มัลแวร์ PoeLLM เจาะเซิร์ฟเวอร์ AI/LLM กว่า 3,400 เครื่องเพื่อขุดคริปโต — ซ่อนที่อยู่ C2 ไว้ในบทกวีบน GitHub และเปลี่ยนเหยื่อเป็นเครื่องสแกนหาเป้าใหม่
Lumen Black Lotus Labs พบมัลแวร์ PoeLLM ในแคมเปญ Canto Incognito ที่เล็งบริการ AI/LLM ที่เปิดสู่อินเทอร์เน็ต เช่น LiteLLM และ Gotenberg รวมถึง Gitea และ Ivanti Sentry เพื่อติดตั้งตัวขุดคริปโต มัลแวร์ซ่อนที่อยู่ C2 ไว้ในบทกวีบน GitHub โดยเปลี่ยนคำไม่กี่คำทุกครั้งที่ตั้ง C2 ใหม่ ตั้งแต่เมษายน 2569 มีเหยื่อแล้วกว่า 3,400 เครื่อง ส่วนใหญ่อยู่ในสหรัฐฯ และยุโรปตะวันตก เครื่องที่ติดบางส่วนถูกใช้สแกนหาเหยื่อรายต่อไป Lumen โยงกับผู้ก่อภัยที่พูดภาษาอิตาลีด้วยความมั่นใจปานกลาง