Présentation

Le groupe de recherche Lumen Black Lotus Labs a identifié une campagne baptisée Canto Incognito qui utilise le malware PoeLLM. Depuis avril 2026, plus de 3 400 serveurs ont été infectés, principalement aux États‑Unis et en Europe de l’Ouest. Le code malveillant installe les mineurs XMRig et Iron, puis les connecte au service russe de minage Kryptex. Au pic de l’opération, mi‑juin, 2 200 serveurs étaient compromis, avec 800 machines actives chaque jour.

Technique de C2 et extraction

PoeLLM dissimule son adresse de commande‑et‑contrôle (C2) dans un poème hébergé sur GitHub (

github.com/ejejejdfbbebe
). Le premier commit du dépôt date du 13 avril 2026. Chaque fois que les attaquants créent un nouveau point C2, ils modifient quelques mots du poème ; le malware analyse ces mots, applique une fonction de hachage et en déduit l’URL du serveur C2. Cette technique de stéganographie rend la détection par signatures classiques très difficile.

Exploitation des infrastructures LLM

Les cibles sont des services d’intelligence artificielle exposés, notamment LiteLLM, Gotenberg, Gitea et les appliances Ivanti Sentry. Ces plateformes offrent une puissance de calcul élevée, idéale pour le minage. Après l’infection initiale, le malware transforme les hôtes compromis en scanners : il envoie des requêtes HTTP POST vers des ports publics, indique aux nouvelles cibles de télécharger le chargeur depuis le C2, puis exécute le mineur. Cette chaîne d’automatisation permet une propagation rapide sans interaction humaine.

Impact et limites

Outre le vol de ressources CPU/GPU, le botnet sert de relais pour des attaques de force brute sur les services SSH, bien que la maturité de cette capacité reste incertaine. L’attribution, basée sur des artefacts en italien et des indicateurs de flux, pointe vers un acteur italien, mais la confiance reste modérée. La concentration géographique et la dépendance à des services mal configurés offrent aux défenseurs un point d’entrée : le durcissement des API AI/LLM, la restriction d’accès réseau et la mise à jour des vulnérabilités connues. Sans ces mesures, les serveurs exposés continueront d’alimenter le réseau de minage.