Вредонос PoeLLM превратил обычное стихотворение в инструмент управления ботнетом и заразил более 3400 серверов. Вместо привычного адреса командного центра программа ищет подсказки в строках на GitHub. Под удар попали в том числе серверы с искусственным интеллектом.
Необычную кампанию Canto Incognito обнаружили специалисты Black Lotus Labs компании Lumen Technologies. Атаки продолжаются как минимум с апреля 2026 года. Основными целями стали открытые для интернета установки LiteLLM и Ollama, а также сервис преобразования PDF Gotenberg и платформа разработки Gitea. Большинство пострадавших серверов находится в США и Западной Европе.
Главная особенность PoeLLM скрывается в способе поиска управляющего сервера. Злоумышленник разместил на GitHub стихотворение «On the Nature of Connection» в файле dash.css, добавленном в копию репозитория сайта Node.js. Вредонос извлекает четыре определённых слова, сопоставляет каждое с числом из встроенного словаря и собирает IP-адрес командного центра.
Чтобы перенаправить заражённые машины на другой сервер, оператору достаточно поменять несколько слов в стихотворении. Остальной текст остаётся прежним. С 13 апреля исследователи зафиксировали 11 изменений, причём каждая редакция указывала на новый адрес. Такой приём позволяет менять инфраструктуру без обновления самого вредоноса и усложняет поиск управляющих узлов.
Заражение начинается с поиска уязвимых сервисов, доступных извне. Особое внимание PoeLLM уделяет портам 3000 и 4000, которые используют Gotenberg и LiteLLM. После обнаружения подходящей цели атакующий сервер отправляет специально подготовленный HTTP-запрос, заставляющий систему загрузить вредоносный файл. Среди возможных путей атаки исследователи выделили уязвимость CVE-2026-42271 в LiteLLM.
После заражения PoeLLM запускает майнеры XMRig и Iron, подключая вычислительные ресурсы жертв к инфраструктуре Kryptex. Часть захваченных машин начинает искать новые цели и распространять вредонос дальше. Исследователи также заметили попытки обращаться к SSH и другим интерфейсам входа, но пока не установили, насколько развита функция массового подбора паролей.
В исследовании Black Lotus Labs говорится, что за время кампании пострадало более 3400 серверов. На пике активности почти 800 заражённых машин работали одновременно в течение суток. Специалисты связывают операцию с италоязычным злоумышленником, опираясь на комментарии в коде и сетевые следы, но личность организатора остаётся неизвестной.
Lumen заблокировала обмен трафиком с выявленными управляющими серверами PoeLLM в своей сети. Администраторам рекомендуют закрыть ненужный внешний доступ к ИИ-сервисам, установить обновления и проверить сетевые журналы по опубликованным индикаторам компрометации. История PoeLLM показывает, как обычный текстовый файл на популярной платформе может стать частью инфраструктуры кибератаки.
