Ne oldu?
Lumen'in siber güvenlik araştırma ekibi Black Lotus Labs, PoeLLM adlı bir kripto madenciliği zararlısının 3.400'den fazla kurban sunucuyu vurduğunu bildirdi. Kampanya Canto Incognito adıyla anılıyor ve Nisan 2026'dan beri izleniyor. Zararlı, komuta-kontrol (C2) mekanizması için GitHub'daki iki kıtalık bir şiiri kullanıyor: şiirdeki dört kelime, etkilenen ana makineleri yeni C2 sunucularına yönlendirmek üzere adres kodlaması için kullanılıyor. Şiir şu ana kadar 11 kez değiştirildi.
Vurulan sunucuların çoğu, LiteLLM ve Ollama gibi açık kaynak AI/LLM servislerinin savunmasız sürümlerini çalıştırıyor gibi görünüyor. Nisan ayındaki bir LiteLLM düzeltmesi muhtemelen sömürü yolunu kapattı. Zararlının yükü XMRig ve Iron madencilerinden oluşuyor ve Kryptex madencilik altyapısına bağlanıyor. Enfekte sunucular ayrıca tarayıcı ve sömürü sunucusu haline geliyor.
Lumen'e göre ilk 900 kurban arasındaki birincil ortak nokta, Rus kripto madenciliği servisi için bir uç nokta ile temastı. Bu durum, zararlının finansal motivasyonlu olabileceğine işaret ediyor. Lumen, PoeLLM C2 sunucularına giden ve gelen tüm trafiği engellediğini belirtti.
Birincil hedefler arasında, şirketlerin uygulamalarını tek bir uç noktadan birçok modele yönlendirmesini sağlayan LLM API'leri çağırmak için bir proxy sunucusu (AI Gateway) olan LiteLLM bulunuyor. Yine hedefler arasında, internet'e açılmaması gerektiğine dair bir uyarı içeren Docker tabanlı PDF dönüştürme API'si Gotenberg, açık ağırlıklı modelleri kendi donanımınızda çalıştırmaya izin veren Ollama (varsayılan olarak internete açık değil) ve kendi sunucunuzda barındırılan Git platformu Gitea yer alıyor. Kurumsal ağ geçidi cihazı Ivanti Sentry de hedeflenmiş olabilir; Lumen kampanyayı bir Ivanti Sentry örneği üzerinden keşfetti.
Zararlının metodolojisi şiir kullansa da bu yalnızca enfekte sunucuları C2 sunucusuna yönlendirmek içindir. Bu, zararlı istekler veya prompt injection yoluyla bir AI jailbreak'i ya da geçen yıl bir makalede tanımlanan 'adversarial poetry' değildir. 'On the Nature of Connection' adlı şiir ilk kez Nisan ayında yayımlandı ve her yeni sürüm yeni bir C2 sunucusuna işaret ediyor. Zararlı, belirli kelimeleri çekip bir IPv4 adresine dönüştürerek yeni adresi çözebiliyor. Lumen'e göre raporun yayımlandığı sırada zararlı yazarı şiiri deşifre etmede kullanılan deseni değiştirmedi.
Araştırmacılar The Register'a, bir şiir kullanmanın muhtemelen gizleme açısından yardımcı olduğunu çünkü şiirin önemli bir mesajı saklamak için mükemmel bir araç olduğunu söyledi. Zararlı, kamuya açık servislerin zafiyet sömürüsü yoluyla dağıtılıyor ve geniş tarama Mayıs ayında başladı. LiteLLM için, bağlantı uç noktasına yapılan özel bir POST isteği muhtemelen sömürü yoluydı; bu, iki uç noktanın rol kontrolü olmadan ana makinede sağlanan bir komutu çalıştırdığı bir kusura (CVE-2026-42271) dayanıyordu. CISA, CVE-2026-42271'i Haziran ayında sömürülen zafiyetler listesine ekledi. Lumen, Ollama, Gotenberg ve Gitea için sömürü yöntemlerinin ayrıntılarını vermedi.
