Шкідлива програма PoeLLM уразила понад 3400 серверів через вірш на GitHub

Шкідлива програма для криптомайнінгу PoeLLM у межах кампанії Canto Incognito уразила понад 3400 серверів. Більшість постраждалих систем працювали на вразливих версіях відкритих сервісів для ШІ та мовних моделей, зокрема LiteLLM і Ollama, повідомляє Tom's Hardware з посиланням на дослідників Black Lotus Labs компанії Lumen.

Кампанію відстежують із квітня 2026 року. За даними дослідників, зловмисне програмне забезпечення застосовувало незвичний механізм керування: адресу серверів командування і контролю воно отримувало з чотирьох слів у двострофовому вірші, опублікованому на GitHub. Від квітня ці слова змінювали 11 разів, перенаправляючи заражені сервери на нові адреси.

Вірш як канал керування

Вірш під назвою On the Nature of Connection уперше додали до GitHub у квітні. PoeLLM вибирає визначені слова з його тексту та перетворює їх на IPv4-адресу сервера керування. За оцінкою Black Lotus Labs, автори шкідливого ПЗ на час підготовки звіту не змінювали схему розшифрування повідомлення.

Дослідники зазначили, що використання поезії допомагало приховати важливі для ботнету дані. Водночас цей метод не пов'язаний із prompt injection, обходом обмежень ШІ-моделей або так званою ворожою поезією для мовних моделей.

Цілі та майнінгове навантаження

Основними цілями кампанії були LiteLLM — проксі-сервер для доступу до API мовних моделей, а також Gotenberg, Docker-орієнтований API для конвертації PDF. Серед інших уражених або потенційно атакованих продуктів фахівці назвали Ollama, платформу самостійного розгортання моделей із відкритими вагами, Gitea та корпоративний шлюз Ivanti Sentry.

Корисне навантаження PoeLLM складалося з майнерів XMRig та Iron, які підключалися до інфраструктури Kryptex. Заражені сервери також ставали сканерами та серверами для експлуатації вразливостей. У Black Lotus Labs зазначили, що спільною ознакою перших 900 жертв був зв'язок із кінцевою точкою російського сервісу криптомайнінгу.

Імовірним шляхом проникнення до LiteLLM дослідники назвали вразливість CVE-2026-42271, що давала змогу виконати команду на хості через спеціально сформований POST-запит без перевірки ролі. Виправлення для LiteLLM доступне з квітня; рекомендована версія — 1.83.7 або новіша. На момент публікації звіту активними залишалися три з 12 серверів керування, а кампанія продовжувала заражати нові системи.