Malware PoeLLM verbergt C2-adres in gedicht op GitHub en kaapt blootgestelde AI-servers voor mining

Onderzoekers van Black Lotus Labs van Lumen hebben een malwarefamilie in kaart gebracht die zij PoeLLM noemen. De malware dringt AI- en LLM-servers binnen die vanaf het internet bereikbaar zijn, installeert cryptominers en gebruikt de gekaapte machines vervolgens om nieuwe slachtoffers te zoeken. De onderzoekers gaven de financieel gemotiveerde campagne de naam Canto Incognito. Volgens The Hacker News en BleepingComputer zijn sinds het begin van de activiteit in april 2026 meer dan 3.400 servers geïnfecteerd; The Register, dat dezelfde onderzoekers aanhaalt, spreekt van meer dan 3.000. BleepingComputer merkt op dat de versie van het rapport die het eerst ontving 2.100 gecompromitteerde servers noemde, een aantal dat de onderzoekers in het gepubliceerde rapport later verhoogden.

De naam van de malware verwijst naar de manier waarop die zijn command-and-controlserver vindt. Volgens de onderzoekers bewaart de operator een gedicht met de titel “On the Nature of Connection” in een bestand met de naam dash.css, in een GitHub-repository die een fork is van de broncode van de Node.js-website. PoeLLM, volgens BleepingComputer een ELF-binary met de naam libgcrypt, leest vier woorden of zinsdelen op vaste posities in dat gedicht, zet ze met een in de code ingebouwd woordenboek om in getallen en stelt daaruit een IPv4-adres samen. Om van server te wisselen hoeft de operator slechts een paar woorden aan te passen. De eerste commit werd gedaan op 13 april 2026 en het gedicht is sindsdien 11 keer gewijzigd, melden The Register en BleepingComputer. Black Lotus Labs vertelde The Register dat de tekst geen links, downloads of versleutelde strings bevat die hem als kwaadaardig zouden verraden, dat het team deze techniek voor het eerst zag en dat het denkt dat het gedicht zelf door AI is geschreven.

Eenmaal geïnstalleerd draait PoeLLM de miners XMRig en Iron en verbindt het slachtoffers met Kryptex, dat The Hacker News en BleepingComputer omschrijven als een Russische miningdienst. De malware bevat ook functies voor een remote shell, scannen en exploits. Volgens BleepingComputer scannen geïnfecteerde hosts de poorten 3000 en 4000, die worden geassocieerd met Gotenberg en LiteLLM, en proberen ze CVE-2026-42271 te misbruiken, een kwetsbaarheid in de testendpoints van de MCP-server van LiteLLM die bij de eerste bekendmaking als alleen met authenticatie uitbuitbaar werd beschreven; onderzoekers van Horizon.ai zeggen dat die kan worden gecombineerd met CVE-2026-48710 voor het uitvoeren van code op afstand zonder authenticatie. De meeste slachtoffers draaiden volgens The Register blootgestelde versies van LiteLLM en Ollama, terwijl honderden de pdf-converter Gotenberg of het ontwikkelplatform Gitea gebruikten. The Register voegt eraan toe dat Black Lotus Labs de malware voor het eerst opmerkte bij onderzoek naar een kwetsbaarheid in Ivanti Sentry, CVE-2026-10520. De slachtoffers zijn geconcentreerd in de Verenigde Staten en West-Europa.

Black Lotus Labs schrijft de campagne met gemiddelde zekerheid toe aan een Italiaanstalige actor en wijst daarbij op Italiaans commentaar in de malware en op de GitHub-pagina's van de aanvaller, evenals op netflowgegevens; BleepingComputer voegt eraan toe dat de beheerinterface werd gehost op een server in Italië. Verschillende C2-servers toonden kwetsbare beheerpagina's van routers, wat de onderzoekers zien als een teken dat de aanvaller gecompromitteerde routers hergebruikte. The Hacker News citeert het bedrijf met de uitspraak dat de campagne medio juni een piek bereikte met bijna 2.200 getroffen servers, waarvan bijna 800 per dag actief, en dat nieuwer verkeer gericht op SSH en andere inlogpagina's wijst op experimenten met gedistribueerde brute-forceaanvallen, waarvan nog onduidelijk is hoe ver die zijn ontwikkeld. Ter verdediging adviseert BleepingComputer beheerders actuele beveiligingsupdates te installeren, kritieke systemen waar mogelijk van het openbare internet te houden, externe toegang te beperken tot vertrouwde IP-adressen en netwerklogs te doorzoeken op verbindingen met de indicators of compromise die Black Lotus Labs heeft gepubliceerd.

Volgens de onderzoekers trekt AI-infrastructuur aanvallers niet alleen aan door softwarefouten, maar ook omdat zulke servers nuttige gegevens kunnen bevatten en vaak draaien op GPU-hardware die geschikt is voor mining. Zij vertelden The Register dat de campagne ongebruikelijk lijkt omdat ze zich op meerdere AI-gerelateerde diensten tegelijk richt, terwijl de supplychainaanval op LiteLLM dit jaar zich op één dienst concentreerde en volgens open bronnen ongeveer 2.500 slachtoffers trof. Black Lotus Labs zei meer aanvallen van dit soort te verwachten, omdat AI-tools het volgens het team gemakkelijker maken om diensten als LiteLLM, Ollama of Gotenberg op te zetten zonder te controleren of ze gepatcht en beveiligd zijn.