O endereço do servidor de comando está em um poema no GitHub, e o primeiro deles era um roteador no Brasil

Como o poema vira endereço

O repositório é uma bifurcação do código-fonte do nodejs.org, publicada por um usuário de nome ejejejdfbbebe. Dentro dele há um arquivo chamado dash.css que não contém folha de estilo nenhuma, e sim um poema intitulado On the Nature of Connection. O malware lê esse arquivo, extrai quatro palavras de posições fixas do texto e usa um dicionário embutido para converter cada palavra em um número. Os quatro números, em ordem, formam o endereço IPv4 do servidor de comando.

O exemplo que a Black Lotus Labs documenta é direto: as palavras driver, diode, decryption e string produzem 92.119.165.74. Para mudar de servidor, o operador não precisa atualizar o malware nem redistribuir carga. Basta editar o poema. Entre 13 de abril e setembro de 2026 o texto foi alterado 11 vezes, e só as palavras-chave mudaram. A lógica de decodificação permaneceu igual todo esse tempo.

É um canal de resolução de comando que se esconde bem por três razões. A primeira é que o tráfego é para o GitHub, que ninguém bloqueia e quase ninguém inspeciona. A segunda é que o arquivo tem extensão .css em um repositório que parece ser de um projeto conhecido, então inspeção superficial não acha nada. A terceira é que não existe domínio para derrubar nem endereço fixo para colocar em lista de bloqueio: a lista muda quando o autor edita um poema.

A graça técnica não deve esconder o tamanho do problema. Isso é uma camada de ocultação de resolução, não de execução. Quem detecta por comportamento, e não por indicador, continua vendo um servidor minerar criptomoeda e varrer a internet. A engenhosidade atrasa a atribuição e o bloqueio, não a detecção.

Como o servidor é comprometido

A varredura é de internet inteira, concentrada em duas portas: a 3000, padrão do Gotenberg, e a 4000, padrão do LiteLLM. Alvo vulnerável recebe uma requisição POST montada que faz o próprio servidor baixar um arquivo do servidor de comando na porta 81. A avaliação é de que o caminho de exploração no LiteLLM passa pelo endpoint /mcp-rest/test/connection, associado à CVE-2026-42271.

A partir daí o host infectado recebe shell remoto, instala os mineradores XMRig e Iron, e passa a varrer e explorar em nome da operação, sinalizando para o comando nas portas 3778, 5001, 5002 ou 9999. A própria investigação começou por outro caminho: os pesquisadores chegaram à infraestrutura analisando a CVE-2026-10520, no Ivanti Sentry, que também pode ter sido usada como alvo.

Nada disso exige falha nova ou cadeia sofisticada. Exige um serviço de inferência respondendo na internet sem autenticação, que é o estado padrão de boa parte dos projetos de IA que saíram de prova de conceito sem passar por revisão de segurança.

A infraestrutura, que é onde a história encosta na região

O comando e controle não roda em nuvem contratada. Roda em roteador vulnerável com servidor web Boa exposto, o tipo de equipamento doméstico ou de pequeno escritório que fica anos sem atualização de firmware porque o fabricante parou de publicar.

O primeiro servidor de comando da campanha, identificado em abril, foi 191.37.28.160, um roteador no Brasil. Em maio apareceu um roteador na China, 120.224.114.212. Os pesquisadores avaliam com confiança moderada que o servidor administrativo do operador é 185.119.19.171, na Itália, e atribuem a operação a alguém que fala italiano, com base em comentários no código e no perfil dos alvos dedicados.

Vale ler o papel do Brasil nessa história com precisão, porque ele se repete. A vítima brasileira aqui não é alvo de espionagem nem de extorsão. É infraestrutura gratuita. Um roteador residencial com interface web antiga exposta tem endereço com reputação limpa, fica ligado 24 horas e pertence a alguém que nunca vai olhar o registro de conexão. Para quem opera uma botnet, isso vale mais do que um servidor pago, e não deixa rastro de pagamento.

É o mesmo padrão que apareceu há poucos dias em outra campanha, com site de pequena empresa sul-americana sendo usado como etapa de entrega de malware. Duas histórias diferentes, mesmo insumo escasso: ativo da região com reputação boa e sem dono atento.

O tamanho, com a ressalva que a própria análise deixa

A divergência entre 2.200 e 3.400 está no próprio documento e não é reconciliada nele. Vale registrar em vez de escolher o número maior: a ordem de grandeza é de alguns milhares de servidores, e a precisão não muda nenhuma decisão operacional.

O que vem depois da mineração

A atividade recente inclui experimentos de força bruta distribuída contra SSH e contra portal de autenticação. A maturidade dessa parte é incerta, e boa parte dos alvos eram servidores dedicados na Itália, o que sugere teste em terreno conhecido do operador.

Essa é a parte que merece atenção de quem está decidindo prioridade. Mineração é o uso mais barato e menos lucrativo de um servidor comprometido. Quando um operador de botnet de mineração começa a testar força bruta de credencial, ele está procurando o uso seguinte do mesmo acesso. Servidor de inferência guarda chave de provedor de modelo, histórico de prompt e, cada vez mais, credencial de ferramenta interna conectada por protocolo de contexto. O valor disso é muito maior do que o do Monero que a CPU produz.

Caça e contenção

• Varrer o próprio espaço de endereço público nas portas 3000, 4000, 11434 e nas portas alternativas em que a equipe de dados costuma subir serviço. A resposta útil é a lista, não a estimativa.
• Alertar em conexão de saída para porta 81 e para as portas de sinalização 3778, 5001, 5002 e 9999 a partir de servidor de aplicação. Servidor de inferência que inicia conexão para porta ímpar é anomalia suficiente.
• Procurar, no registro de proxy e de DNS, requisição de servidor de produção para o GitHub buscando arquivo isolado. Clonagem de repositório é normal; leitura periódica de um arquivo só, por processo que não é o pipeline, não é.
• Medir uso de CPU por processo e não só em média. Minerador moderno se regula para não chamar atenção.
• Em host confirmado, rotacionar chave de provedor de modelo, token de repositório e qualquer segredo acessível pelo processo, antes de reinstalar. Reinstalar primeiro e rotacionar depois é a ordem que deixa o atacante com a chave.
• Colocar Gotenberg, Gitea e qualquer utilitário de conversão atrás de firewall. São serviços internos que não têm razão para responder na internet, e estão na lista de alvos por isso.

A lição que não é sobre poema

Vale separar o que é curiosidade do que é problema. O poema é curiosidade, e é a parte que vai circular. O problema é que a infraestrutura de IA entrou em produção com o padrão operacional de software interno e a exposição de software de borda. Ferramenta de inferência sobe rápido, é documentada com exemplo que escuta em todas as interfaces, não tem autenticação ligada por padrão e é instalada por quem responde por entrega de produto, não por risco.

Na mesma semana, quatro alvos de infraestrutura de IA cederam em um concurso de segurança e um deles, o LiteLLM, aparece como alvo principal desta botnet. Não é coincidência de agenda. É a mesma camada sendo medida por dois métodos diferentes e dando o mesmo resultado.