Ver el código de «Campaña Canto Incognito / Malware PoeLLM (Botnet de Minería de Criptomonedas Dirigida a Infraestructura de IA/LLM)»

== Descripción General ==
Canto Incognito es una campaña de malware con fines lucrativos, descubierta y rastreada por Lumen Black Lotus Labs, que ataca infraestructuras expuestas de inteligencia artificial (IA) y modelos de lenguaje a gran escala (LLM) para desplegar mineros de criptomonedas y expandir una botnet de minería. El malware distribuido en esta campaña recibió el nombre en clave PoeLLM debido a una técnica "creativa" que oculta la dirección de comando y control (C2) dentro de un poema alojado en un repositorio de GitHub (<code>github[.]com/ejejejdfbbebe</code>).

La campaña está activa desde al menos abril de 2026 y ha afectado a más de 3,400 servidores víctima hasta la fecha, con un pico de actividad superior a 800 servidores activos por día a mediados de junio de 2026. Las infecciones se concentran principalmente en Estados Unidos y Europa Occidental.

El malware se dirige principalmente a implementaciones empresariales con acceso a internet, como LiteLLM y Gotenberg, así como a los dispositivos Gitea e Ivanti Sentry. Una vez comprometidos, los servidores infectados se convierten en escáneres y servidores de explotación, lo que permite al atacante encontrar y comprometer sistemas vulnerables adicionales, expandiendo así la botnet.

Black Lotus Labs ha atribuido la actividad a un atacante de habla italiana con un grado de confianza moderado, basándose en la presencia de artefactos en italiano (comentarios en el código) e indicadores de flujo de red. Como parte de su respuesta, Black Lotus Labs bloqueó todo el tráfico hacia y desde los servidores C2 de PoeLLM y protegió a los clientes de Lumen Defender.
----

== Nombres Alternativos / Alias ==

* PoeLLM (Nombre en clave del malware)
* Canto Incognito (Nombre de la campaña)
* Campaña de minería de criptomonedas dirigida a IA/LLM (Por el objetivo)
* Botnet de minería PoeLLM (Por el propósito)
* Poem-based C2 Malware (Por la técnica de C2)

----

== Fecha de Detección / Actividad ==

* Primera Confirmación en GitHub: 13 de abril de 2026 (primer commit del poema)
* Actividad Confirmada: Desde abril de 2026 hasta al menos octubre de 2026 (fecha de publicación del informe)
* Pico de Actividad: Mediados de junio de 2026 (casi 2,200 servidores afectados, ~800 activos por día)
* Estado: Activo. El malware continúa infectando nuevas víctimas. Tres C2 permanecen activos a la fecha de publicación.

----

== Actor de Amenaza (Atribución) ==

* Nombre del Actor: No identificado individualmente; rastreado como el actor detrás de Canto Incognito.
* Atribución: Atacante de habla italiana, con un grado de confianza moderado, basado en:
** Comentarios en italiano en el código del malware.
** Indicadores de flujo de red.
** Conexión a servidores geolocalizados en Italia (ej. <code>57.131.5[.]211:80</code>, dominio <code>malwarescan[.]xyz</code>).
* Tipo de Actor: Ciberdelincuente motivado financieramente, especializado en explotación de servicios expuestos, minería de criptomonedas y expansión de botnets.
* Sofisticación: Media-Alta. El actor demuestra:
** Uso de una técnica de C2 novedosa y resiliente basada en un poema en GitHub.
** Capacidad de explotar vulnerabilidades conocidas en servicios expuestos (LiteLLM, Gotenberg, Gitea, Ivanti Sentry).
** Reutilización de víctimas como escáneres y servidores de explotación.
** Posible experimentación con ataques de fuerza bruta distribuidos.
** Uso de routers vulnerables como infraestructura C2.

----

== Resumen Ejecutivo ==
Canto Incognito es una campaña de malware que explota infraestructuras de IA/LLM expuestas a internet para desplegar mineros de criptomonedas y expandir una botnet. El malware, denominado PoeLLM, utiliza una técnica de comando y control (C2) inusual y resiliente: la dirección del servidor C2 se deriva de palabras clave extraídas de un poema alojado en un repositorio de GitHub. Cuando el atacante cambia el poema, los sistemas infectados pueden calcular automáticamente la nueva ubicación del C2.

