PoeLLM napadl přes 3 000 serverů se zranitelnými nástroji pro AI

Malware PoeLLM od dubna 2026 napadl přes 3 000 serverů, především v USA a západní Evropě. Zasáhl zejména veřejně dostupné instalace nástrojů LiteLLM a Ollama.

Útočník na napadených serverech spouští programy XMRig a Iron pro těžbu kryptoměn. Využívá přitom cizí procesory a grafické karty. Napadené stroje slouží také ke skenování dalších zranitelností a k následným útokům. Útočník je tak zapojuje do botnetu, tedy sítě zařízení ovládaných bez vědomí jejich provozovatelů.

PoeLLM získává adresu řídicího serveru z básně v souboru dash.css uloženém na GitHubu. Z textu vybere čtyři slova a pomocí vestavěného slovníku je převede na číselnou IP adresu. Úpravou básně může útočník napadené stroje přesměrovat na nový řídicí server, aniž by měnil samotný malware.

Black Lotus Labs označuje kampaň názvem Canto Incognito a jejího autora spojuje s Itálií. Podle výzkumníků jde o první skutečný útok, při kterém škodlivý kód používá takzvanou adversariální poezii. Tento pojem obvykle označuje básnicky formulované pokyny určené k obcházení bezpečnostních omezení jazykových modelů.

Mezi oběťmi byly také stovky serverů s převodníkem dokumentů Gotenberg a vývojovou platformou Gitea. Útočník mohl zneužívat také Ivanti Sentry. Na vrcholu kampaně přibývalo více než 800 napadených serverů denně.

U veřejně dostupných instalací LiteLLM, Ollama, Gotenberg, Gitea a Ivanti Sentry je namístě zkontrolovat aktualizace, nastavení přístupu a neobvyklé vytížení výpočetního výkonu. Zveřejněné informace spojují kampaň s internetově dostupnými servery, na nichž běžela některá z těchto služeb. Přesné zranitelné verze LiteLLM a Ollama ale neuvádějí.