PoeLLM använder en GitHub-dikt för att infektera fler än 3 000 enheter

Forskare vid Lumen’s Black Lotus Labs identifierade skadeprogrammet PoeLLM, som använder en dikt på GitHub för att hitta sin kommando- och kontrollserver (C2). De kallar metoden ”adversarial poetry” och säger att de inte har sett något liknande tidigare.

PoeLLM riktar in sig på sårbara tjänster som är tillgängliga från internet, däribland LiteLLM och Ollama. Programmet söker efter en dikt med titeln ”On the Nature of Connection” på GitHub och kopplar sedan vissa ord i texten till tal i en hårdkodad ordlista. Talen bildar IPv4-adressen till C2-servern, som skickar vidare instruktioner till PoeLLM.

I de flesta fall installerar skadeprogrammet XMRig, som utvinner Monero. PoeLLM kan också söka efter fler sårbara system och på så sätt hjälpa kampanjen att spridas. Angriparen kan ändra orden i dikten för att leda infekterade enheter till en ny C2-adress utan att uppdatera skadeprogrammet. Dikten har uppdaterats 11 gånger sedan den först lades in; den senaste uppdateringen gjordes i september 2026.

Black Lotus Labs uppgav att kampanjen hade fler än 3 000 bekräftade PoeLLM-offer. De beskrev offren som användare av flera sårbara tjänster. Forskarna sade att den breda inriktningen hjälpte botnätet att växa. I uttalanden till The Register hänvisade de också till öppna källor enligt vilka en separat leveranskedjeattack mot LiteLLM påverkade omkring 2 500 offer.