La campaña está activa desde al menos abril de 2026 y ha afectado a más de 3,400 servidores víctima. Los objetivos principales son implementaciones empresariales de servicios de IA/LLM con acceso a internet, como LiteLLM y Ollama, así como Gotenberg (un conversor de PDF de código abierto) y Gitea (un kit de herramientas de desarrollo de software). También se ha observado posible targeting de Ivanti Sentry.

El malware se despliega mediante explotación de vulnerabilidades conocidas en servicios expuestos públicamente. Una vez infectado, el servidor se convierte en parte de la botnet de minería, contactando con el servicio ruso de minería Kryptex a través de mineros como XMRig e Iron. Además, las víctimas se reutilizan como escáneres y servidores de explotación, permitiendo al atacante encontrar y comprometer sistemas adicionales.

Un aspecto notable es que el actor ha utilizado routers vulnerables como parte de su infraestructura C2, en lugar de alquilar servidores dedicados. Esto continúa la tendencia creciente de explotación de dispositivos de borde y red.

La campaña ha sido rastreada por Lumen Black Lotus Labs, que ha bloqueado todo el tráfico hacia y desde los servidores C2 de PoeLLM y ha protegido a los clientes de Lumen Defender. Se recomienda a los equipos de seguridad revisar los IOCs y las estrategias de mitigación proporcionadas.
----

== Vectores de Ataque / Métodos de Distribución ==

# Explotación de vulnerabilidades conocidas: El actor explota vulnerabilidades en servicios expuestos públicamente, como:
#* LiteLLM: CVE-2026-42271 (inyección de comandos en el endpoint <code>/mcp-rest/test/connection</code>).
#* Gotenberg: Servicio de conversión de PDF de código abierto, cuya guía de instalación advierte explícitamente contra la exposición a internet.
#* Gitea: Kit de herramientas de desarrollo de software.
#* Ivanti Sentry: CVE-2026-10520 (vulnerabilidad explotada en la investigación inicial).
#* Ollama: Servicio de IA/LLM de código abierto.
# Escaneo de internet: El actor realiza escaneos a gran escala en busca de servicios vulnerables, principalmente en los puertos 3000 (Gotenberg) y 4000 (LiteLLM).
# Solicitud POST maliciosa: Cuando se identifica un objetivo vulnerable, el servidor de explotación envía una solicitud HTTP POST diseñada para instruir al dispositivo a descargar el malware desde el C2 en el puerto 81.
# Descarga y ejecución del malware: El malware se descarga en el servidor víctima y se ejecuta, estableciendo comunicación con el C2 a través de los puertos 3778, 5001, 5002 o 9999.
# Expansión de la botnet: Las víctimas infectadas se convierten en escáneres y servidores de explotación, ampliando el alcance de la campaña.
# Minería de criptomonedas: El malware despliega mineros como XMRig e Iron, conectando las víctimas al servicio ruso de minería Kryptex.
# Posible fuerza bruta distribuida: Tráfico reciente hacia SSH y otros portales de inicio de sesión sugiere experimentación con ataques de fuerza bruta distribuidos, aunque la madurez de esta capacidad es incierta.

----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Initial Access (TA0001)
|Exploit Public-Facing Application (T1190)
|Explotación de vulnerabilidades en LiteLLM, Gotenberg, Gitea, Ivanti Sentry, Ollama.
|-
|Execution (TA0002)
|Command and Scripting Interpreter: Unix Shell (T1059.004)
|El malware incorpora funcionalidad de shell remoto.
|-
|Persistence (TA0003)
|Scheduled Task/Job (T1053)
|Posible persistencia mediante tareas programadas (no especificado explícitamente).
|-
|Defense Evasion (TA0005)
|Masquerading (T1036)
|El malware se disfraza como "libgcrypt" (una biblioteca legítima).
|-
|Defense Evasion (TA0005)
|Obfuscated Files or Information (T1027)
|Uso de un poema en GitHub para ocultar la dirección C2.
|-
|Discovery (TA0007)
|Network Service Scanning (T1046)
|Las víctimas infectadas se convierten en escáneres de red.
|-
|Command and Control (TA0011)
|Application Layer Protocol: Web Protocols (T1071.001)
|Comunicación C2 sobre HTTP/HTTPS.
|-
|Command and Control (TA0011)
|Dynamic Resolution (T1568)
|Uso de un poema en GitHub para derivar dinámicamente la dirección C2.
|-
|Command and Control (TA0011)
|Ingress Tool Transfer (T1105)
|Descarga de malware desde el C2 en el puerto 81.
|-
|Impact (TA0040)
|Resource Hijacking (T1496)
|Minería de criptomonedas mediante XMRig e Iron, conectando a Kryptex.
|-
|Impact (TA0040)
|Network Denial of Service (T1498)
|Potencial uso de la botnet para ataques de fuerza bruta distribuidos.
|}
----

