A campanha financeiramente motivada Canto Incognito ja comprometeu mais de 3.400 servidores desde abril de 2026, explorando vulnerabilidades conhecidas em servicos expostos de infraestrutura de IA como LiteLLM, alem de Gotenberg, Gitea e appliances Ivanti Sentry, para instalar mineradores de criptomoeda (XMRig e Iron) e expandir uma botnet. O malware, batizado PoeLLM, esconde seu endereco de comando e controle dentro de um poema hospedado no GitHub, uma tecnica de ofuscacao pouco comum identificada pela Lumen Black Lotus Labs.
A policia federal australiana indiciou dois homens de 23 e 21 anos por 14 acusacoes ligadas ao grupo TeamPCP, responsavel pelo comprometimento em marco de 2026 dos scanners de seguranca open-source Trivy e Checkmarx KICS e do gateway de IA LiteLLM, atraves de roubo de credenciais de publicacao e distribuicao de versoes envenenadas pelos proprios canais oficiais de release. O grupo teria afetado mais de mil organizacoes, roubado mais de 500 mil credenciais e exfiltrado cerca de 300 GB de dados.
A equipe de Threat Intelligence da Microsoft documentou campanhas ativas explorando gateways de IA expostos, encadeando CVEs conhecidas em LiteLLM e Starlette para obter execucao remota de codigo, roubando chaves-mestre de provedores LLM via leitura de memoria de processo, e implantando persistencia e mineradores de criptomoeda. O artigo recomenda tratar gateways de IA como ativos Tier-0 de armazenamento de segredos, com chaves virtuais limitadas e regras de saida restritivas.
Duas versões do LiteLLM, biblioteca amplamente usada como proxy/gateway para múltiplas APIs de LLM, ficaram no PyPI por cerca de 40 minutos em março carregando um payload que roubava chaves de nuvem, SSH, tokens Kubernetes e credenciais de banco de dados. O incidente foi rastreado como parte da mesma cadeia de ataque à supply chain que comprometeu o scanner Trivy, da Aqua Security, e já rendeu um CVE (CVE-2026-33634) e um alerta do FBI sobre uso futuro das credenciais roubadas.