PoeLLM читает адрес C2 из стихотворения в GitHub-репозитории

Black Lotus Labs обнаружила майнер PoeLLM: ELF-бинарник под видом libgcrypt берёт четыре слова из стихотворения в файле dash.css в поддельном форке Node.js и по словарю собирает IPv4-адрес C2. С апреля заражено более 3400 хостов, до 800 активных в день, минимум 11 C2-серверов; жертвы в США и Западной Европе.

• Для смены C2 оператор переписывает стихотворение — уже 11 редакций
• Цели — открытые в интернет LiteLLM, Ollama, Gotenberg, Gitea и Ivanti Sentry
• Атака использует цепочку CVE-2026-42271 и CVE-2026-48710 в LiteLLM
• Заражённые хосты майнят через Kryptex и сканируют порты 3000 и 4000