== Flujo de Ataque (Cyber Kill Chain - Canto Incognito) ==

# Reconocimiento: El actor escanea internet en busca de servicios vulnerables, principalmente en los puertos 3000 (Gotenberg) y 4000 (LiteLLM).
# Armamento: El actor desarrolla el malware PoeLLM, que incluye:
#* Funcionalidad de shell remoto.
#* Mineros de criptomonedas (XMRig, Iron).
#* Capacidades de escaneo HTTP/S.
#* Mecanismo de C2 basado en un poema en GitHub.
#* Lógica de explotación para objetivos vulnerables.
# Entrega: El servidor de explotación envía una solicitud POST maliciosa al objetivo vulnerable, instruyéndolo a descargar el malware desde el C2.
# Explotación: Se explota una vulnerabilidad conocida (ej. CVE-2026-42271 en LiteLLM) para ejecutar código arbitrario.
# Instalación: El malware se descarga y ejecuta en el servidor víctima, estableciendo persistencia y comunicación con el C2.
# Comando y Control (C2): El malware contacta con el servidor C2, cuya dirección se deriva de palabras clave en un poema alojado en GitHub. El actor cambia el poema 11 veces desde abril de 2026 para apuntar a nuevos C2.
# Acción sobre Objetivos:
#* Minería de criptomonedas: El malware despliega mineros XMRig e Iron, conectando a la víctima al servicio Kryptex.
#* Expansión de la botnet: Las víctimas se convierten en escáneres y servidores de explotación.
#* Posible fuerza bruta distribuida: Experimentación con ataques de fuerza bruta contra SSH y otros portales de inicio de sesión.

----

== Infraestructura Utilizada ==
{| class="wikitable"
!Tipo
!Indicador / Característica
!Propósito
|-
|Repositorio GitHub
|<code>github[.]com/ejejejdfbbebe</code>
|Alojamiento del poema que oculta la dirección C2.
|-
|Poema C2
|"On the Nature of Connection" (archivo <code>dash.css</code>)
|Fuente de palabras clave para derivar la dirección C2.
|-
|Servidores C2
|12 direcciones IP identificadas (ver IOCs)
|Comando y control, descarga de payloads.
|-
|Servicio de Minería
|Kryptex (<code>5.180.174[.]162:8029</code>, <code>46.21.245[.]211:7029</code>)
|Minería de criptomonedas.
|-
|Mineros
|XMRig, Iron
|Minería de criptomonedas.
|-
|Routers Vulnerables
|Routers con servidores Boa expuestos (ej. <code>191.37.28[.]160</code>, <code>120.224.114[.]212</code>)
|Infraestructura C2 reutilizada.
|-
|Servidor Administrativo
|<code>185.119.19[.]171</code> (Italia)
|Interfaz administrativa del actor para gestionar C2 y botnet.
|-
|Dominio del Actor
|<code>malwarescan[.]xyz</code> (registrado en febrero de 2026)
|Posiblemente propiedad del creador de PoeLLM.
|}
----

== Objetivos y Sectores Afectados ==

* Objetivo Principal: Infraestructuras expuestas de IA/LLM y servicios de código abierto con acceso a internet.
* Servicios Específicos Afectados:
** LiteLLM (implementaciones empresariales)
** Ollama (servicio de IA/LLM)
** Gotenberg (conversor de PDF de código abierto)
** Gitea (kit de herramientas de desarrollo)
** Ivanti Sentry (dispositivo de seguridad)
* Sectores Afectados: General. Cualquier organización que exponga servicios de IA/LLM o herramientas de desarrollo a internet.
* Plataformas Afectadas: Principalmente servidores Linux (el malware es un archivo ELF).
* Distribución Geográfica: Global. Las infecciones se concentran en Estados Unidos y Europa Occidental.
* Número de Víctimas: Más de 3,400 servidores afectados.
* Pico de Actividad: Casi 2,200 servidores afectados a mediados de junio de 2026, con ~800 activos por día.

