PoeLLM: il malware nascosto in una poesia ha infettato 3.400 server AI
PoeLLM ha usato quattro parole in una poesia su GitHub per controllare un botnet e minare criptovalute su oltre 3.400 server.
👁 112 letture
Black Lotus Labs, il team di Lumen, ha descritto una campagna che segue dall’aprile 2026 e che ha chiamato Canto Incognito. Il malware PoeLLM ha raggiunto oltre 3.400 server, perlopiù macchine che eseguivano versioni vulnerabili di servizi open source per gestire modelli linguistici, soprattutto LiteLLM e Ollama. Lo scopo del codice malevolo non era rubare dati né ricattare le vittime: usava le loro macchine per minare criptovalute.
L’aspetto più insolito dell’operazione è il modo in cui le macchine infette scoprivano dove si trovava il server di comando. L’autore aveva pubblicato su GitHub una poesia intitolata On the Nature of Connection, composta da due strofe. Quattro parole precise del testo codificavano un indirizzo IPv4. Quando doveva spostare l’infrastruttura su un’altra macchina, modificava quelle parole e caricava un nuovo commit: finora lo ha fatto 11 volte. Il malware scaricava il file, estraeva le parole e ricostruiva l’indirizzo. I ricercatori sottolineano che lo schema di decodifica non è mai cambiato: una volta individuato, era quindi possibile prevedere i successivi spostamenti.
PoeLLM non attaccava i modelli, ma i server su cui giravano
È importante distinguere questa vicenda dalla cosiddetta “poesia avversaria”, cioè dalle tecniche che cercano di aggirare le protezioni dei modelli linguistici formulando richieste dannose sotto forma di versi. In questo caso la poesia non veniva inviata a un modello e non c’era alcuna iniezione nel prompt. Era semplicemente un canale per pubblicare un indirizzo: un testo letterario su GitHub non sembra sospetto e non attiva controlli euristici. Come hanno spiegato i ricercatori di Lumen a The Register, la poesia è
«un mezzo ideale per nascondere un messaggio importante»
- il team Black Lotus Labs, citato da The Register
Il vettore d’attacco, invece, era molto più convenzionale. Per LiteLLM, un proxy diffuso che permette alle aziende di indirizzare da un unico punto il traffico delle applicazioni verso più fornitori di modelli, lo sfruttamento sarebbe passato probabilmente da una richiesta POST appositamente costruita all’endpoint di connessione. La vulnerabilità permetteva a due endpoint di eseguire sul sistema host i comandi ricevuti senza verificare i permessi. Identificata come CVE-2026-42271, a giugno è stata inserita nel catalogo delle vulnerabilità sfruttate attivamente dalla CISA statunitense. La correzione era già disponibile da aprile: ciò significa che molte vittime non avevano aggiornato per mesi un servizio esposto direttamente a Internet.
Tra gli altri obiettivi figurano tre strumenti che gli amministratori considerano spesso secondari e che per questo rischiano di essere trascurati: Gotenberg, un’API Docker per convertire documenti in PDF la cui documentazione avverte esplicitamente di non esporla alla rete pubblica; Gitea, una piattaforma Git ospitata in autonomia; e Ollama, che per impostazione predefinita non è esposta all’esterno, ma che molti utenti configurano deliberatamente per ascoltare su 0.0.0.0, così da raggiungere i modelli da un portatile o da uno smartphone. I ricercatori citano anche Ivanti Sentry: è stata proprio un’istanza infetta di questo dispositivo a condurli alla campagna.
Quanto può costare un mese di mining su una GPU
Il payload comprende XMRig e Iron, software di mining standard collegati all’infrastruttura del pool Kryptex. Le prime 900 vittime avevano una cosa in comune: avevano contattato un endpoint del servizio russo di mining di criptovalute. Il movente è quindi economico e si può quantificare, ma bisogna fare i conti da entrambe le prospettive: è la parte più interessante della vicenda.
Consideriamo una configurazione tipica per eseguire un modello linguistico in autonomia: una scheda RTX 4090 in una workstation e un processore con una dozzina di thread. XMRig mina Monero soprattutto usando la CPU, mentre Iron può impegnare anche la GPU. Una macchina infetta che lavora senza interruzioni a pieno carico assorbe circa 500-550 W dalla presa; la stessa macchina inattiva, in attesa di una richiesta al modello, consuma circa 80 W. La differenza è di 450 W. In 720 ore al mese equivale a 324 kWh. Applicando a titolo d’esempio la tariffa usata nel calcolo originale, pari a circa 0,29 $ (0,26 €) per kWh, il costo aggiuntivo è di circa 94,18 $ (84,12 €) al mese per una macchina infetta. In un anno supera i 1.129,63 $ (1.009,05 €), più della metà del costo della scheda grafica secondo il calcolo originale. Le cifre in euro sono stime, non tariffe locali né prezzi di checkout.
