Специалисты Black Lotus Labs обнаружили вредоносную кампанию Canto Incognito, использующую метод «вредоносной поэзии» для управления серверами. Программа PoeLLM атакует уязвимые сервисы, включая LiteLLM и Ollama.
Вредонос считывает стихотворение на GitHub, преобразуя ключевые слова в числа согласно встроенному словарю. Из полученных значений формируется IPv4-адрес командного сервера, что позволяет злоумышленнику менять инфраструктуру, просто редактируя текст.
С момента публикации стихотворение обновлялось 11 раз, последнее изменение зафиксировано в сентябре 2026 года. После получения инструкций программа обычно разворачивает майнер XMRig для добычи Monero или сканирует сеть для поиска новых целей.
Атака затронула более 3000 жертв, охватывая сразу несколько сервисов, связанных с искусственным интеллектом. Это отличает кампанию от других атак текущего года, например, инцидента с LiteLLM, где пострадало около 2500 систем.