Kendi sistemlerini kontrol etmek isteyenler, Lumen'in GitHub sayfasında listelenen ihlal göstergeleri için bağlantı günlüklerine bakmalı. Herhangi bir açık kaynak araç kurarken dışa açık maruziyet denetlenmeli ve gereksiz portlar kapatılmalı. Tüm ağ cihazları yamalanmalı. Zafiyetli ürünler için bireysel uyarılar takip edilmeli: LiteLLM 1.83.7 veya üstü ve Ivanti Sentry R10.5.2, R10.6.2 ya da R10.7.1. Lumen raporunu yayımladığında 12 C2 sunucusundan üçü hâlâ aktifti ve kampanya yeni kurbanları enfekte etmeye devam ediyordu. Lumen yeni trafik için izlemeye devam edeceğini belirtti. Lumen'e göre AI altyapısı büyüdükçe kurumsal saldırı yüzeyleri hızla genişliyor ve bunun gibi daha fazla saldırı olası görünüyor.
Bu tablo, PoeLLM'in yalnızca bir fırsatçı madencilik zararlısı olmadığını, aynı zamanda AI altyapısına yönelik hedefli bir tehdit olduğunu gösteriyor. Kampanyanın şiir gibi yaratıcı bir yöntemle C2 adreslerini gizlemesi, saldırganların tespit edilmemek için ne kadar esnek olabileceğini ortaya koyuyor. Aşağıda, bu kampanyanın arka planına, çalışma mekanizmasına ve etkilerine daha yakından bakıyoruz.
Arka plan
Canto Incognito kampanyası, Nisan 2026'da izlenmeye başlandı. Aynı ay, 'On the Nature of Connection' adlı şiir ilk kez yayımlandı ve LiteLLM için bir düzeltme yayımlandı; bu düzeltme muhtemelen sömürü yolunu kapattı. Mayıs 2026'da zararlının geniş taraması başladı. Haziran 2026'da CISA, CVE-2026-42271'i sömürülen zafiyetler listesine ekledi. 11 Ekim 2026'da Tom's Hardware, Lumen'in PoeLLM zararlısı hakkındaki raporunu haberleştirdi.
Kripto madenciliği zararlıları, ele geçirdikleri sunucuların işlem gücünü kullanarak kripto para madenciliği yapar. Bu tür zararlılar genellikle XMRig gibi madencilik yazılımlarını içerir. PoeLLM örneğinde yük, XMRig ve Iron madencilerinden oluşuyor ve Kryptex madencilik altyapısına bağlanıyor. Enfekte sunucular ayrıca tarayıcı ve sömürü sunucusu haline geliyor; yani başka sistemleri tarayıp sömürmek için kullanılıyor.
Komuta-kontrol (C2) sunucusu, zararlının uzaktan talimat aldığı ve veri gönderdiği merkezi sunucudur. Zararlılar genellikle C2 adreslerini gizlemek için çeşitli kodlama yöntemleri kullanır. PoeLLM, bu amaçla GitHub'daki bir şiiri kullanıyor. Şiirdeki dört kelime, bir IPv4 adresine dönüştürülerek yeni C2 adresi elde ediliyor. Şiir her değiştiğinde yeni bir C2 sunucusuna işaret ediyor; şu ana kadar 11 değişiklik yapıldı.
Lumen, ilk 900 kurban arasındaki birincil ortak noktanın Rus kripto madenciliği servisi için bir uç nokta ile temas olduğunu belirtti. Bu, zararlının finansal motivasyonlu olabileceğine işaret ediyor. Lumen'e göre AI altyapısı, açıkta kalan AI servisleri değerli veriler ve özellikle GPU'lar gibi donanım erişimi içerebileceğinden cazip bir hedef haline geliyor.
AI altyapısının cazip bir hedef olmasının birkaç nedeni var. Öncelikle, bu sistemler genellikle yüksek işlem gücüne sahip GPU'lar barındırır; bu da kripto madenciliği için idealdir. İkincisi, açık kaynak AI servisleri sıklıkla yanlış yapılandırılır ve internete açık hale gelir. Üçüncüsü, bu servisler değerli verilere erişim sağlayabilir. Saldırganlar için bu, hem finansal kazanç hem de veri hırsızlığı anlamına gelir. PoeLLM özelinde, zararlının finansal motivasyonlu olduğu düşünülüyor; ancak AI altyapısına erişim, gelecekte daha karmaşık saldırılar için bir basamak olarak da kullanılabilir.
