Безопасность 9 октября 2026, 11:07 МСК

Вредонос PoeLLM получает адрес C2-сервера из стихотворения на GitHub

Black Lotus Labs обнаружила вредонос PoeLLM, который вычисляет IP командного сервера по ключевым словам в стихотворении на GitHub и майнит Monero.

Исследователи из Black Lotus Labs (Lumen) назвали метод «вредоносной поэзией». Программа ищет в тексте слова, переводит их в числа по зашитому в код словарю, и из чисел складывается IPv4-адрес C2-сервера. Стихотворение, предположительно, создано ИИ.

Злоумышленник, действующий из Италии, атакует уязвимые сервисы вроде LiteLLM и Ollama. После заражения PoeLLM обычно ставит майнер XMRig для добычи Monero, а также может сканировать сеть в поисках новых жертв. Чтобы сменить инфраструктуру, достаточно изменить несколько слов в стихотворении: стихотворение уже обновлялось 11 раз, последний раз в сентябре 2026 года.

Кампанию назвали Canto Incognito. По оценке исследователей, пострадавших больше 3000, тогда как атака на цепочку поставок LiteLLM затронула около 2500. Охват нескольких сервисов позволил создать более крупный и прибыльный ботнет.

• Более 3000 пострадавших
• Стихотворение обновлялось 11 раз
• Цели: LiteLLM, Ollama и другие сервисы