Meta Platforms Inc. признана экстремистской организацией, её деятельность запрещена на территории Российской Федерации
Крипто-майнинг на чужих устройствах перестаёт быть уделом классических ботнетов. Всё чаще жертвами становятся серверы, на которых развёрнуты ИИ-сервисы, а инструментом — вредоносные программы, использующие особенности автономных агентов. Яркий пример — кампания PoeLLM, обнаруженная исследователями Lumen Black Lotus Labs (BLL).
PoeLLM: майнинг через уязвимые ИИ-сервисы
По данным BLL, вредоносное ПО PoeLLM заразило более 3400 серверов, а пиковая активность достигала 800 инфицированных систем в день. Кампания активна как минимум с апреля, и с тех пор её интенсивность значительно выросла — развёрнуто не менее 11 серверов управления (C2). География жертв охватывает США и Западную Европу. Среди целей — открытые в интернет инструменты вроде LiteLLM и Ollama, PDF-конвертер Gotenberg и набор для разработки Gitea; также зафиксированы признаки атак на Ivanti Sentry.
ИИ-инфраструктура привлекательна для злоумышленников, поскольку часто плохо настроена, доступна извне и работает на мощных GPU-кластерах, удобных для майнинга. PoeLLM — это ELF-файл под именем libgcrypt, который извлекает четыре слова или фразы из стихотворения «On the Nature of Connection» в файле dash.css на GitHub-репозитории, похожем на форк Node.js. Затем эти слова сопоставляются с числами через жёстко заданный словарь, и получается IPv4-адрес C2-сервера. Чтобы сменить адрес, оператору достаточно изменить стихотворение — на данный момент его правили 11 раз, и исследователи подозревают, что будет ещё.
Вредонос включает удалённую оболочку, майнеры XMRig и Iron, сканирование HTTP/S и функции развёртывания эксплойтов. Жертвы, по данным BLL, взаимодействуют с российским крипто-майнинговым сервисом Kryptex. После компрометации сервер становится плацдармом для дальнейшего распространения: сканируются порты 3000 и 4000 (Gotenberg и LiteLLM) и предпринимаются попытки эксплуатации уязвимости CVE-2026-42271. Эта уязвимость затрагивает тестовые эндпоинты MCP-сервера LiteLLM и изначально требовала аутентификации, но исследователи Horizon.ai подтвердили, что её можно объединить с другой проблемой (CVE-2026-48710) для неаутентифицированного удалённого выполнения кода.
Анализ инфраструктуры показал, что несколько C2-серверов имели уязвимые интерфейсы администрирования маршрутизаторов — вероятно, атакующий использовал скомпрометированные роутеры. Уверенной атрибуции нет, но с умеренной уверенностью оператора считают итальянцем: на это указывают комментарии в коде и итальянский сервер с админ-интерфейсом.
Автономные агенты как новый вектор
Случай PoeLLM — не изолированный инцидент. Отчёт CrowdStrike, опубликованный на прошлой неделе, описывает китайскую группировку Vapor Panda, которая с 17 октября использовала агентную платформу ARTEX для атак более чем на 200 организаций в 11 странах. За 11 дней один контроллер ARTEX применялся против организаций как минимум в 14 странах, включая министерства иностранных дел Латинской Америки, Европы, Азии и Ближнего Востока, оборонные и полупроводниковые компании США, телеком-провайдеров. Подтверждена постэксплуатационная активность в девяти организациях, где установлен бэкдор BloodAlchemy; ещё как минимум в 12 случаях (включая американские аналитические центры и европейские госорганы) зафиксирован password spraying.
ARTEX работал в основном на модели DeepSeek и второй коммерческой LLM, которую CrowdStrike не идентифицировала. Главный агент передавал задачи агентам-планировщикам и исполнителям, которые сохраняли полученные знания в общем графе. В одном вторжении только планирующие агенты обработали около 1,4 млрд входных токенов. Расшифрованные стенограммы показывают, что оператор вмешивался в ключевые моменты, давая указания на китайском языке. Когда один маршрут не срабатывал, агенты переключались на другой, но используемые техники оставались знакомыми.
В одной фармацевтической компании агент объединил неподписанное SAML-утверждение с уязвимостью XXE, чтобы добраться до сервиса метаданных облачного экземпляра, а затем повысил привилегии до учётной записи администратора предприятия. В случае с греческой государственной структурой оператор передал агенту экспорт каталога почтового сервера за 2022 год с ключами аутентификации, которые, вероятно, не менялись с тех пор. Агент использовал эти ключи для подделки токена администратора и чтения почтовых ящиков, а затем с помощью VPN-конфигураций, найденных в отправленных письмах пользователя, и VPN-ключа, который оператор описал как полученный из утечки письма за май 2024 года, проник во внутреннюю сеть.
Это первый случай, когда CrowdStrike зафиксировала использование ИИ-инструментов группой Vapor Panda, и её список целей вырос. Вместе с недавним отчётом Microsoft об активности другой группы, Storm-0940, также применявшей ARTEX, это указывает на то, что платформа набирает популярность среди китайских группировок.
Kaspersky в понедельник опубликовала детали отдельной кампании против учебных заведений в Африке и Латинской Америке, которую проводили операторы, говорящие на китайском. Атаки использовали открытый фреймворк для пентеста CyberStrikeAI, написанный на Go. LLM работает на сервере управления и контроля (C2) атакующих.
Что это говорит о цене автономности
Все эти кампании объединяет схема: человек выбирает цели и ставит задачи, а большая языковая модель решает, какие команды выполнять, и отправляет их импланту в сети жертвы. Автономность без надзора превращает захваченные ресурсы в инструмент для скрытой добычи криптовалют и дальнейших атак. Как отмечает PagerDuty, внедряя ИИ-агента Paige для SRE, важно, чтобы у агента были чётко заданные права и уровни доверия: в одних сценариях он действует только с одобрения человека, в других — самостоятельно, но лишь в хорошо понятных и низкорисковых ситуациях, явно разрешённых командой. Без таких ограничений агент рискует стать не помощником, а вектором атаки.
Инцидент с исследователем безопасности Meta, чей ИИ-агент случайно удалил её электронные письма, — ещё одно напоминание: автономность требует контроля. По мере роста числа эксплойтов вроде P7 DarkSword и распространения агентных фреймворков (ARTEX, CyberStrikeAI) цена отсутствия надзора становится измеримой — в прямом смысле, в виде чужих вычислительных мощностей, превращённых в криптофермы.
Источник: hackernoon.com
Дополнительные источники: siliconangle.com, helpnetsecurity.com, thehackernews.com, github.com, bleepingcomputer.com, au.pcmag.com, redcaller.com, latchagent.com