porque o operador procurou serviços vulneráveis acessíveis e reutilizou hosts infectados para buscar mais alvos. O poema facilitava a troca do servidor de comando, mas a resposta descrita para os operadores é convencional: encontrar o serviço exposto, confirmar sua versão e os controles de acesso e procurar sinais de comprometimento. A telemetria da Lumen sustenta o relato da campanha; não comprova roubo de dados confirmado nem comprometimento de todas as instalações dos produtos citados.

## Uma verificação delimitada para operadores

1. Faça o inventário das instâncias de LiteLLM, Ollama, Gotenberg e Gitea acessíveis pela internet, inclusive implantações temporárias. Confira o endereço de escuta real, as regras de firewall e gateway e se o acesso pela internet pública é necessário.
2. No LiteLLM, compare a versão instalada e os endpoints habilitados com o [aviso CVE-2026-42271](https://github.com/advisories/GHSA-v4p8-mg3p-g94g). Atualize as instalações afetadas e verifique quem possui chaves proxy válidas; se uma atualização imediata não for possível, o aviso também documenta o bloqueio, no gateway, dos endpoints de teste afetados.
3. Mantenha o Gotenberg na rede confiável, conforme recomenda o [guia de instalação](https://gotenberg.dev/docs/getting-started/installation). Para implantações que exigem acesso controlado, examine as opções de autenticação pertinentes na documentação de configuração.
4. Compare os registros de rede e dos hosts com os [indicadores publicados pela Lumen](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware) e investigue mineração inesperada, tráfego de comando de saída ou varreduras. Uma correspondência com um indicador exige análise do incidente; não encontrar correspondência não atesta que o host esteja limpo.

### Fontes e leituras adicionais

- [Lumen Black Lotus Labs: Canto Incognito](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware) é a principal análise do malware, fonte de telemetria e lista de indicadores. Os números, comportamentos observados e avaliação do agente acima são atribuídos aos pesquisadores da Lumen.
- [A reportagem e a atualização do The Hacker News](https://thehackernews.com/2026/10/poellm-malware-infects-3400-servers-to.html) confirmam a publicação de 7 de outubro e relatam a indisponibilidade posterior do repositório com base em comentários de um engenheiro da Lumen. A remoção do repositório é uma observação pontual.
- [A reportagem do The Register de 7 de outubro](https://www.theregister.com/security/2026/10/07/poetry-is-the-new-ai-security-threat-as-poellm-malware-infects-3k-servers/5301672) traz a data de publicação da época e entrevistas com os pesquisadores. A descrição do poema como “adversarial poetry” não deve ser interpretada como prova de jailbreak de LLM neste ataque.
- [O aviso da LiteLLM sobre CVE-2026-42271](https://github.com/advisories/GHSA-v4p8-mg3p-g94g) especifica as versões afetadas e corrigidas, a condição de autenticação e a alternativa do fornecedor.[As páginas de instalação](https://gotenberg.dev/docs/getting-started/installation) e de [configuração](https://gotenberg.dev/docs/configuration) do Gotenberg documentam o alerta de exposição e as configurações de acesso.

## Sources

- [Lumen Black Lotus Labs: Canto Incognito: rastreamento do malware PoeLLM](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware) — Pesquisa principal da campanha, telemetria e lista de indicadores; números, avaliação do agente e detecções são atribuídos à Lumen.
- [The Hacker News: Malware PoeLLM infecta mais de 3.400 servidores](https://thehackernews.com/2026/10/poellm-malware-infects-3400-servers-to.html) — Reportagem contemporânea e atualização posterior sobre a disponibilidade do repositório do GitHub; os números se baseiam na Lumen.
- [The Register: Poesia é a nova ameaça à segurança da IA](https://www.theregister.com/security/2026/10/07/poetry-is-the-new-ai-security-threat-as-poellm-malware-infects-3k-servers/5301672) — Cronologia da época e entrevistas da Lumen; a expressão “adversarial poetry” não é adotada como conclusão de injeção de prompt.
- [Aviso da LiteLLM GHSA-v4p8-mg3p-g94g / CVE-2026-42271](https://github.com/advisories/GHSA-v4p8-mg3p-g94g) — Escopo afetado, condição de autenticação e mitigação.
- [Instalação do Gotenberg](https://gotenberg.dev/docs/getting-started/installation) — Alerta oficial contra exposição pública e orientação para vincular ao localhost.
- [Configuração do Gotenberg](https://gotenberg.dev/docs/configuration) — Valores padrão das opções oficiais de autenticação, sem afirmações sobre configurações observadas em vítimas.