Campanha Canto Incognito compromete mais de 3.400 servidores com malware PoeLLM visando infraestrutura de IA exposta
A campanha financeiramente motivada Canto Incognito ja comprometeu mais de 3.400 servidores desde abril de 2026, explorando vulnerabilidades conhecidas em servicos expostos de infraestrutura de IA como LiteLLM, alem de Gotenberg, Gitea e appliances Ivanti Sentry, para instalar mineradores de criptomoeda (XMRig e Iron) e expandir uma botnet. O malware, batizado PoeLLM, esconde seu endereco de comando e controle dentro de um poema hospedado no GitHub, uma tecnica de ofuscacao pouco comum identificada pela Lumen Black Lotus Labs.
Diferente de ataques que visam modelos de IA em si, a campanha Canto Incognito trata servidores de LLM como qualquer outra infraestrutura exposta na internet: um alvo valioso por poder de processamento (GPUs e CPUs potentes usados para inferencia) e, com frequencia, mal protegido porque equipes de dados e ML priorizam funcionalidade sobre endurecimento de seguranca. Os atacantes enviam requisicoes HTTP POST contra portas publicas de servicos como LiteLLM -- um proxy popular para unificar acesso a multiplos provedores de LLM -- explorando vulnerabilidades conhecidas e nao corrigidas para obter execucao de comandos e instruir o host a baixar o payload malicioso.
A parte tecnicamente mais notavel da campanha e o metodo de ocultacao do canal de comando e controle: em vez do padrao de dominios ou IPs hardcoded que detectores de rede aprenderam a bloquear, o malware PoeLLM busca um arquivo de texto hospedado em um repositorio publico do GitHub, formatado como um poema, e extrai dele o endereco real do servidor C2 por meio de alguma convencao de codificacao (por exemplo, posicoes especificas de palavras ou caracteres). Essa abordagem dificulta deteccao baseada em assinatura de rede, ja que o trafico para o GitHub e legitimo e dificilmente seria bloqueado por firewalls corporativos, e permite aos operadores rotacionar a infraestrutura de C2 apenas editando o arquivo no repositorio, sem precisar atualizar o malware em todos os hosts infectados.
Em escala, a campanha acumulou mais de 3.400 servidores vitimas desde abril de 2026, com pico de cerca de 2.200 maquinas comprometidas simultaneamente em junho -- quase 800 novos ativos por dia no auge -- concentrados principalmente em data centers nos Estados Unidos e na Europa Ocidental. O objetivo final e puramente financeiro: os binarios instalados sao os mineradores de criptomoeda XMRig e Iron, com integracao ao servico russo de mineracao em pool Kryptex, alem de modulos de scanner que buscam ativamente outros hosts vulneraveis na rede para propagar a infeccao.
O caso ilustra um padrao que deve se repetir: conforme a adocao de LLMs em producao cresce, a superficie de ataque tradicional (servicos web expostos, patches atrasados, credenciais fracas) passa a incluir cada vez mais componentes de infraestrutura de IA -- gateways como LiteLLM, servidores de inferencia, paineis de orquestracao -- que muitas vezes sao implantados rapidamente por equipes de ML sem o mesmo rigor de hardening aplicado a servidores web tradicionais. Isso torna infraestrutura de IA um alvo crescente para botnets de mineracao e, potencialmente, para ataques mais sofisticados que explorem o acesso obtido para outros fins, como exfiltracao de modelos ou dados de treinamento.