PoeLLM, 3.000’den Fazla Cihaza Bulaşmak İçin GitHub’daki Bir Şiiri Kullanıyor

Lumen’in Black Lotus Labs araştırmacıları, komuta ve kontrol (C2) sunucusunu bulmak için GitHub’daki bir şiiri kullanan PoeLLM adlı kötü amaçlı yazılımı tespit etti. Bu tekniğe “adversarial poetry” adını veren araştırmacılar, daha önce benzer bir şey görmediklerini söyledi.

PoeLLM, LiteLLM ve Ollama gibi internete açık, savunmasız hizmetleri hedef alıyor. GitHub’da “On the Nature of Connection” başlıklı bir şiir arıyor, ardından metindeki belirli sözcükleri sabit kodlanmış bir sözlükteki sayılarla eşleştiriyor. Bu sayılar, PoeLLM’e sonraki talimatları gönderen C2 sunucusunun IPv4 adresini oluşturuyor.

Kötü amaçlı yazılım çoğu durumda Monero madenciliği yapan XMRig’i kuruyor. PoeLLM ayrıca başka savunmasız sistemleri tarayarak kampanyanın yayılmasına yardımcı olabiliyor. Saldırgan, kötü amaçlı yazılımı güncellemeden bulaşmış cihazları yeni bir C2 adresine yönlendirmek için şiirdeki sözcükleri değiştirebiliyor. Şiir, ilk kaydından bu yana 11 kez güncellendi; en son güncelleme Eylül 2026’da yapıldı.

Black Lotus Labs, kampanyanın doğrulanmış PoeLLM kurbanı sayısının 3.000’i aştığını söyledi. Kurbanların birden fazla savunmasız hizmete yayıldığını belirtti. Araştırmacılara göre geniş hedefleme, botnet’in büyümesine yardımcı oldu. The Register’a yaptıkları açıklamada, açık kaynaklara göre ayrı bir LiteLLM tedarik zinciri ihlalinin yaklaşık 2.500 kurbanı etkilediğini de aktardılar.