Malware PoeLLM Infeksi Lebih dari 3.400 Server AI untuk Cryptomining dan Penyebaran Serangan

Kampanye cryptomining menggunakan malware baru bernama PoeLLM telah menginfeksi lebih dari 3.400 server, terutama sistem yang menjalankan layanan artificial intelligence (AI) dan aplikasi lain yang terekspos ke internet.

Peneliti keamanan dari Black Lotus Labs (BLL) milik Lumen Technologies menemukan bahwa malware tersebut tidak hanya digunakan untuk menambang cryptocurrency. Server yang berhasil dikompromikan juga diubah menjadi infrastructure untuk melakukan network scanning dan meluncurkan exploit terhadap target berikutnya.

Salah satu karakteristik paling menarik dari PoeLLM adalah metode untuk memperoleh alamat command-and-control (C2). Alih-alih menyimpan IP address secara langsung, malware membaca sejumlah kata dari sebuah puisi yang disimpan di GitHub, kemudian mengubahnya menjadi alamat IPv4.

Aktivitas PoeLLM telah terdeteksi setidaknya sejak April 2026 dan terus meningkat hingga Oktober, dengan ratusan compromised server aktif dalam satu hari.

Lebih dari 3.400 Server Terinfeksi PoeLLM

Menurut Black Lotus Labs, kampanye PoeLLM telah mengompromikan lebih dari 3.400 server.

Pada puncak aktivitas, peneliti mengamati hingga sekitar 800 infected system aktif dalam satu hari.

Sebagian besar target berada di Amerika Serikat dan Eropa Barat.

Operasi tersebut diketahui telah berlangsung sejak setidaknya April 2026, tetapi aktivitasnya meningkat secara signifikan dalam beberapa bulan berikutnya.

Peneliti juga mengidentifikasi sedikitnya 11 C2 server yang digunakan selama kampanye berlangsung.

Jumlah tersebut menunjukkan bahwa operator terus mengubah infrastructure untuk mempertahankan komunikasi dengan infected system dan mendukung penyebaran malware.

Server AI Menjadi Target Utama Cryptomining

PoeLLM menargetkan sejumlah aplikasi dan layanan yang dapat diakses melalui internet.

Beberapa teknologi yang ditemukan pada sistem korban mencakup:

• LiteLLM, platform yang menyediakan interface untuk mengakses berbagai large language model.
• Ollama, tool untuk menjalankan AI model secara lokal atau pada server.
• Gotenberg, layanan konversi dokumen dan PDF.
• Gitea, platform self-hosted untuk pengelolaan source code repository.

Peneliti juga menemukan indikasi aktivitas yang menargetkan Ivanti Sentry.

Tidak seluruh teknologi tersebut merupakan layanan AI. Namun, banyak deployment LiteLLM dan Ollama dijalankan pada infrastructure yang memiliki resource komputasi besar.

Server AI menjadi target menarik karena sering menggunakan CPU dan GPU berperforma tinggi untuk menjalankan inference workload.

Apabila attacker berhasil memperoleh akses, resource tersebut dapat dialihkan untuk cryptocurrency mining tanpa persetujuan pemiliknya.

Konfigurasi Server yang Terekspos Memperbesar Risiko

Black Lotus Labs mencatat bahwa AI dan LLM deployment sering memiliki configuration yang kurang aman.

Sebagian administrator menjalankan service dengan network interface yang dapat dijangkau langsung dari internet.

Dalam environment development, konfigurasi seperti ini terkadang digunakan untuk mempermudah testing atau remote access.

Namun, ketika authentication, access restriction, dan patch management tidak diterapkan dengan benar, server dapat menjadi target automated scanning.

Attacker dapat mencari service yang menggunakan default port atau menjalankan vulnerable version, kemudian mencoba memperoleh remote code execution.

Pada sistem dengan resource komputasi besar, successful compromise dapat memberikan keuntungan finansial langsung melalui cryptomining.

PoeLLM Menggunakan Puisi GitHub untuk Menentukan C2

Keunikan PoeLLM terletak pada metode command-and-control address generation.

Malware tersebut berupa executable Linux berformat ELF dengan nama libgcrypt.

Ketika dijalankan, PoeLLM mengambil informasi dari sebuah file bernama dash.css yang disimpan pada GitHub repository.

Repository tersebut terlihat seperti fork dari proyek Node.js.

Di dalam file terdapat sebuah puisi berjudul “On the Nature of Connection”.

