PoeLLM usa un poema de GitHub para infectar más de 3.000 dispositivos

Los investigadores de Lumen’s Black Lotus Labs identificaron el malware PoeLLM, que utiliza un poema publicado en GitHub para encontrar su servidor de mando y control (C2). Llaman a la técnica «adversarial poetry» y afirmaron que nunca habían visto algo parecido.

PoeLLM se dirige a servicios vulnerables expuestos a Internet, como LiteLLM y Ollama. Busca en GitHub un poema titulado «On the Nature of Connection» y empareja ciertas palabras del texto con números de un diccionario codificado. Esos números forman la dirección IPv4 del servidor C2, que envía más instrucciones a PoeLLM.

En la mayoría de los casos, el malware instala XMRig, que mina Monero. PoeLLM también puede buscar otros sistemas vulnerables y ayudar a extender la campaña. El atacante puede cambiar las palabras del poema para redirigir los dispositivos infectados a una nueva dirección C2 sin actualizar el malware. El poema se ha actualizado 11 veces desde su primer registro; la actualización más reciente fue en septiembre de 2026.

Black Lotus Labs afirmó que la campaña tenía más de 3.000 víctimas confirmadas de PoeLLM. Indicó que las víctimas abarcaban varios servicios vulnerables. Según los investigadores, la amplitud de los objetivos ayudó a expandir la botnet. En declaraciones a The Register, también señalaron que, según fuentes abiertas, un incidente independiente en la cadena de suministro de LiteLLM afectó a unas 2.500 víctimas.