Skadeprogrammet PoeLLM gömmer sin C2-adress i en dikt på GitHub och kapar exponerade AI-servrar för kryptobrytning

Forskare vid Lumens Black Lotus Labs har dokumenterat en skadeprogramsfamilj som de kallar PoeLLM. Den tar sig in i AI- och LLM-servrar som är nåbara från internet, installerar program för kryptobrytning och använder sedan de kapade maskinerna för att leta efter fler offer. Forskarna har döpt den ekonomiskt motiverade kampanjen till Canto Incognito. Enligt The Hacker News och BleepingComputer har fler än 3400 servrar infekterats sedan aktiviteten inleddes i april 2026; The Register, som hänvisar till samma forskare, anger fler än 3000. BleepingComputer påpekar att den version av rapporten som sajten först fick angav 2100 komprometterade servrar, en siffra som forskarna senare höjde i den publicerade rapporten.

Skadeprogrammets namn syftar på hur det hittar sin kommando- och kontrollserver. Enligt forskarna förvarar operatören en dikt med titeln ”On the Nature of Connection” i en fil som heter dash.css, i ett GitHub-repo som är en fork av källkoden till webbplatsen för Node.js. PoeLLM, enligt BleepingComputer en ELF-binär med namnet libgcrypt, läser fyra ord eller fraser från fasta positioner i dikten, omvandlar dem till siffror med hjälp av en ordlista inbyggd i koden och sätter ihop en IPv4-adress av dem. För att byta server behöver operatören bara ändra några ord. Den första commiten gjordes den 13 april 2026 och dikten har sedan dess ändrats 11 gånger, rapporterar The Register och BleepingComputer. Black Lotus Labs sa till The Register att texten inte innehåller några länkar, nedladdningar eller krypterade strängar som skulle avslöja den som skadlig, att tekniken var en första för teamet och att man tror att själva dikten skrevs av AI.

När PoeLLM väl är installerat kör det kryptobrytarna XMRig och Iron och kopplar offren till Kryptex, som The Hacker News och BleepingComputer beskriver som en rysk tjänst för kryptobrytning. Det har även funktioner för fjärrskal, skanning och exploatering. Enligt BleepingComputer skannar infekterade värdar portarna 3000 och 4000, som förknippas med Gotenberg och LiteLLM, och försöker utnyttja CVE-2026-42271, en brist i testslutpunkterna för MCP-servern i LiteLLM som först beskrevs som att den krävde autentisering; forskare vid Horizon.ai säger att den kan kedjas med CVE-2026-48710 för fjärrkörning av kod utan autentisering. De flesta offren körde exponerade versioner av LiteLLM och Ollama, enligt The Register, medan hundratals körde PDF-konverteraren Gotenberg eller utvecklingsplattformen Gitea. The Register tillägger att Black Lotus Labs först upptäckte skadeprogrammet när de undersökte en sårbarhet i Ivanti Sentry, CVE-2026-10520. Offren är koncentrerade till USA och Västeuropa.

Black Lotus Labs tillskriver med måttlig säkerhet kampanjen en italiensktalande aktör och hänvisar till italienska kommentarer i skadeprogrammet och på angriparens GitHub-sidor samt till netflow-data; BleepingComputer tillägger att administrationsgränssnittet låg på en server i Italien. Flera C2-servrar exponerade sårbara administrationssidor för routrar, vilket forskarna tolkar som ett tecken på att angriparen återanvände komprometterade routrar. The Hacker News citerar företaget som säger att kampanjen nådde sin topp i mitten av juni med nästan 2200 drabbade servrar, varav nästan 800 var aktiva per dag, och att nyare trafik riktad mot SSH och andra inloggningssidor tyder på experiment med distribuerade brute force-attacker vars mognadsgrad ännu är oklar. Som försvar råder BleepingComputer administratörer att installera aktuella säkerhetsuppdateringar, hålla kritiska system borta från det öppna internet där det är möjligt, begränsa extern åtkomst till betrodda IP-adresser och söka i nätverksloggar efter anslutningar till de indikatorer på intrång som Black Lotus Labs har publicerat.

Forskarna säger att AI-infrastruktur lockar angripare inte bara genom mjukvarubrister utan också för att sådana servrar kan innehålla användbar data och ofta körs på GPU-hårdvara som lämpar sig för kryptobrytning. De sa till The Register att kampanjen verkar ovanlig genom att den angriper flera AI-relaterade tjänster samtidigt, medan årets intrång i leveranskedjan för LiteLLM fokuserade på en tjänst och drabbade ungefär 2500 offer enligt öppna källor. Black Lotus Labs sa att man räknar med fler attacker av det här slaget och menar att AI-verktyg gör det enklare att sätta upp tjänster som LiteLLM, Ollama eller Gotenberg utan att kontrollera att de är uppdaterade och skyddade.