PoeLLM membaca empat kata atau frasa tertentu dari puisi tersebut.

Kata-kata itu kemudian dicocokkan dengan hard-coded dictionary yang sudah tertanam dalam malware.

Hasil pencocokan diubah menjadi angka untuk membentuk sebuah IPv4 address yang digunakan sebagai C2 server.

Operator Cukup Mengubah Puisi untuk Mengganti Alamat C2

Metode tersebut memungkinkan operator mengubah destination C2 tanpa harus mendistribusikan malware binary baru.

Ketika ingin memindahkan C2 infrastructure, operator cukup mengubah kata atau frasa tertentu dalam puisi yang disimpan di GitHub.

Malware kemudian membaca versi terbaru dan menghasilkan IP address berbeda berdasarkan dictionary internalnya.

Menurut Black Lotus Labs, puisi tersebut telah mengalami 11 perubahan yang berkaitan dengan pergantian C2.

Peneliti juga menduga terdapat setidaknya satu perubahan tambahan yang belum sepenuhnya teridentifikasi.

Pendekatan ini berbeda dari malware yang menyimpan C2 address secara statis dalam binary atau configuration file lokal.

Dengan menggunakan public content sebagai sumber informasi, operator dapat memanfaatkan layanan legitimate untuk mendistribusikan perubahan infrastructure.

GitHub Digunakan sebagai Media Distribusi Konfigurasi

Penggunaan GitHub dalam kampanye PoeLLM tidak berarti platform tersebut telah dikompromikan.

Dalam kasus ini, GitHub digunakan sebagai tempat menyimpan content yang dibaca malware untuk menentukan alamat C2.

Teknik semacam ini memungkinkan attacker menyamarkan sebagian aktivitas configuration retrieval sebagai akses terhadap layanan internet legitimate.

Security monitoring yang hanya mengandalkan pemblokiran domain berbahaya dapat menghadapi tantangan karena request menuju GitHub tidak selalu mencurigakan.

Namun, komunikasi lanjutan menuju IP address yang dihasilkan tetap dapat dianalisis melalui network telemetry dan indicator of compromise.

Penggunaan public repository sebagai bagian dari C2 discovery juga menunjukkan bagaimana threat actor dapat menyalahgunakan layanan umum tanpa harus mengoperasikan seluruh komponen infrastructure sendiri.

PoeLLM Memiliki Remote Shell dan Dua Cryptocurrency Miner

Black Lotus Labs menemukan beberapa kemampuan utama dalam PoeLLM.

Malware tersebut menggabungkan functionality untuk remote command execution, cryptocurrency mining, scanning, dan exploit deployment.

Dua mining component yang diidentifikasi adalah XMRig dan Iron.

XMRig merupakan mining software yang dapat digunakan secara legitimate, tetapi sering disalahgunakan dalam cryptojacking campaign.

Selain menjalankan miner, PoeLLM menyediakan remote-shell functionality yang memungkinkan operator menjalankan perintah pada compromised system.

Kemampuan tersebut dapat digunakan untuk mengelola malware, melakukan perubahan configuration, atau menjalankan aktivitas tambahan pada server korban.

PoeLLM juga memiliki HTTP/S scanning capability untuk menemukan target lain yang berpotensi vulnerable.

Compromised Server Digunakan untuk Menyebarkan Malware

Setelah berhasil menginfeksi sebuah server, PoeLLM tidak berhenti pada cryptomining.

Server korban juga digunakan sebagai launchpad untuk serangan berikutnya.

Malware melakukan scanning terhadap target baru, terutama pada port yang berkaitan dengan aplikasi yang menjadi sasaran kampanye.

Port yang diamati mencakup:

• TCP 3000, yang digunakan oleh beberapa deployment Gotenberg.
• TCP 4000, yang berkaitan dengan deployment LiteLLM dalam kampanye ini.

Melalui scanning tersebut, operator dapat menemukan service yang terekspos dan berpotensi memiliki vulnerability.

PoeLLM kemudian mencoba menjalankan exploit terhadap target yang ditemukan.

Pendekatan ini memungkinkan botnet berkembang menggunakan resource dari compromised infrastructure, bukan hanya bergantung pada server yang dikendalikan langsung oleh operator.

CVE-2026-42271 Digunakan untuk Menargetkan LiteLLM

Salah satu vulnerability yang menjadi bagian dari kampanye adalah CVE-2026-42271.

Celah tersebut memengaruhi LiteLLM MCP server test endpoint.

