PoeLLM: botnet di cryptomining con il C2 nascosto in una poesia

Il 7 ottobre 2026 Black Lotus Labs, il gruppo di ricerca di Lumen Technologies, ha pubblicato l’analisi di PoeLLM, un malware che entra in servizi di intelligenza artificiale e strumenti open source esposti su Internet, li usa per minare criptovaluta e li trasforma in nuovi attaccanti. La campagna, chiamata Canto Incognito, ha una particolarità: l’indirizzo del server di comando e controllo (C2) non è scritto nel malware, ma si ricava da una poesia pubblicata su GitHub.

Cosa è successo

Secondo i ricercatori la campagna è attiva da aprile 2026: il primo commit con la poesia risale al 13 aprile. CyberScoop e Help Net Security parlano di oltre 3.400 server compromessi, The Register di oltre 3.000, soprattutto negli Stati Uniti e in Europa occidentale. Al picco, secondo The Register, i server infetti attivi erano più di 800 al giorno, e la campagna continua a fare nuove vittime.

La maggior parte dei server colpiti esponeva versioni vulnerabili di LiteLLM e Ollama; alcune centinaia avevano Gotenberg (conversione in PDF) e Gitea (sviluppo software). I ricercatori hanno scoperto PoeLLM indagando su una vulnerabilità di Ivanti Sentry, CVE-2026-10520: a inizio giugno 2026 un Ivanti Sentry compromesso ha contattato il server 5.78.73[.]122 e subito dopo ha cominciato a cercare altri dispositivi vulnerabili. Le fonti non nominano aziende colpite.

Dettagli tecnici

Accesso iniziale. Da maggio gli attaccanti hanno scandito Internet soprattutto sulle porte 3000 e 4000, quelle predefinite di Gotenberg e LiteLLM. Quando trovano un server vulnerabile, un server di exploit gli invia una richiesta POST costruita ad arte che gli fa scaricare un file dal C2. Nel campione analizzato, l’endpoint di LiteLLM preso di mira è /mcp-rest/test/connection, legato a CVE-2026-42271, una vulnerabilità di command injection di LiteLLM.

La poesia come rubrica degli indirizzi. Il componimento, intitolato “On the Nature of Connection”, sta nel file dash.css di un fork del codice del sito nodejs.org, pubblicato dall’utente GitHub ejejejdfbbebe; il malware non ha legami con Node.js. PoeLLM scarica la poesia e ne estrae quattro parole in posizioni fisse, individuate da frammenti di testo che fanno da ancora (per esempio “In the silent hum of” e “of distant servers”, secondo The Register). Un dizionario scritto nel codice converte ogni parola in un numero: i quattro numeri formano l’indirizzo IPv4 del C2. In una versione della poesia, le parole “driver”, “diode”, “decryption” e “string” davano 92.119.165.74.

Per spostare il C2 basta cambiare le parole su GitHub: i bot calcolano da soli il nuovo indirizzo, senza aggiornare il malware. The Register e Help Net Security contano 11 modifiche dal primo commit, CyberScoop parla di almeno una dozzina; il metodo di decodifica non è mai cambiato. Secondo i ricercatori, molti dei C2 usati non sono mai comparsi negli strumenti di sicurezza collaborativi.

Cosa fa sul server. PoeLLM avvia i miner XMRig e Iron e collega le vittime all’infrastruttura di mining di Kryptex. Ha una shell remota, funzioni di scansione HTTP/S e di invio di exploit: ogni server compromesso diventa scanner e server di exploit, ed è così che la botnet cresce. Di recente gruppi di bot hanno cominciato a prendere di mira SSH e altri portali di accesso: per i ricercatori è un segno di prove di attacchi distribuiti a forza bruta, ancora in fase iniziale.

Attribuzione. Black Lotus Labs attribuisce la campagna a un attore di lingua italiana, con motivazioni economiche: i commenti nel codice e nelle pagine GitHub sono in italiano e i server usati per prove e C2 si trovano in Italia; non sono emersi legami con altri gruppi.

MITRE ATT&CK (mappatura dai fatti riportati): T1190 (Exploit Public-Facing Application), T1105 (Ingress Tool Transfer), T1102.001 (Web Service: Dead Drop Resolver), T1496 (Resource Hijacking), T1595.002 (Vulnerability Scanning), T1110 (Brute Force).

Impatto per le aziende europee e italiane

L’Europa occidentale è tra le aree più colpite. Il bersaglio sono servizi che molte aziende hanno messo in produzione in fretta: gateway verso i modelli linguistici, modelli eseguiti in casa, convertitori di documenti, repository di codice. Il mining è il danno visibile, ma i ricercatori avvertono che lo stesso accesso permette furto di credenziali, abuso dei token dei modelli, perdita di dati e movimenti laterali.

Per i soggetti NIS2 (in Italia il d.lgs. 138/2024), i servizi di IA ospitati in proprio rientrano a pieno titolo nella gestione delle vulnerabilità e degli asset; una compromissione con shell remota va valutata anche ai fini della notifica al CSIRT Italia.

Cosa fare subito

1. Fai l’inventario delle istanze di LiteLLM, Ollama, Gotenberg, Gitea e Ivanti Sentry raggiungibili da Internet.
2. Togli dall’esposizione diretta ciò che non deve essere pubblico: accesso tramite VPN o reverse proxy con autenticazione, porte 3000 e 4000 chiuse verso l’esterno.
3. Aggiorna LiteLLM alla versione che corregge CVE-2026-42271 e Ivanti Sentry per CVE-2026-10520, secondo gli avvisi dei produttori.
4. Cerca segni di compromissione: processi XMRig o di altri miner, uso anomalo di CPU e GPU, connessioni verso pool di mining, richieste POST a /mcp-rest/test/connection nei log di LiteLLM.
5. Controlla il traffico in uscita: scansioni verso le porte 3000, 4000 e 22 partite dai tuoi server e richieste a GitHub da macchine che non ne hanno motivo. Filtra l’uscita dei server di IA verso le sole destinazioni necessarie.
6. Confronta i log con 5.78.73.122, 92.119.165.74 e l’elenco completo dei C2, con le date di prima e ultima osservazione, pubblicato da Black Lotus Labs.
7. Se trovi un server compromesso, isolalo, ricostruiscilo da un’immagine pulita e ruota chiavi API e token configurati sul servizio.

Come aiuta ARXDOME

ARX Expose mostra dall’esterno porte aperte, prodotti riconosciuti e vulnerabilità note sui servizi pubblici: è lì che compare un gateway LLM esposto per errore. ARX Shield elenca le vulnerabilità aperte per macchina e pacchetto, con quelle già sfruttate in evidenza, e permette di isolare dalla rete un server sospetto. ARX Sentry, con l’agent per Linux, raccoglie processi, porte e software installato e porta nelle pagine del SOC i log dei firewall, compreso il traffico in uscita bloccato.

Ultimo aggiornamento: 8 ottobre 2026