Dossier poellm-botnet-exposed-ai-serversLLMjackingMondial
Le botnet PoeLLM infecte 3 400 serveurs LiteLLM et Ollama exposés pour du cryptominage
Lumen Black Lotus Labs a suivi un implant ELF nommé libgcrypt qui dérive l'adresse de son C2 des mots d'un poème hébergé sur GitHub, balaie les ports 3000 et 4000, exploite la CVE-2026-42271 de LiteLLM et fait tourner les mineurs XMRig et Iron sur plus de 3 400 hôtes.
CritiqueAttaque contre l’IAStatut: En coursDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 7 oct. 2026
- Lieu
- Mondial
- Cible
- Serveurs LiteLLM, Ollama, Gotenberg et Gitea exposés
- Gravité
- Critique
- Déclenché par
- Inconnu ; évalué avec une confiance modérée comme basé en Italie
- Type d’acteur
- Criminel
- Perte déclarée
- Aucune déclarée
- CVE
- CVE-2026-42271
Ce qui s’est passé
Lumen Black Lotus Labs a suivi un implant ELF nommé libgcrypt qui dérive l'adresse de son C2 des mots d'un poème hébergé sur GitHub, balaie les ports 3000 et 4000, exploite la CVE-2026-42271 de LiteLLM et fait tourner les mineurs XMRig et Iron sur plus de 3 400 hôtes.
Impact: Plus de 3 400 serveurs compromis avec jusqu'à 800 actifs en une seule journée ; capacités de shell distant, de balayage et de diffusion d'exploits au-delà du minage
Qui l’a déclenché
Acteur: Inconnu ; évalué avec une confiance modérée comme basé en Italie
Attribution: Black Lotus Labs a évalué un opérateur italien d'après des commentaires de code et un panneau d'administration hébergé en Italie ; plusieurs C2 étaient des routeurs compromis
Mobile: Revenus de cryptominage via le service russe Kryptex
Comment c’est arrivé
Vecteur d’attaque: Exploitation des points de terminaison de test MCP de LiteLLM (CVE-2026-42271, enchaînable avec la CVE-2026-48710) et d'autres services exposés, puis shell distant et déploiement de mineurs
Cause racine: Passerelles IA et serveurs de modèles laissés exposés sur Internet et non corrigés contre des failles connues pour être exploitées
Chronologie
- La CISA ajoute la CVE-2026-42271 de LiteLLM au KEV
- Black Lotus Labs publie les conclusions PoeLLM ; victimes aux États-Unis et en Europe de l'Ouest
Réponse
Lumen a mis le trafic C2 en trou noir sur sa dorsale et publié des IOC ; les opérateurs sont invités à corriger LiteLLM et à isoler Ollama
Statut actuel: En cours
Sources (nouvel onglet)
- BleepingComputer bleepingcomputer.com
- BleepingComputer AI tag bleepingcomputer.com
Citer ce dossier
Le botnet PoeLLM infecte 3 400 serveurs LiteLLM et Ollama exposés pour du cryptominage. AI Threat Watch, dossier poellm-botnet-exposed-ai-servers, 7 oct. 2026. https://aithreat.io/fr/cases/poellm-botnet-exposed-ai-servers/
Lien permanent: https://aithreat.io/fr/cases/poellm-botnet-exposed-ai-servers/