PoeLLM: botnet de criptominería con el C2 oculto en un poema

El 7 de octubre de 2026 Black Lotus Labs, el equipo de investigación de Lumen Technologies, publicó el análisis de PoeLLM, un malware que entra en servicios de inteligencia artificial y herramientas de código abierto expuestos en Internet, los usa para minar criptomonedas y los convierte en nuevos atacantes. La campaña, llamada Canto Incognito, tiene una particularidad: la dirección del servidor de mando y control (C2) no está escrita en el malware, sino que se obtiene de un poema publicado en GitHub.

Qué ha pasado

Según los investigadores, la campaña está activa desde abril de 2026: el primer commit con el poema es del 13 de abril. CyberScoop y Help Net Security hablan de más de 3.400 servidores comprometidos, The Register de más de 3.000, sobre todo en Estados Unidos y Europa occidental. En el pico, según The Register, había más de 800 servidores infectados activos al día, y la campaña sigue sumando víctimas.

La mayoría de los servidores afectados exponía versiones vulnerables de LiteLLM y Ollama; varios cientos tenían Gotenberg (conversión a PDF) y Gitea (desarrollo de software). Los investigadores descubrieron PoeLLM mientras analizaban una vulnerabilidad de Ivanti Sentry, CVE-2026-10520: a principios de junio de 2026 un Ivanti Sentry comprometido contactó con el servidor 5.78.73[.]122 y poco después empezó a buscar otros dispositivos vulnerables. Las fuentes no nombran empresas afectadas.

Detalles técnicos

Acceso inicial. Desde mayo los atacantes escanearon Internet sobre todo en los puertos 3000 y 4000, los predeterminados de Gotenberg y LiteLLM. Cuando encuentran un servidor vulnerable, un servidor de exploits le envía una petición POST manipulada que le hace descargar un archivo del C2. En la muestra analizada, el endpoint de LiteLLM atacado es /mcp-rest/test/connection, relacionado con CVE-2026-42271, una vulnerabilidad de command injection de LiteLLM.

El poema como agenda de direcciones. El poema, titulado “On the Nature of Connection”, está en el archivo dash.css de un fork del código del sitio nodejs.org, publicado por el usuario de GitHub ejejejdfbbebe; el malware no tiene relación con Node.js. PoeLLM descarga el poema y extrae cuatro palabras de posiciones fijas, localizadas mediante fragmentos de texto que hacen de ancla (por ejemplo “In the silent hum of” y “of distant servers”, según The Register). Un diccionario escrito en el código convierte cada palabra en un número: los cuatro números forman la dirección IPv4 del C2. En una versión del poema, las palabras “driver”, “diode”, “decryption” y “string” daban 92.119.165.74.

Para mover el C2 basta con cambiar las palabras en GitHub: los bots calculan solos la nueva dirección, sin actualizar el malware. The Register y Help Net Security cuentan 11 modificaciones desde el primer commit, mientras que CyberScoop habla de al menos una docena; el método de decodificación no ha cambiado nunca. Según los investigadores, muchos de los C2 usados nunca aparecieron en las herramientas de seguridad colaborativas.

Qué hace en el servidor. PoeLLM ejecuta los mineros XMRig e Iron y conecta a las víctimas con la infraestructura de minería de Kryptex. Tiene una shell remota y funciones de escaneo HTTP/S y de envío de exploits: cada servidor comprometido se convierte en escáner y servidor de exploits, y así crece la botnet. Recientemente, grupos de bots han empezado a atacar SSH y otros portales de acceso: para los investigadores es señal de pruebas de ataques distribuidos de fuerza bruta, todavía en una fase inicial.

Atribución. Black Lotus Labs atribuye la campaña a un actor de habla italiana, con motivación económica: los comentarios en el código y en las páginas de GitHub están en italiano y los servidores usados para pruebas y C2 se encuentran en Italia; no han aparecido vínculos con otros grupos.

MITRE ATT&CK (mapeo a partir de los hechos publicados): T1190 (Exploit Public-Facing Application), T1105 (Ingress Tool Transfer), T1102.001 (Web Service: Dead Drop Resolver), T1496 (Resource Hijacking), T1595.002 (Vulnerability Scanning), T1110 (Brute Force).

Impacto para las empresas europeas e italianas

Europa occidental está entre las zonas más afectadas. El objetivo son servicios que muchas empresas han puesto en producción con prisa: pasarelas hacia los modelos de lenguaje, modelos ejecutados en casa, conversores de documentos, repositorios de código. La minería es el daño visible, pero los investigadores advierten de que el mismo acceso permite robo de credenciales, abuso de los tokens de los modelos, pérdida de datos y movimientos laterales.

Para las entidades sujetas a NIS2, los servicios de IA alojados por cuenta propia forman parte de la gestión de vulnerabilidades y activos; una intrusión con shell remota también debe evaluarse a efectos de la notificación al CSIRT nacional.

Qué hacer ya

1. Haz el inventario de las instancias de LiteLLM, Ollama, Gotenberg, Gitea e Ivanti Sentry accesibles desde Internet.
2. Elimina la exposición directa de lo que no deba ser público: acceso mediante VPN o proxy inverso con autenticación, puertos 3000 y 4000 cerrados hacia el exterior.
3. Actualiza LiteLLM a la versión que corrige CVE-2026-42271 e Ivanti Sentry por CVE-2026-10520, según los avisos de los fabricantes.
4. Busca indicios de compromiso: procesos de XMRig u otros mineros, uso anómalo de CPU y GPU, conexiones a pools de minería, peticiones POST a /mcp-rest/test/connection en los logs de LiteLLM.
5. Controla el tráfico de salida: escaneos hacia los puertos 3000, 4000 y 22 originados en tus servidores y peticiones a GitHub desde máquinas que no tienen motivo para hacerlas. Limita la salida de los servidores de IA a los destinos necesarios.
6. Compara los logs con 5.78.73.122, 92.119.165.74 y la lista completa de C2, con las fechas de primera y última observación, publicada por Black Lotus Labs.
7. Si encuentras un servidor comprometido, aíslalo, reconstrúyelo desde una imagen limpia y rota las claves API y los tokens configurados en el servicio.

Cómo ayuda ARXDOME

ARX Expose muestra desde fuera puertos abiertos, productos reconocidos y vulnerabilidades conocidas en los servicios públicos: ahí aparece una pasarela LLM expuesta por error. ARX Shield enumera las vulnerabilidades abiertas por máquina y paquete, con las ya explotadas destacadas, y permite aislar de la red un servidor sospechoso. ARX Sentry, con el agente para Linux, recoge procesos, puertos y software instalado y lleva a las páginas del SOC los logs de los firewalls, incluido el tráfico de salida bloqueado.

Última actualización: 8 de octubre de 2026