PoeLLM: ботнет на 3400 серверов управляется через стихотворение на GitHub

Black Lotus Labs обнаружила ботнет PoeLLM, заразивший около 3400 серверов с уязвимыми версиями Ollama, LiteLLM и Gotenberg. Команды и адреса C2-серверов передаются через стихотворение на GitHub: замена четырёх слов в тексте меняет IP управляющего сервера. Основная нагрузка — майнинг и кража криптовалюты.

• Заражено около 3400 серверов, пик атаки — почти 2200 машин в июне 2026 года
• Стихотворение на GitHub обновлялось минимум 11 раз для смены C2-адреса
• Из 12 найденных C2-IP три остаются активными
• Атака шла через уязвимые Ollama, LiteLLM и PDF-конвертер Gotenberg