----

== Impacto y Riesgo ==

* Nivel de Riesgo: Alto para organizaciones que exponen servicios de IA/LLM o herramientas de desarrollo a internet sin autenticación ni monitoreo adecuado.
* Impacto Potencial:
** Resource Hijacking (Minería de Criptomonedas): Uso no autorizado de recursos computacionales (CPU/GPU) para minería, con el consiguiente aumento de costos operativos y degradación del rendimiento.
** Expansión de Botnet: Los servidores comprometidos se convierten en escáneres y servidores de explotación, ampliando el alcance de la campaña.
** Robo de Datos: Los servicios de IA/LLM pueden contener datos valiosos (modelos, prompts, datos de entrenamiento, información empresarial).
** LLMjacking: Uso no autorizado de recursos de LLM para generar spam, desinformación o revender acceso a otros grupos criminales.
** Movimiento Lateral: Los atacantes pueden utilizar las víctimas como punto de apoyo para atacar otros sistemas en la red.
** Posible Fuerza Bruta Distribuida: Experimentación con ataques de fuerza bruta contra SSH y otros portales de inicio de sesión.
** Pérdida de Confianza: El compromiso de infraestructura de IA puede socavar la confianza en los servicios de IA empresariales.

----

== Recomendaciones de Mitigación ==

=== Para Defensores de Red y Usuarios de Servicios de IA/LLM ===

# Inspeccionar registros de monitoreo de red en busca de conexiones a los IOCs (también disponibles en la página de GitHub de Black Lotus Labs).
# Auditar continuamente la exposición externa después de instalar nuevas herramientas de código abierto y restringir los puertos de servicio requeridos al acceso externo en la medida de lo posible.
# Seguir las mejores prácticas para routers, firewalls y dispositivos IoT, incluyendo reinicios regulares y actualizaciones y parches de seguridad oportunos.
# Considerar un Secure Access Service Edge (SASE) gestionado para reducir la superficie de ataque externa y mantener los dispositivos actualizados.
# Utilizar herramientas de gestión y monitoreo de superficie de ataque para reducir el riesgo de dispositivos expuestos.
# No exponer servicios de IA/LLM a internet sin autenticación y monitoreo adecuados. La guía de instalación de Gotenberg advierte explícitamente contra esto.
# Incorporar herramientas de IA en la gestión de superficie de ataque y en los ciclos de parcheo y actualización.
# Monitorear el uso de tokens y recursos computacionales para detectar minería no autorizada o LLMjacking.
# Implementar autenticación fuerte en todos los servicios de IA/LLM expuestos.
# Revisar y restringir los permisos de tool-calling en implementaciones de LLM, ya que esta capacidad amplía significativamente el modelo de amenaza.

----

== Herramientas de Detección ==

* Monitoreo de red: Inspección de tráfico hacia los IOCs (direcciones IP C2, puertos 3000, 4000, 81, 3778, 5001, 5002, 9999).
* Análisis de procesos: Detección de mineros XMRig e Iron en ejecución.
* Auditoría de servicios expuestos: Verificación de que LiteLLM, Ollama, Gotenberg y Gitea no estén expuestos a internet sin autenticación.
* Monitoreo de GitHub: Seguimiento del repositorio <code>github[.]com/ejejejdfbbebe</code> para detectar cambios en el poema C2.
* Análisis de registros DNS: Detección de conexiones a <code>malwarescan[.]xyz</code> y dominios de Kryptex.
* EDR/XDR: Detección de comportamientos anómalos (escaneo de red, conexiones salientes a C2, ejecución de mineros).
* Herramientas de gestión de superficie de ataque: Identificación de servicios expuestos y vulnerables.