Per chi attacca, lo stesso sforzo ha un valore molto diverso. Monero minato con un processore consumer con una dozzina di thread produce nell’ordine di 10-15 kH/s. Considerando la potenza di calcolo attuale della rete Monero e un prezzo della criptovaluta vicino a 300 dollari, si arriva a circa 2-3 $ (1,79-2,68 €) al mese per macchina. Il proprietario dell’hardware paga quindi oltre trenta volte più di quanto guadagna il criminale. Ma su 3.400 macchine il bottino può raggiungere circa 8.994,71 $ (8.032,35 €) al mese, mentre il costo complessivo dell’elettricità a carico delle vittime può arrivare a 317.460,32 $ (283.655,40 €) al mese, ipotizzando che una parte consistente degli host infetti abbia GPU potenti e non sia costituita da piccoli VPS. È questo che rende interessante l’infrastruttura AI: difficilmente altrove si trovano così tante macchine con schede costose, alimentazione continua e amministratori che le trattano come “ambienti di test”.
Le cifre in euro sono stime ottenute convertendo gli importi in dollari al tasso di riferimento BCE del 14 ottobre 2026: 1 EUR = 1,1195 USD. Fonte: Banca centrale europea. Non sono prezzi locali né includono imposte o tariffe specifiche.
Come verificare se hai esposto Ollama o LiteLLM a Internet
Se esegui modelli in locale, controlla innanzitutto se Ollama è in ascolto su 0.0.0.0: impostare OLLAMA_HOST su questo indirizzo significa che chiunque conosca il tuo IP potrebbe inviare richieste al modello e potenzialmente fare altro. L’impostazione predefinita è 127.0.0.1, ed è quella da mantenere. Per accedere dall’esterno, usa un tunnel SSH o WireGuard invece di aprire una porta. Aggiorna poi LiteLLM alla versione con la correzione rilasciata ad aprile o a una successiva; se non sai quale versione hai, considera che potrebbe essere vulnerabile. Gotenberg e Gitea dovrebbero essere accessibili soltanto dalla rete interna: la documentazione di Gotenberg lo dice esplicitamente.
La diagnosi è semplice: un miner non può nascondersi dal misuratore di temperatura. Se la GPU raggiunge i 70 gradi e le ventole girano quando nessuno sta interrogando il modello, non è il “modello che si scalda”: qualcuno sta minando. Controlla i processi con nomi simili a quelli dei demoni di sistema che consumano tutta la CPU e le connessioni in uscita verso le porte usate dai pool di mining. Lumen ha pubblicato gli indicatori di compromissione nel proprio repository GitHub e ha bloccato sulla propria rete backbone tutto il traffico verso e dai server di comando di PoeLLM. Questo non significa che la campagna sia finita: vuol dire soltanto che una delle principali vie di comunicazione è stata chiusa.
Perché queste campagne potrebbero aumentare
Gli strumenti per eseguire modelli in locale sono nati con la logica dei tool per sviluppatori: devono funzionare subito dopo l’installazione, senza configurazioni, password o certificati. È una scelta ragionevole per un programma usato su un portatile. Lo è molto meno quando lo stesso pacchetto finisce su un server con quattro GPU e un indirizzo pubblico, perché a un certo punto un team ha avuto bisogno di “qualcosa per fare una prova” e poi ha lasciato tutto com’era.
Il furto di potenza di calcolo è lo scenario più lieve che possa capitare a un gateway per modelli configurato male. Nella campagna Canto Incognito i server infetti diventavano anche scanner e server di exploit, attaccando altre macchine per conto dei criminali. Una conseguenza ancora più grave sarebbe il furto delle chiavi API conservate nella configurazione di LiteLLM: il conto non sarebbe più di 94,18 $ (84,12 €) al mese di elettricità, ma dipenderebbe dal numero di token generati sul tuo account presso il fornitore del modello prima che tu te ne accorga. Con le tariffe dei modelli di ragionamento più grandi, la spesa può raggiungere in un giorno una cifra tale da far sembrare irrisorio un mese di mining di Monero.
Fatti verificati il 14 ottobre 2026. Fonti: Tom’s Hardware, rapporto sulla campagna Canto Incognito; Lumen Black Lotus Labs; catalogo KEV della CISA statunitense, CVE-2026-42271. Le stime del costo dell’energia sono calcoli redazionali, non dati del rapporto di Lumen.
Google · Le tue fontiPiù in alto su Google con un solo clicAggiungi alle fonti preferite →Domande frequenti
Come nascondeva PoeLLM l’indirizzo del server di comando?
L’autore aveva pubblicato su GitHub una poesia intitolata On the Nature of Connection, in cui quattro parole precise codificavano un indirizzo IPv4. Quando l’infrastruttura doveva essere spostata, quelle parole venivano modificate e veniva caricato un nuovo commit: è successo 11 volte.
Quanto può costare un mese di mining sul server infetto?
Una macchina con una scheda RTX 4090, sempre attiva, consuma circa 450 W in più rispetto allo stato di inattività: 324 kWh al mese. Applicando la tariffa usata nel calcolo originale, circa 0,29 $ (0,26 €) per kWh, il costo aggiuntivo stimato è di 94,18 $ (84,12 €) al mese, oltre 1.129,63 $ (1.009,05 €) all’anno. La conversione in euro è una stima, non una tariffa locale.
Quanti server sono stati infettati dalla campagna Canto Incognito?
La campagna ha raggiunto oltre 3.400 server, secondo le informazioni riportate da Lumen e dalle fonti citate. Lumen non ha pubblicato una ripartizione geografica delle vittime.
More on this from NITIDO
notizie·Kimi K3: prezzi in aumento dell’11% per i token di outputIl provider di Kimi K3 aggiorna i prezzi delle API: l'output sale a 15,00 USD per milione di token, segnando un aumento dell'11%. Ecco i dettagli.