Текст опубликован в личном блоге и его автор не имеет отношения к администрации сайта
Специалисты по кибербезопасности из Lumen Technologies’ Black Lotus Labs выявили вредоносное ПО, которое получает указания о местоположении командного сервера из стихотворения, размещённого на GitHub. Вредоносная программа, получившая название PoeLLM, с апреля 2026 года заразила более 3400 серверов, большинство из которых находятся в США и Западной Европе. Кампания, получившая название Canto Incognito, нацелена на открытые сервисы искусственного интеллекта и другие интернет-приложения, используя их для майнинга криптовалют и поиска новых жертв.
Способ заражения уникален: вредоносное ПО извлекает четыре слова из стихотворения под названием «On the Nature of Connection», размещённого в репозитории GitHub, преобразует их в числа с помощью жёстко закодированного словаря и формирует из них IPv4-адрес командного сервера. Такая схема позволяет оператору менять адрес командного сервера, просто редактируя текст стихотворения, без необходимости обновлять само вредоносное ПО. По данным исследователей, стихотворение обновлялось как минимум 11 раз с момента первой публикации.
Black Lotus Labs связывают кампанию с италоязычным злоумышленником, мотивированным финансовой выгодой. Первоначальное заражение происходило через уязвимость CVE-2026-10520 в Ivanti Sentry, а также через открытые сервисы Ollama и другие инструменты искусственного интеллекта. Пик активности пришёлся на середину июня, когда было заражено почти 2200 систем.
Исследователи называют эту технику «состязательной поэзией» и отмечают, что ранее она рассматривалась лишь как теоретическая угроза — способ обхода защитных фильтров больших языковых моделей с помощью стихотворных промптов. «Это первый подобный случай для нас», — подчёркивают в Black Lotus Labs, добавляя, что разработчик PoeLLM «был чрезвычайно успешен в выявлении уязвимых серверов».