Ein Botnetz versteckte seinen Befehlsserver in einem GitHub-Gedicht – und verwandelte 3.400 exponierte KI-Server in Mining-Proxys.

Am 7. Oktober 2026 veröffentlichte Black Lotus Labs von Lumen Technologies Forschungsergebnisse zu einer finanziell motivierten Botnetz-Kampagne, die es als Canto Incognito führt und deren Malware es PoeLLM nannte. Die Kampagne hat seit mindestens April 2026 mehr als 3.400 internetexponierte Server kompromittiert, mit Schwerpunkt in den Vereinigten Staaten und Westeuropa, so die Forscher – und die Opfer sind keine zufälligen Maschinen. Lumen zufolge handelt es sich überwiegend um verwundbare Bereitstellungen von LiteLLM und Ollama, plus Hunderte Server, auf denen der Gotenberg-PDF-Konverter und das Gitea-Entwicklungstoolkit laufen, wobei Ivanti Sentry-Appliances ebenfalls betroffen sind. Nach der Infektion wurden diese Server zum Schürfen von Kryptowährung genutzt und als Scanner und Exploit-Server zweckentfremdet – was Ryan English von Black Lotus Labs in einem Interview mit CyberScoop als „eine private Armee KI-gestützter Proxys“ bezeichnete. Derselbe Herstellerbericht wurde mit The Hacker News geteilt, die am selben Tag einen eigenen Bericht veröffentlichten.

Das Detail, das diesen Bericht lesenswert macht, ist nicht der Umfang. Es ist das Command-and-Control-Design: Im Malware-Code gibt es weder eine fest codierte Domain noch eine Fallback-IP. Die Adresse des aktuellen C2-Servers wird zur Laufzeit aus vier Wörtern berechnet, die einem Gedicht entnommen werden, das in einem öffentlichen GitHub-Repository gehostet wird. Ändere das Gedicht, und das gesamte Botnetz zieht um.

Was wurde eigentlich kompromittiert

Die Opfer sind laut Lumen-Bericht KI- und Entwicklerdienste für Unternehmen, die aus dem Internet erreichbar waren: LiteLLM- und Ollama-Deployments, Hunderte Gotenberg-Server zur PDF-Konvertierung und Gitea. Die Forscher von Lumen kamen zu der Einschätzung, dass die Kampagne auch Ivanti Sentry betraf. Die primären Scanziele waren die Ports 3000 und 4000, die Standard-Listening-Ports für Gotenberg bzw. LiteLLM.

Zwei Schwachstellen sind dafür von Bedeutung, wie die Maschinen erreicht wurden, und der Bericht geht mit beiden sorgfältig um:

• Ivanti Sentry, CVE-2026-10520. Lumen gibt an, dass seine Forscher erstmals auf die PoeLLM-Infrastruktur stießen, als sie diese Schwachstelle in Ivantis sicherem mobilen Gateway untersuchten. Anfang Juni 2026 kontaktierte ein kompromittiertes Ivanti-Sentry-Opfer einen dedizierten Server unter 5.78.73[.]122 und begann kurz darauf, nach weiteren verwundbaren Geräten zu scannen. Beachten Sie die Einschränkung: In Lumens eigener Liste der wichtigsten Erkenntnisse heißt es, die Kampagne ziele „möglicherweise auf Ivanti Sentry“, während der Hauptteil desselben Berichts das Gerät als aktives Opfer beschreibt. Diese interne Diskrepanz steht in der Primärquelle.

• LiteLLM, CVE-2026-42271.Ein PoeLLM-Sample, das Lumen untersuchte, zielte auf den LiteLLM-Endpunkt „/mcp-rest/test/connection“, der laut Lumen „wahrscheinlich der Ausnutzungspfad“ für eine als CVE-2026-42271 identifizierte LiteLLM-Command-Injection-Schwachstelle war. Der Bericht von CyberScoop beschreibt denselben Einstiegspunkt als Defekt mit maximalem Schweregrad in Ivanti Sentry, ohne eine CVE zu nennen, und geht nicht auf die LiteLLM-Schwachstelle ein; The Hacker News nennt keine der beiden CVEs. Die Schwachstelle am LiteLLM-MCP-Endpunkt ist diejenige, die dieses Archiv bereits früher im Jahr 2026 verzeichnete, bevor diese Kampagne dokumentiert wurde.