Kampanyanın keşfi, bir Ivanti Sentry örneği üzerinden gerçekleşti. Ivanti Sentry, kurumsal ağ geçidi cihazı olarak kullanılır ve bu tür cihazlar genellikle kritik altyapıda yer alır. Lumen, Ivanti Sentry'nin 'hedeflenmiş olabileceğini' belirtti, ancak kesin bir doğrulama yapılmadı. Bu belirsizlik, kampanyanın kapsamının tam olarak anlaşılmasını zorlaştırıyor.
Nasıl çalışıyor?
PoeLLM'in çalışma şekli birkaç aşamada gerçekleşiyor. İlk aşamada zararlı, kamuya açık servislerin zafiyet sömürüsü yoluyla dağıtılıyor. Geniş tarama Mayıs 2026'da başladı. LiteLLM için, bağlantı uç noktasına yapılan özel bir POST isteği muhtemelen sömürü yoluydı. Bu istek, iki uç noktanın rol kontrolü olmadan ana makinede sağlanan bir komutu çalıştırdığı bir kusura (CVE-2026-42271) dayanıyordu. CISA, bu zafiyeti Haziran 2026'da sömürülen zafiyetler listesine ekledi. Lumen, Ollama, Gotenberg ve Gitea için sömürü yöntemlerinin ayrıntılarını vermedi.
Zararlı bir kez çalıştığında, komuta-kontrol adresini çözmek için GitHub'daki şiiri kullanıyor. 'On the Nature of Connection' adlı şiir ilk kez Nisan 2026'da yayımlandı. Şiirdeki dört kelime, adres kodlaması için kullanılıyor. Zararlı, belirli kelimeleri çekip bir IPv4 adresine dönüştürerek yeni adresi çözebiliyor. Şiir her değiştiğinde (şu ana kadar 11 kez), zararlı yeni bir C2 sunucusuna yönlendiriliyor. Lumen'e göre raporun yayımlandığı sırada zararlı yazarı şiiri deşifre etmede kullanılan deseni değiştirmedi.
C2 bağlantısı kurulduktan sonra zararlı, yükünü indiriyor. Yük, XMRig ve Iron madencilerinden oluşuyor ve Kryptex madencilik altyapısına bağlanıyor. Bu madenciler, sunucunun işlem gücünü kullanarak kripto para madenciliği yapıyor. Ayrıca enfekte sunucular tarayıcı ve sömürü sunucusu haline geliyor; yani diğer sistemleri tarayıp sömürmek için kullanılıyor. Bu, zararlının yayılmasını kolaylaştırıyor.
Lumen, PoeLLM C2 sunucularına giden ve gelen tüm trafiği engellediğini belirtti. Raporda, 12 C2 sunucusundan üçünün hâlâ aktif olduğu ve kampanyanın yeni kurbanları enfekte etmeye devam ettiği belirtildi. Lumen, yeni trafik için izlemeye devam edeceğini açıkladı.
Zararlının metodolojisi şiir kullansa da bu yalnızca enfekte sunucuları C2 sunucusuna yönlendirmek içindir. Bu, zararlı istekler veya prompt injection yoluyla bir AI jailbreak'i ya da geçen yıl bir makalede tanımlanan 'adversarial poetry' değildir. Araştırmacılar The Register'a, bir şiir kullanmanın muhtemelen gizleme açısından yardımcı olduğunu çünkü şiirin önemli bir mesajı saklamak için mükemmel bir araç olduğunu söyledi.
Şiir kullanımı, geleneksel C2 gizleme yöntemlerinden farklı. Genellikle saldırganlar, C2 adreslerini DNS kayıtları, sosyal medya profilleri veya kısa ömürlü alan adları üzerinden gizler. Ancak şiir gibi yaratıcı bir yöntem, hem dikkat çekmez hem de tespit edilmesi zordur. Şiirin her değişikliği, yeni bir C2 sunucusuna işaret ettiği için, güvenlik ekiplerinin engelleme çabalarını da zorlaştırır. Lumen'in tüm C2 trafiğini engellediğini açıklaması, bu tür dinamik yöntemlere karşı bir önlem olarak görülebilir.
