PoeLLM-malware haalt bevelen uit een gedicht op GitHub
Een cryptominer die zijn instructies uit een gedicht leest. Het klinkt als een grap, maar onderzoekers van Black Lotus Labs, het dreigingsteam van netwerkbedrijf Lumen, vonden precies zo’n stuk malware op ruim 3.400 servers. De meeste slachtoffers draaien zelfgehoste AI-software zoals LiteLLM en Ollama, en staan in de Verenigde Staten en West-Europa.
Vier woorden worden een IP-adres
De malware heet PoeLLM en de campagne erachter noemen de onderzoekers Canto Incognito. Volgens Help Net Security staat op GitHub een Engelstalig gedicht met de titel “On the Nature of Connection”, verstopt in een bestand dat dash.css heet. Dat bestand zit in een fork van de broncode van de website nodejs.org.
Een besmette server haalt het gedicht op en pakt vier woorden van vaste posities. Via een ingebouwd woordenboek wordt elk woord een getal, en samen vormen die vier getallen het IPv4-adres van de commandoserver. De woorden “driver”, “diode”, “decryption” en “string” leverden bijvoorbeeld 92.119.165.74 op. Wil de aanvaller verhuizen, dan past hij een paar woorden in het gedicht aan. Black Lotus Labs zag elf versies voorbijkomen.
Tegenover The Register noemen de onderzoekers dit het eerste geval van “adversarial poetry” dat ze in echte aanvallen tegenkomen. Het voordeel voor de aanvaller is duidelijk: verkeer naar GitHub valt in de meeste netwerken niet op, en een geblokkeerd adres is snel vervangen.
Waarom juist AI-servers
De campagne loopt sinds april 2026; de eerste commit in de GitHub-repository dateert van 13 april. De aanvallers scannen het internet op diensten die openstaan. Bij LiteLLM, een gateway die verzoeken naar verschillende taalmodellen doorstuurt, gebruiken ze waarschijnlijk een speciaal opgesteld verzoek op het endpoint /mcp-rest/test/connection, gekoppeld aan het command-injection-lek CVE-2026-42271. Dat LiteLLM een geliefd doelwit is, bleek al eerder toen de Amerikaanse cyberdienst LiteLLM op de lijst van actief misbruikte lekken zette.
Ook Ollama-servers, de PDF-converter Gotenberg, Gitea-ontwikkelservers en Ivanti Sentry (via CVE-2026-10520) zijn geraakt. Volgens The Register zaten er op het hoogtepunt meer dan 800 besmettingen per dag tussen.
Eenmaal binnen installeert PoeLLM de cryptominers XMRig en Iron, die minen voor de Russische Kryptex-pool. Daarna gebruikt de malware de gekaapte machine om nieuwe slachtoffers te zoeken. AI-servers zijn daarvoor aantrekkelijk: ze hebben vaak een stevige GPU en draaien regelmatig zonder dat iemand er dagelijks naar omkijkt. Nu bedrijven steeds vaker open modellen zelf hosten, groeit dat aanvalsoppervlak mee.
Een Italiaanstalige geldzoeker
Black Lotus Labs denkt dat er één Italiaanstalige actor achter zit. In de code en op de GitHub-pagina’s staat Italiaans commentaar, en de GitHub-gebruiker heet “ejejejdfbbebe”. Het motief lijkt puur financieel. Er zijn geen aanwijzingen voor datadiefstal of spionage, al heeft een aanvaller met toegang tot een AI-gateway in theorie ook toegang tot API-sleutels en prompts.
Het lijstje doelwitten sluit aan bij wat we deze maand vaker zagen. Op Pwn2Own Ireland kraakten hackers meerdere AI-infrastructuurtools, en Nederlandse veiligheidsdiensten waarschuwden al dat AI de aanvalsketen versnelt.
“Veel teams zetten een Ollama- of LiteLLM-server op om snel te experimenteren en vergeten daarna dat die gewoon aan het internet hangt. Wie AI in huis haalt, moet ook leren hoe je zo’n server dichtzet en bijhoudt.”
Leon Tindemans, AI-expert en Copilot- & ChatGPT-trainer, over het belang van AI-geletterdheid binnen organisaties
Wat betekent dit
Draait jouw organisatie LiteLLM, Ollama of een vergelijkbare tool op een eigen server, controleer dan of die dienst bereikbaar is vanaf het internet. Zet hem achter een VPN of firewall, installeer de patch voor CVE-2026-42271 en kijk of er onverklaard hoog CPU- of GPU-gebruik is, want dat is het duidelijkste teken van een miner. Black Lotus Labs adviseert om AI-tools op te nemen in het gewone patchbeleid en in het beheer van het aanvalsoppervlak.