Was der gestohlene Zugang dem Angreifer einbrachte, waren Rechenleistung und Daten. „Exponierte KI-/LLM-Dienste sind nicht nur wegen Software-Schwachstellen wertvoll, sondern auch, weil sie nützliche Daten enthalten können und auf leistungsstarker Hardware laufen, die sich zum Mining eignet", schrieb Lumen. English sagte gegenüber CyberScoop, die Malware verfüge außerdem über Funktionen zur Remote-Code-Ausführung, die es einem Angreifer ermöglichen könnte, die auf den Servern der Opfer laufenden KI-Modelle zu missbrauchen — genannt als Fähigkeit, nicht als beobachtetes Ergebnis.

Das Gedicht, das auch eine Lookup-Tabelle ist

Das betreffende GitHub-Konto ist „ejejejdfbbebe“, und das Repository ist ein Fork des Website-Quellcodes von nodejs.org, das offenbar keine Verbindung zu Node.js selbst hat. Darin hat der Betreiber in einer Datei namens „dash.css“ – einem Dateinamen, der im Original-Repository nicht existiert – ein zweistrophiges Gedicht mit dem Titel „Über die Natur der Verbindung“ platziert. Lumen zählte seit dem ersten Commit am 13. April 2026 11 Aktualisierungen daran; CyberScoop berichtet, der Wortlaut sei „mindestens ein Dutzend Mal“ geändert worden.

Wie von Lumen im September 2026 festgehalten, lautete die erste Strophe: „Im stillen Summen des Treibers beginnen die Maschinen zu sprechen, jeder Puls einer Diode fädelt Licht durch kupferne Adern. Wir lehrten die Dunkelheit, Bedeutung zu tragen, Byte für Byte – eine Sprache, gebaut aus Blitzen, kalt und rein.“ Die zweite Strophe enthält die Zeile „Jenseits der Mauer der Verschlüsselung findet ein Signal seinen Weg, das Ticken ferner Server antwortet zurück.“

Die Extraktion ist mechanisch. Eine Funktion, die Lumen aufruft, extract_poem_phrase_field zieht drei Phrasen aus festen Positionen im Vers — den Text zwischen "In the silent hum of " und dem darauffolgenden Komma, zwischen "each pulse of " und " threading," und zwischen "Beyond the wall of " und dem nächsten Komma. Ein viertes Wort wird anders gewonnen: Man sucht nach der Zeichenfolge "of distant servers,", geht bis zum vorherigen Leerzeichen zurück, prüft, dass die vier vorangehenden Bytes "the " ergeben, und nimmt das darauf folgende Wort. Jedes der vier Wörter wird dann mit einem hartkodierten Wörterbuch abgeglichen, das in die Binärdatei kompiliert wurde, und die vier resultierenden Zahlen werden zu einer IPv4-Adresse verkettet. In einer Stichprobe, die Lumen am 23. Juni 2026 wiederherstellte, wurde "driver" auf 92 abgebildet, "diode" auf 119, "decryption" auf 165 und "string" auf 74 — was 92.119.165[.]74 ergibt.

Da sich über die 11 beobachteten Revisionen hinweg nur die vier Schlüsselwörter jemals änderten und das Dekodierungsmuster nie, kostete das Verschieben des Botnets den Betreiber nur eine Handvoll Änderungen an einer öffentlichen Textdatei. „Das Interessanteste am Gedicht-Ansatz ist, dass die für die C2-Kommunikation verwendete IP-Adresse außerhalb des Netflows des Opfers unsichtbar ist“, sagte English gegenüber CyberScoop. „Für jeden, der darauf stößt, ist es einfach ein Gedicht auf GitHub. Es hat keine Links, keine Dateien zum Herunterladen, keinen verschlüsselten Text, der leicht als bösartig gekennzeichnet werden könnte, selbst durch fortgeschrittene Modelle. Es gäbe für einen Sicherheitsforscher keinen Grund, dieses Gedicht als bösartig einzustufen – oder die darin verborgene IP-Adresse zu kennen –, es sei denn, er hätte Zugriff auf die Malware, die darauf verweist.“

