Шкідник PoeLLM ховає адресу C2 у вірші на GitHub і захоплює відкриті ШІ-сервери для майнінгу

Дослідники Black Lotus Labs із компанії Lumen описали сімейство шкідливих програм, яке вони назвали PoeLLM: воно зламує доступні з інтернету ШІ- та LLM-сервери, встановлює на них майнери криптовалюти, а потім використовує захоплені машини для пошуку нових жертв. Фінансово мотивовану кампанію дослідники назвали Canto Incognito. За даними The Hacker News і BleepingComputer, від початку активності у квітні 2026 року заражено понад 3 400 серверів; The Register, посилаючись на тих самих дослідників, називає цифру понад 3 000. BleepingComputer зазначає, що в початково отриманій ним версії звіту йшлося про 2 100 скомпрометованих серверів; згодом в опублікованому звіті дослідники збільшили це число.

Назва шкідника пов’язана з тим, як він знаходить свій сервер керування. За словами дослідників, оператор зберігає вірш під назвою «On the Nature of Connection» у файлі dash.css у репозиторії GitHub, який є форком вихідного коду сайту Node.js. PoeLLM — за даними BleepingComputer, це ELF-файл з ім’ям libgcrypt — зчитує чотири слова або фрази з фіксованих позицій у вірші, перетворює їх на числа за допомогою вбудованого в код словника і складає з них адресу IPv4. Щоб змінити сервер, операторові достатньо відредагувати кілька слів. Перший коміт було зроблено 13 квітня 2026 року, і відтоді вірш змінювався 11 разів, повідомляють The Register і BleepingComputer. У Black Lotus Labs розповіли The Register, що в тексті немає посилань, завантажень чи зашифрованих рядків, за якими його можна було б вважати шкідливим, що команда зіткнулася з такою технікою вперше і що, на її думку, сам вірш написав ШІ.

Після встановлення PoeLLM запускає майнери XMRig та Iron і підключає жертв до Kryptex — російського сервісу для майнінгу криптовалюти, як його описують The Hacker News і BleepingComputer. Шкідник також має функції віддаленої командної оболонки, сканування та експлуатації вразливостей. За даними BleepingComputer, заражені хости сканують порти 3000 і 4000, пов’язані з Gotenberg і LiteLLM, та намагаються експлуатувати CVE-2026-42271 — вразливість у тестових ендпоінтах MCP-сервера LiteLLM, яку під час першого розкриття описували як таку, що потребує автентифікації; дослідники Horizon.ai стверджують, що її можна поєднати в ланцюжок із CVE-2026-48710 для віддаленого виконання коду без автентифікації. За даними The Register, більшість жертв використовували відкриті версії LiteLLM та Ollama, а сотні — конвертер PDF Gotenberg або платформу розробки Gitea. The Register додає, що Black Lotus Labs уперше помітила шкідника під час розслідування вразливості Ivanti Sentry, CVE-2026-10520. Жертви зосереджені у США та Західній Європі.

Black Lotus Labs з помірною впевненістю приписує кампанію італомовному зловмиснику, посилаючись на коментарі італійською мовою у шкідливому коді та на сторінках нападника на GitHub, а також на дані netflow; BleepingComputer додає, що адміністративний інтерфейс розміщувався на сервері в Італії. Кілька C2-серверів відкривали вразливі сторінки адміністрування маршрутизаторів, що дослідники розцінюють як ознаку того, що нападник повторно використовував скомпрометовані роутери. The Hacker News наводить слова компанії про те, що пік кампанії припав на середину червня — тоді було уражено майже 2 200 серверів, з яких майже 800 були активні щодня, — а новіший трафік, спрямований на SSH та інші сторінки входу, вказує на експерименти з розподіленими атаками методом перебору, ступінь зрілості яких поки що неясний. Для захисту BleepingComputer радить адміністраторам встановлювати актуальні оновлення безпеки, за можливості не виставляти критично важливі системи в публічний інтернет, обмежити зовнішній доступ довіреними IP-адресами та шукати в мережевих журналах підключення до індикаторів компрометації, опублікованих Black Lotus Labs.

За словами дослідників, ШІ-інфраструктура приваблює зловмисників не лише вразливостями в програмному забезпеченні, а й тим, що такі сервери можуть зберігати корисні дані й часто працюють на обладнанні з GPU, придатному для майнінгу. Вони сказали The Register, що кампанія, схоже, незвичайна тим, що атакує одразу кілька пов’язаних зі ШІ сервісів, тоді як компрометація ланцюга постачання LiteLLM цього року була зосереджена на одному сервісі й, за даними відкритих джерел, зачепила близько 2 500 жертв. У Black Lotus Labs заявили, що очікують нових атак такого типу, оскільки ШІ-інструменти спрощують розгортання сервісів на кшталт LiteLLM, Ollama чи Gotenberg без перевірки того, чи оновлені вони та чи захищені.