Pada saat pertama kali diungkap, vulnerability tersebut dinilai memiliki tingkat keparahan tinggi dan dilaporkan membutuhkan authentication untuk dieksploitasi.

Namun, analisis lanjutan menunjukkan bahwa dampaknya dapat meningkat apabila digabungkan dengan vulnerability lain.

Peneliti Horizon3 mengonfirmasi bahwa CVE-2026-42271 dapat dirangkai dengan CVE-2026-48710 untuk menghasilkan unauthenticated remote code execution.

Kemampuan tersebut memungkinkan attacker menjalankan code pada vulnerable server tanpa terlebih dahulu memiliki legitimate credential, apabila kondisi exploit chain terpenuhi.

Exploit Chaining Memungkinkan RCE Tanpa Authentication

Exploit chaining merupakan teknik menggabungkan dua atau lebih vulnerability untuk memperoleh dampak yang tidak dapat dicapai oleh satu celah secara terpisah.

Dalam kasus LiteLLM, CVE-2026-42271 awalnya diketahui memiliki authentication requirement.

Namun, ketika digabungkan dengan CVE-2026-48710, peneliti menemukan jalur yang memungkinkan unauthenticated RCE.

Perbedaan tersebut sangat penting dari perspektif risk assessment.

Vulnerability yang awalnya terlihat hanya dapat dieksploitasi oleh authenticated user dapat menjadi jauh lebih berbahaya ketika terdapat kelemahan lain yang memungkinkan authentication requirement dilewati.

Bagi administrator, hal ini menunjukkan pentingnya memperbarui seluruh komponen yang terdampak dan tidak hanya memprioritaskan vulnerability berdasarkan penilaian awal secara terpisah.

Infrastruktur PoeLLM Terhubung ke Kryptex

Black Lotus Labs juga menemukan bahwa compromised system berkomunikasi dengan Kryptex, sebuah cryptocurrency mining service asal Rusia.

Komunikasi tersebut menjadi salah satu indikator bahwa cryptomining merupakan tujuan finansial utama operasi PoeLLM.

Dalam cryptojacking campaign, attacker menggunakan CPU atau GPU milik korban untuk menghasilkan cryptocurrency.

Pemilik server kemudian menanggung biaya listrik, resource utilization, cloud computing, serta kemungkinan penurunan performa service.

Pada cloud environment, penggunaan resource yang tidak sah dapat menyebabkan biaya operasional meningkat secara signifikan.

Jika server juga digunakan untuk AI inference atau application production, cryptomining dapat mengurangi kapasitas komputasi yang tersedia bagi legitimate workload.

Router yang Dikompromikan Diduga Digunakan sebagai C2

Analisis terhadap infrastructure PoeLLM mengungkap temuan lain.

Beberapa C2 server memiliki router administration interface yang vulnerable.

Kondisi tersebut membuat Black Lotus Labs menduga bahwa operator menggunakan router yang sebelumnya telah dikompromikan sebagai bagian dari infrastructure serangan.

Pemanfaatan compromised router dapat memberikan sejumlah keuntungan bagi attacker.

Router yang berada pada network pihak ketiga dapat digunakan sebagai perantara komunikasi, menyulitkan attribution, dan mengurangi ketergantungan terhadap hosting infrastructure yang didaftarkan langsung oleh operator.

Namun, temuan vulnerable administration interface saja tidak membuktikan seluruh router tersebut dikompromikan dengan metode yang sama.

Operator Diduga Berasal dari Italia

Black Lotus Labs belum dapat mengidentifikasi operator PoeLLM secara pasti.

Meski demikian, peneliti menilai dengan moderate confidence bahwa operator kemungkinan berasal dari Italia.

Penilaian tersebut didasarkan pada sejumlah petunjuk, termasuk komentar dalam malware dan keberadaan server di Italia yang meng-host administrative interface.

Namun, petunjuk bahasa dan lokasi server tidak dapat dianggap sebagai bukti definitif mengenai identitas maupun kewarganegaraan attacker.

Threat actor dapat menggunakan infrastructure di negara lain atau menambahkan komentar yang sengaja menyesatkan investigator.

Karena itu, attribution PoeLLM masih bersifat tentatif dan belum dikonfirmasi.

Cryptojacking pada Server AI Menjadi Ancaman Serius

Pertumbuhan penggunaan AI model di enterprise dan developer environment menciptakan attack surface baru.