Lumen sagt, es gehe davon aus, dass das Gedicht wahrscheinlich von einer KI geschrieben wurde, und bezeichnet das als Schlussfolgerung, nicht als Befund. Die Begründung, mit den Worten von English gegenüber The Hacker News: Das Gedicht hätte in jeder Sprache funktioniert, doch die Präferenz des Akteurs selbst scheint Italienisch zu sein. Es ist eine Einschätzung des Schreibstils, keine forensische Zuschreibung des Textes zu einem Modell.

Was die Malware tut, sobald sie gelandet ist

Die von Lumen analysierte Payload ist eine ELF-Datei, die unter dem Namen „libgcrypt“ verbreitet wird und den SHA-256-Hash 6fab94577364beec314afae3b082dd680933f08a8349b9f35b92667e8231b501 hat. Laut Lumen-Analyse bündelt sie eine Remote-Shell, die Kryptowährungs-Miner Iron und XMRig, HTTP- und HTTPS-Scanning-Fähigkeiten sowie die Bereitstellung von Exploits gegen verwundbare Ziele.

Infizierte Hosts senden Beacon-Signale an einen von mehreren C2-Ports — 3778, 5001, 5002 oder 9999 — zurück und werden angewiesen, weitere Dateien von Port 81 auf dem C2-Server herunterzuladen (beobachtete Pfade waren unter anderem /private/python3.6 und /private/bins.sh). Mining-Auszahlungen gehen an den russischen Mining-Dienst Kryptex: Lumen beobachtete, dass Opfer 5.180.174[.]162:8029 und 46.21.245[.]211:7029 kontaktierten, wobei Letzterer edge-ru-07[.]kryptex[.]network hostet. Das häufigste gemeinsame Merkmal der ersten 900 Opfer war nach dem Kontakt mit dem initialen C2 der Kontakt mit diesem Kryptex-Endpunkt.

Das Botnetz wächst auch von selbst. Kompromittierte Server wurden in Scanner und Exploit-Server umgewandelt: Ein Exploit-Server sendet einen präparierten HTTP POST an einen exponierten Dienst auf einem neu entdeckten Ziel und weist es an, die Malware vom C2 herunterzuladen. In jüngerer Zeit beobachtete Lumen Pools von Opfern, die SSH-Ports und andere Login-Portale ins Visier nahmen, was Lumen als Experimentieren mit einem verteilten Brute-Force-Framework interpretiert. Lumen bezeichnet das ausdrücklich als unreif und nicht bewiesen: Bei vielen der Ziele handelte es sich um dedizierte Server in Italien, und die Forscher schätzen ein, dass die Fähigkeit "sich möglicherweise in einem frühen Entwicklungsstadium befunden hat".

Die Zeitleiste und die zwei Zahlen, die nicht übereinstimmen

Der erste entschlüsselte C2 der Kampagne war 191.37.28[.]160, ein brasilianischer Router mit einem exponierten Boa-Webserver auf Port 2222, der für CVE-2018-21027 und CVE-2018-21028 anfällig war – obwohl Lumen keine direkten Belege dafür fand, dass diese Schwachstellen der Einstiegsweg waren. Etwa eine Stunde nach dem ersten GitHub-Commit kontaktierte dieser C2 einen Server in Italien unter 57.131.5[.]211:80, auf dem die Domain malwarescan[.]xyz gehostet wurde, die im Februar 2026 registriert worden war. Lumen erklärt, keinen weiteren nennenswerten Datenverkehr zum API-Endpunkt dieser Domain gesehen zu haben, und schätzt ein, dass die Domain dem Betreiber von PoeLLM gehören könnte. Eine im Mai erfolgte Überarbeitung verlagerte den C2 auf 120.224.114[.]212, geolokalisiert in China und, wie der brasilianische Host, mit einem anfälligen Boa-Webserver samt Router-Admin-Seite betrieben. Insgesamt identifizierte Lumen 12 C2-IP-Adressen; drei waren zum Zeitpunkt der Veröffentlichung noch aktiv – 92.119.164.50 (erstmals gesehen am 23. Juli 2026), 103.249.201.108 (erstmals gesehen am 13. August 2026) und 178.128.14.204 (erstmals gesehen am 16. Juni 2026).

