Майнер PoeLLM заразил более 3400 серверов через ИИ-сервисы

Исследователи Black Lotus Labs из Lumen зафиксировали кампанию Canto Incognito с апреля 2026 года: майнер PoeLLM поразил свыше 3400 серверов, в основном с открытыми ИИ-сервисами LiteLLM, Ollama, Gotenberg и Gitea. Адрес C2-сервера малварь получает из стихотворения на GitHub, которое менялось 11 раз.

• Поражено более 3400 серверов, кампания отслеживается с апреля 2026 года
• C2-адрес кодируется четырьмя словами из стихотворения на GitHub, обновлялось 11 раз
• Полезная нагрузка — майнеры XMRig и Iron, связанные с Kryptex
• Цели — LiteLLM, Ollama, Gotenberg и Gitea; патч LiteLLM 1.83.7 и выше