Ataque PoeLLM: Mais de 3.000 Servidores Comprometidos por Malware com C2 Oculto em Poesia

O malware PoeLLM, em atividade desde abril, já comprometeu mais de 3.000 servidores, concentrando-se nos Estados Unidos e na Europa Ocidental. O ataque se destaca pela engenhosidade em ocultar seus endereços de comando e controle (C2). Em vez de métodos tradicionais, o PoeLLM esconde as coordenadas em arquivos de poesia hospedados no GitHub, uma tática batizada de "adversarial poetry". Quatro palavras específicas da poesia são extraídas e convertidas em um endereço IPv4, o que torna a detecção extremamente difícil e prolonga a persistência da ameaça.

As máquinas comprometidas, que incluem servidores com vulnerabilidades em sistemas como LiteLLM, Ollama e Gitea, e também produtos como Ivanti Sentry, são cooptadas para a mineração de Monero através de miners XMRig e Iron. Além da mineração de criptomoedas, os servidores infectados são transformados em scanners de vulnerabilidades e pontos de exploração, permitindo que os invasores identifiquem e comprometam ainda mais sistemas. Essa campanha, apelidada de Canto Incognito, é atribuída a um atacante de língua italiana e ilustra a crescente sofisticação dos vetores de ataque, agora explorando a criatividade humana (ou artificial) para fins maliciosos.

A cobertura anterior do CEVIU, como em "LLMs na Kill Chain" de 24 de fevereiro de 2026, mostrou LLMs sendo usados para gerar planos de ataque. Com o PoeLLM, vemos uma evolução preocupante: a IA não apenas ajuda o atacante a planejar, mas seu conteúdo gerado (a poesia) se torna parte da infraestrutura de C2, um novo patamar de sigilo. A campanha de 19 de junho de 2026, que atingiu 10 mil repositórios no GitHub, tratava de hospedagem de trojans. Agora, o PoeLLM usa o GitHub de forma ainda mais sutil, escondendo comandos maliciosos em um texto aparentemente inofensivo, tornando a detecção muito mais complexa e a resposta mais demorada.

Este ataque demonstra como a rápida adoção de infraestrutura de IA, muitas vezes sem segurança como prioridade, expande drasticamente a superfície de ataque para as empresas. A técnica de ocultar C2 em poesia é um avanço na camuflagem, que sublinha a necessidade urgente de soluções de segurança inovadoras. A exploração de vulnerabilidades em sistemas de IA de código aberto e comerciais, somada à capacidade do malware de se replicar e expandir, mostra o grande potencial de dano. Empresas e governos precisam reavaliar suas defesas e políticas de segurança, pois ataques como o PoeLLM não só roubam recursos, mas também transformam ativos em armas contra si mesmos.