Dikten är kommandokanalen
Forskare vid Lumens Black Lotus Labs har publicerat en genomgång av en kryptoutvinningskampanj de följer under namnet Canto Incognito, vars skadekod — PoeLLM — räknar ut vart den ska ringa hem genom att läsa en dikt.
Dikten, med titeln “On the Nature of Connection”, ligger i en fil som heter dash.css i ett GitHub-arkiv som ser ut som en förgrening av källkoden till Node.js webbplats. Den har ingenting med Node.js att göra. PoeLLM tar fyra ord från fasta platser i texten och översätter vart och ett till ett tal via en inbyggd ordlista. De fyra talen bildar kommandoserverns IPv4-adress. I ett prov gav orden “driver”, “diode”, “decryption” och “string” adressen 92.119.165.74.
Operatören redigerade dikten elva gånger. Varje redigering styrde om alla infekterade maskiner till en ny server utan att skadekoden uppdaterades, eftersom botarna räknar om adressen själva. Eftersom den lagrade filen är ren text utan länk och utan nedladdning liknar den ingenting som en skanner är tränad att flagga.
Vilka som drabbades
Black Lotus Labs räknar till mer än 3 400 komprometterade servrar, koncentrerade till USA och Västeuropa. De flesta körde sårbara versioner av LiteLLM, ett proxylager för språkmodells-API:er, och Ollama, som kör modeller lokalt. Hundratals Gotenberg- och Gitea-servrar fastnade också.
Skanningen inriktades på portarna 3000 och 4000, standardportarna för Gotenberg och LiteLLM. Det prov forskarna undersökte nådde en LiteLLM-slutpunkt som nämns i CVE-2026-42271, en brist som tillåter kommandoinjektion, och som de betraktar som den sannolika vägen in. Teamet stötte först på PoeLLM när det utredde ett orelaterat intrång i Ivanti Sentry, då ett offer kontaktade kampanjens infrastruktur i början av juni.
Vad maskinerna sattes att göra
Infekterade värdar kör utvinnarna XMRig och Iron mot poolen Kryptex. Där ligger intäkten. Det mer obekväma för den som driver dessa tjänster är att skadekoden också installerar ett fjärrskal, en skanner för HTTP och HTTPS och förmågan att distribuera sårbarhetskod, vilket gör varje komprometterad AI-server till utrustning för att hitta nästa.
Senare aktivitet riktas mot SSH och inloggningsportaler, vilket forskarna läser som ett tidigt försök med distribuerad lösenordsknäckning. Kampanjen har pågått sedan april, då den första versionen av dikten laddades upp den 13:e.
Den praktiska läsningen
Inget i kampanjen är nytt som intrång. Det är hyllvara för kryptoutvinning som når en opatchad slutpunkt. Det som gör den värd att läsa är måltavlorna: den exponerade ytan hos egenhostad AI-infrastruktur är nu stor nog och enhetlig nog för att en vinstdriven operatör ska kunna bygga ett botnät på 3 400 maskiner enbart av den.
Den omedelbara åtgärden är smal. Den som kör LiteLLM bör ligga på en version efter rättningen av CVE-2026-42271, och den som har Ollama eller Gotenberg på en publik adress bör se över vad portarna är exponerade mot. Black Lotus Labs har publicerat indikatorer, däribland kommandoservrarna och skadekodens kontrollsummor.