Rakiplerle kıyas
Bu kampanyada rakiplerle doğrudan bir kıyas verisi bulunmuyor. Ancak Lumen'e göre AI altyapısı büyüdükçe kurumsal saldırı yüzeyleri hızla genişliyor ve bunun gibi daha fazla saldırı olası görünüyor. Bu, AI altyapısının cazip bir hedef haline geldiğini gösteriyor.
AI altyapısına yönelik saldırılar, geleneksel sunucu saldırılarından farklı dinamikler taşıyor. Örneğin, AI modelleri genellikle büyük miktarda veri ve işlem gücü gerektirir; bu da onları hem veri hırsızlığı hem de kripto madenciliği için çekici kılar. Ayrıca, AI servisleri sıklıkla açık kaynak topluluklar tarafından geliştirilir ve hızlı güncellemeler alır; bu da yamalama süreçlerini karmaşıklaştırabilir. PoeLLM gibi zararlılar, bu açıkları kullanarak yayılır. Gelecekte benzer saldırıların artması bekleniyor çünkü AI altyapısı hem yaygınlaşıyor hem de değerli kaynaklar barındırıyor.
Kimler için ne anlama geliyor?
Geliştiriciler için: Açık kaynak AI/LLM servisleri kullanan geliştiriciler, bu tür zararlılara karşı dikkatli olmalı. LiteLLM, Ollama, Gotenberg ve Gitea gibi araçlar hedefleniyor. Özellikle LiteLLM için 1.83.7 veya üstü sürüm kullanılmalı. Ollama varsayılan olarak internete açık değil, ancak yanlış yapılandırma risk oluşturabilir. Geliştiriciler, kullandıkları açık kaynak araçların güvenlik güncellemelerini takip etmeli ve gereksiz portları kapatmalı.
Şirketler için: Kurumsal ağlarda AI altyapısı kullanılıyorsa, bu kampanya ciddi bir uyarı. Lumen'e göre AI altyapısı, açıkta kalan AI servisleri değerli veriler ve özellikle GPU'lar gibi donanım erişimi içerebileceğinden cazip bir hedef haline geliyor. Şirketler, ağ cihazlarını yamamalı ve zafiyetli ürünler için bireysel uyarıları takip etmeli. Ivanti Sentry kullanılıyorsa R10.5.2, R10.6.2 ya da R10.7.1 sürümlerine güncellenmeli. Ayrıca, Lumen'in GitHub sayfasında listelenen ihlal göstergeleri için bağlantı günlükleri kontrol edilmeli.
Sıradan kullanıcılar için: Bu zararlı öncelikle sunucuları hedefliyor, kişisel bilgisayarları değil. Ancak kullanıcılar, kullandıkları çevrimiçi hizmetlerin güvenliğine dikkat etmeli. Eğer bir hizmet AI altyapısı kullanıyorsa ve güvenlik ihlali yaşanırsa, kişisel veriler risk altına girebilir. Kullanıcılar, güçlü parolalar kullanmalı ve hizmetlerin güvenlik duyurularını takip etmeli.
Türkiye'ye özel: Bu konuda Türkiye'ye özel bir bilgi bulunmuyor.
Sınırlar ve açık sorular
Lumen'in raporunun tam yayım tarihi belirtilmedi. Zararlının Ollama, Gotenberg ve Gitea sistemlerine hangi yöntemlerle sızdığı açıklanmadı. Ivanti Sentry'nin hedeflendiği kesin olarak doğrulanmadı; Lumen, 'hedeflenmiş olabilir' ifadesini kullandı. İlk 900 kurbanın iletişimde olduğu Rus kripto madenciliği servisinin adı paylaşılmadı. Kampanyanın arkasındaki tehdit aktörü veya grup kimliği belirlenmedi. Lumen, raporunda 12 C2 sunucusundan üçünün hâlâ aktif olduğunu ve kampanyanın yeni kurbanları enfekte etmeye devam ettiğini belirtti. Şirket, yeni trafik için izlemeye devam edeceğini açıkladı.
