Ботнет управлялся стихотворением с GitHub — заражено 3400 серверов
Исследователи Black Lotus Labs обнаружили ботнет PoeLLM, который использует стихотворение, опубликованное на GitHub, для управления заражёнными серверами. Вредоносная программа заражает системы, запускающие уязвимые версии открытых LLM-инструментов, таких как Ollama и LiteLLM, а также PDF-конвертер Gotenberg. По данным Lumen Technologies, пик атаки пришёлся на июнь 2026 года, когда было заражено около 2200 серверов, до 800 из них были активны ежедневно. Всего вредонос поразил 3400 серверов. Об этом рассказывает издание BGR.
Стихотворение под названием «On the Nature of Connection», вероятно, было сгенерировано искусственным интеллектом и замаскировано в безобидном файле. Четыре закреплённых слова в тексте служили ключом к IPv4-адресу командного сервера. Встроенный в вредонос примитивный шифр сопоставлял слова с числами: например, driver — 92, diode — 119, decryption — 164, string — 74. Заражённые машины преобразовывали слова в числа и собирали адрес вида 92.119.165.74. Хакер менял слова в стихотворении, чтобы перенаправлять ботнет на новые командные серверы — с момента обнаружения текст обновлялся не менее 11 раз.
PoeLLM использовался для майнинга криптовалюты и кражи данных, а также для поиска и эксплуатации новых уязвимых систем. Такая автоматизированная схема позволяет злоумышленникам быстро расширять сеть заражённых машин. Из двенадцати обнаруженных C2-адресов три до сих пор активны. Исследователи отмечают, что открытые LLM-инструменты особенно уязвимы из-за децентрализованной инфраструктуры и внешних зависимостей, а большинство заражённых систем работали на устаревшем программном обеспечении.
Lumen Black Lotus рекомендует регулярно проверять сетевые журналы, обращать внимание на аномальное поведение и своевременно устанавливать обновления. Простая перезагрузка роутера может помочь устранить потенциальное вредоносное ПО, а пропуск обновлений прошивки подвергает риску всю домашнюю сеть и подключённые устройства.