----

== Indicadores de Compromiso (IOCs) ==

=== Servidores C2 de PoeLLM (12 identificados; 3 activos a la fecha de publicación) ===
Activos:

* <code>92.119.164.50</code> (primera vez visto: 23 de julio de 2026)
* <code>103.249.201.108</code> (primera vez visto: 13 de agosto de 2026)
* <code>178.128.14.204</code> (primera vez visto: 16 de junio de 2026)

Históricos:

* <code>191.37.28.160</code> (13 de abril – 16 de mayo de 2026)
* <code>89.39.253.46</code> (14 de abril – 24 de junio de 2026)
* <code>120.224.114.212</code> (9 de mayo – 8 de septiembre de 2026)
* <code>5.78.73.122</code> (8 de junio – 22 de agosto de 2026)
* <code>15.204.178.28</code> (14 de junio – 17 de agosto de 2026)
* <code>92.119.165.74</code> (1 de julio – 23 de julio de 2026)
* <code>45.133.73.28</code> (18 de julio – 22 de julio de 2026)
* <code>185.132.53.158</code> (19 de julio – 12 de septiembre de 2026)
* <code>136.148.69.233</code> (12 de septiembre – 25 de septiembre de 2026)

=== Otros IOCs ===
{| class="wikitable"
!Tipo
!Valor
|-
|Repositorio GitHub
|<code>github[.]com/ejejejdfbbebe</code>
|-
|Archivo del poema
|<code>dash.css</code>
|-
|Nombre del poema
|"On the Nature of Connection"
|-
|Malware (ELF)
|<code>libgcrypt</code> (hash: <code>6fab94577364beec314afae3b082dd680933f08a8349b9f35b92667e8231b501</code>)
|-
|URLs maliciosas
|<code>hxxp://5.78.73[.]122:81/private/python3.6</code>, <code>hxxp://5.78.73[.]122:81/private/bins.sh</code>
|-
|Dominio del actor
|<code>malwarescan[.]xyz</code>
|-
|Servidor administrativo
|<code>185.119.19[.]171</code> (Italia)
|-
|Servidor inicial (Brasil)
|<code>191.37.28[.]160</code> (router con Boa web server en puerto 2222)
|-
|Servidor inicial (Italia)
|<code>57.131.5[.]211:80</code>
|-
|Kryptex (minería)
|<code>5.180.174[.]162:8029</code>, <code>46.21.245[.]211:7029</code> (edge-ru-07[.]kryptex[.]network)
|-
|Puertos C2
|81, 3778, 5001, 5002, 9999
|-
|Puertos objetivo
|3000 (Gotenberg), 4000 (LiteLLM)
|-
|Vulnerabilidades explotadas
|CVE-2026-42271 (LiteLLM), CVE-2026-10520 (Ivanti Sentry), CVE-2018-21027, CVE-2018-21028 (routers Boa)
|-
|Mineros
|XMRig, Iron
|}
----

== Referencias y Fuentes ==

* Lakshmanan, R. (2026, 7 de octubre). ''El malware PoeLLM infecta más de 3400 servidores para expandir su botnet de minería de criptomonedas''. The Hacker News.
* Black Lotus Labs. (2026, 7 de octubre). ''Canto incognito: tracking the PoeLLM malware''. Lumen Technologies.
* Lakshmanan, R. (2026, 29 de enero). ''Researchers Find 175,000 Publicly Exposed Ollama AI Servers Across 130 Countries''. The Hacker News.
* SentinelOne SentinelLABS & Censys. (2026). ''Joint Investigation on Exposed Ollama Infrastructure''.
* Pillar Security. (2026). ''Operation Bizarre Bazaar: LLMjacking Marketplace''.
* MITRE ATT&CK Framework. Enterprise Matrix. (Para mapeo de TTPs).

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-10-08
|1.0
|Fernando Vargas Hincapié
|Creación inicial de la entrada basada en los informes de The Hacker News y Lumen Black Lotus Labs sobre la campaña Canto Incognito / malware PoeLLM.
|}
----

== Etiquetas / Categorías ==
<code>poellm</code> <code>canto-incognito</code> <code>botnet</code> <code>criptomineria</code> <code>mineria-de-criptomonedas</code> <code>ia</code> <code>llm</code> <code>litellm</code> <code>ollama</code> <code>gotenberg</code> <code>gitea</code> <code>ivanti-sentry</code> <code>c2</code> <code>command-and-control</code> <code>github</code> <code>poema</code> <code>kryptex</code> <code>xmrig</code> <code>iron</code> <code>explotacion-de-vulnerabilidades</code> <code>cve-2026-42271</code> <code>cve-2026-10520</code> <code>llmjacking</code> <code>escaneo-de-red</code> <code>fuerza-bruta-distribuida</code> <code>black-lotus-labs</code> <code>lumen</code> <code>infraestructura-de-ia</code> <code>seguridad-de-ia</code> <code>octubre-2026</code>