Organisasi semakin banyak menjalankan inference server, model gateway, API endpoint, dan GPU-backed infrastructure untuk mendukung AI workload.

Sebagian deployment menggunakan self-hosted tool yang dapat diakses dari internet.

Jika tidak diamankan dengan benar, service tersebut dapat menjadi target attacker yang mencari computing resource untuk cryptomining.

Selain resource theft, malware seperti PoeLLM memperbesar risiko karena compromised server dapat digunakan untuk scanning dan menyerang organisasi lain.

Dengan demikian, sebuah server yang awalnya menjadi korban cryptojacking juga dapat berubah menjadi bagian dari distributed attack infrastructure.

Administrator Disarankan Membatasi Internet Exposure

Black Lotus Labs merekomendasikan sejumlah langkah untuk mengurangi risiko PoeLLM.

Prioritas pertama adalah memastikan service yang digunakan telah menjalankan latest security update.

Administrator perlu memeriksa deployment LiteLLM, Ollama, Gotenberg, Gitea, serta aplikasi lain yang dapat dijangkau dari internet.

Service yang tidak membutuhkan public access sebaiknya ditempatkan di private network atau hanya dapat diakses melalui VPN dan secure access gateway.

Untuk endpoint yang memang harus tersedia secara remote, akses dapat dibatasi menggunakan trusted IP address atau access control yang sesuai.

Pendekatan ini membantu mengurangi peluang automated scanner menemukan vulnerable service.

Monitoring CPU, GPU, dan Network Activity Penting

Karena PoeLLM digunakan untuk cryptomining, unusual resource consumption dapat menjadi salah satu indikator compromise.

Administrator perlu memperhatikan peningkatan CPU atau GPU utilization yang tidak sesuai dengan legitimate workload.

Aktivitas mining juga dapat menghasilkan outbound connection menuju mining service atau pool.

Selain itu, compromised system yang digunakan sebagai scanner mungkin menunjukkan lonjakan outbound connection menuju banyak IP address dan port.

Network monitoring dapat membantu mendeteksi pola tersebut.

Namun, resource utilization yang tinggi saja tidak cukup untuk memastikan adanya malware, terutama pada AI server yang memang dirancang untuk menjalankan workload berat.

Pemeriksaan perlu dikombinasikan dengan process analysis, network connection, executable file, persistence mechanism, dan indicator of compromise.

Periksa Indicator of Compromise dari Black Lotus Labs

Black Lotus Labs menyarankan administrator meninjau network monitoring log dan membandingkannya dengan indicator of compromise (IoC) yang dipublikasikan dalam laporan teknis mereka.

Pemeriksaan dapat mencakup C2 connection, suspicious executable, unexpected mining process, dan outbound scanning activity.

Organisasi yang menemukan tanda compromise sebaiknya tidak hanya menghentikan mining process.

Incident response perlu memastikan attacker tidak meninggalkan remote access mechanism atau persistence lain yang memungkinkan reinfection.

Jika credential atau secret pada server berpotensi terekspos, rotation juga perlu dipertimbangkan.

Sistem yang telah dikompromikan sebaiknya diperiksa secara menyeluruh sebelum kembali digunakan untuk production workload.

PoeLLM Memperlihatkan Evolusi Malware pada Infrastruktur AI

PoeLLM menunjukkan bagaimana threat actor memanfaatkan pertumbuhan infrastructure AI untuk memperoleh keuntungan finansial.

Dengan lebih dari 3.400 compromised server dan hingga 800 infected system aktif dalam satu hari, kampanye tersebut telah mencapai skala yang signifikan.

Malware ini juga menggabungkan sejumlah kemampuan yang membuatnya lebih berbahaya dibandingkan cryptominer sederhana.

PoeLLM dapat menjalankan remote shell, memasang mining component, melakukan HTTP/S scanning, dan meluncurkan exploit terhadap vulnerable service.

Penggunaan puisi di GitHub untuk menghasilkan C2 address menjadi teknik unik yang memungkinkan operator mengubah infrastructure melalui content publik.

Sementara itu, eksploitasi terhadap LiteLLM menunjukkan bagaimana vulnerability pada AI service dapat dimanfaatkan untuk memperluas botnet.

Bagi organisasi yang menjalankan self-hosted AI infrastructure, kasus ini menegaskan pentingnya patch management, pembatasan internet exposure, network monitoring, dan pengamanan administrative access.

Sumber: Lumen Technologies – Black Lotus Labs