Was passiert
Black Lotus Labs hat eine Cyberkampagne namens Canto Incognito aufgedeckt, die seit April 2026 läuft und über 3.400 Server infiziert hat – überwiegend in den USA und Westeuropa. Im Zentrum dieser Operation steht die Malware PoeLLM, ein Cryptomining-Botnet, das eine ungewöhnliche Methode nutzt, um seine Command-and-Control-Server zu verschleiern: Sie versteckt die C2-Adressen in einem Gedicht, das auf GitHub unter einem Fork der nodejs.org-Website veröffentlicht ist.
Das Gedicht trägt den Titel „On the Nature of Connection" und ist in einer Datei namens dash.css gespeichert. Der Repository wurde von einem Benutzer namens „ejejejdfbbebe" angelegt. Die PoeLLM-Malware extrahiert vier Wörter aus definierten Positionen im Gedicht und ordnet jedes Wort einer Zahl aus einem in der Malware hard-codierten Wörterbuch zu. Diese vier Zahlen ergeben zusammen die IPv4-Adresse des aktuellen C2-Servers. In einer früheren Version des Gedichts führten beispielsweise die Wörter „driver", „diode", „decryption" und „string" zu den Zahlen 92, 119, 165 und 74 – was die C2-Adresse 92.119.165.74 ergab.
Die Entdeckung begann im Juni 2026, als Black Lotus Labs eine Ivanti-Sentry-Schwachstelle (CVE-2026-10520) untersuchte. Ein kompromittierter Ivanti-Sentry-Server kontaktierte einen Dedicated Server, woraufhin die Schwachstellen-Scanner aktiviert wurden. Telemetrie von Black Lotus Labs zeigte, dass das erste GitHub-Commit mit dem versteckten Gedicht am 13. April 2026 erfolgt war. Ab Mai richtete sich der Angriff gezielt auf die Standard-Ports 3000 und 4000 (die Default-Ports für Gotenberg und LiteLLM). Beim Auffinden verwundbarer Server schickte ein Exploit-Server eine manipulierte POST-Anfrage, die die Installation einer Datei vom C2-Server anwies.
Das Gedicht wurde bislang 11-mal bearbeitet – jede Änderung lenkte die infizierten Maschinen zu einem neuen C2-Server. Hauptsächlich betroffen sind Server, auf denen verwundbare Versionen von Open-Source-AI- und LLM-Services wie LiteLLM und Ollama laufen. Hunderte weitere Server betreiben den Open-Source-PDF-Converter Gotenberg oder das Entwickler-Toolkit Gitea. Besonders anfällig sind Server, auf denen eine Command-Injection-Schwachstelle (CVE-2026-42271) in LiteLLM vorhanden ist.
Einordnung
Die Wahl von AI- und LLM-Services als Angriffsziele ist strategisch begründet. Solche selbstgehosteten, internet-exponierten Services haben bekannte Schwachstellen und bieten sich als Quelle für Intelligencegewinnung an – aber vor allem sind sie rechenintensiv und damit wertvoll für Cryptomining. Der Angreifer wird von Black Lotus Labs als italienischsprachiger Threat Actor charakterisiert, der primär finanzielle Motive verfolgt.
Nach erfolgreicher Installation führt PoeLLM mehrere Funktionen aus: Sie betreibt die Cryptominer XMRig und Iron und verbindet infizierte Server mit dem russischen Kryptex-Mining-Pool. Zugleich verfügt die Malware über Remote-Shell-Funktionen, HTTP/S-Scanning und Exploit-Deployment-Features. Damit werden infizierte Server zu aktiven Knoten eines wachsenden Botnets – sie scannen selbst nach neuen Opfern und setzen Exploits ein, um diese zu infizieren.
Der Entdeckungskontext zeigt ein wichtiges Marktphänomen: Während Unternehmen ihre IT-Infrastruktur schnell um AI-Services erweitern, werden diese neuen Komponenten oft nicht in bestehende Patch- und Update-Zyklen integriert. Dies schafft ein Zeitfenster für Angreifer. LiteLLM und Ollama sind weit verbreitete Open-Source-Projekte; ihre Schwachstellen wurden publik, aber viele Deployments wurden nicht gepatcht. Ein weiterer Aspekt: Der geografische Fokus auf die USA und Westeuropa deutet auf aktive Scanning-Kampagnen hin, die nach besonders wertvollen Infrastrukturen suchen.
Kürzlich beobachteten Forscher, dass Gruppen infizierter Bots SSH-Ports und andere Login-Portale angriffen – ein Indiz dafür, dass der Operator verteilte Brute-Force-Attacken experimentiert, wenngleich diese Fähigkeit noch in frühen Entwicklungsphasen steckt.
Was das bedeutet
Die Canto-Incognito-Kampagne zeigt ein fundamentales Dilemma der modernen Infrastruktur: Je schneller Unternehmen spezialisierte Services wie AI-LLMs deployen, desto größer die Lücke zwischen Verfügbarkeit und Sicherheits-Readiness. Ein Gedicht auf GitHub als C2-Adressenbuch mag technisch kreativ wirken, aber die echte Schwäche liegt nicht bei der Malware-Ingenierie – sie liegt darin, dass über 3.400 Server überhaupt zu infizieren waren. Das bedeutet: Verwundbare Versionen von LiteLLM, Ollama, Gotenberg und anderen Tools liefen in Produktion, erreichbar aus dem Internet, ohne Patches. Dies ist kein Randproblem von Sicherheitshardcore-Systemen, sondern ein Strukturdefizit, das Unternehmen treffen, die AI-Tools eilig in ihre Infrastruktur integrieren, ohne diese in bestehende Asset-Management- und Patch-Prozesse aufzunehmen. Solange dieser Prozess nicht formalisiert ist – solange AI-Komponenten noch als „Convenience" statt als „kritische Infrastruktur" behandelt werden – werden solche Botnetze Ziel-Reichtum finden.