Lumen benennt außerdem einen mutmaßlichen Management-Server: 185.119.19[.]171 in Italien, der zuvor Prometheus- und Uptime-Kuma-Überwachungsdashboards hostete und von mehreren C2s kontaktiert wurde. Der Bericht gibt diese Zuordnung mit mittlerer Konfidenz an.

Was den Umfang betrifft, enthält die Primärquelle zwei Zahlen, die sich nicht ohne Weiteres miteinander vereinbaren lassen, und beide sind es wert, genannt zu werden. In den wichtigsten Erkenntnissen von Lumen heißt es, PoeLLM „habe mehr als 3.400 Opfer-Server beeinträchtigt“. Ein Fließtextabsatz im selben Bericht besagt, die Kampagne „habe fast 2.200 Opfer-Server beeinträchtigt“, und Lumen beschreibt den Höhepunkt der Operationen Mitte Juni separat als fast 2.200 betroffene Server, von denen nahezu 800 pro Tag aktiv waren. The Hacker News interpretiert die Zahlen als fortlaufende Gesamtsumme (3.400-plus) plus den Höhepunkt Mitte Juni (fast 2.200, nahezu 800 täglich). Welche der beiden Lumen-Zahlen die kumulative Opferzahl ist, wird im Bericht selbst nicht ausdrücklich gemacht.

Etabliert, bewertet und noch unbekannt

Es lohnt sich, in diesem Eintrag drei Arten von Aussagen zu unterscheiden, weil der Konfidenzgrad des Archivs die Dokumentation abdeckt, nicht jede darin enthaltene Schlussfolgerung.

• Aus der Malware selbst ermittelt: der gedichtbasierte C2-Mechanismus, die Extraktionsfunktion und das Wörterbuch, die Fähigkeiten der Payload (Remote-Shell, Iron- und XMRig-Miner, Scannen, Exploit-Bereitstellung), die C2-IP-Liste, Beacon-Ports und die Kryptex-Endpunkte. Diese stammen aus Artefaktanalyse und Netflow und bilden den Großteil des Berichts.

• Bewertet mit einem angegebenen Konfidenzniveau: Zuordnung zu einem italienischsprachigen Bedrohungsakteur mit mittlerer Konfidenz, basierend auf italienischsprachigen Kommentaren in der Malware sowie auf den GitHub-Seiten des Akteurs und Netflow-Indikatoren, die auf Italien hindeuten. Der italienische Server 185.119.19[.]171 als administrative Schnittstelle des Botnets, ebenfalls mit mittlerer Konfidenz. Der LiteLLM-Endpunkt als der „wahrscheinliche“ Exploit-Pfad. Die Behauptung, dass das Gedicht wahrscheinlich KI-geschrieben wurde – eine Schlussfolgerung aus der Sprachpräferenz, keine technische Feststellung.

• Offen oder unbestätigt: wie viele Personen die Kampagne betreiben (unbekannt), ob sie mit irgendeiner anderen Gruppe oder Kampagne in Verbindung steht (keine beobachtet), ob die Ivanti Sentry-Appliance ein ausgenutzter Einstiegspunkt oder nebensächlich war (in den Kernaussagen relativiert, im Hauptteil als Opfer beschrieben), und wie ausgereift die verteilte Brute-Force-Fähigkeit ist. Lumen sagt, dass die Erfolge des Operators über das Scannen und Cryptomining hinaus weiterhin untersucht werden.

Für die Berichterstattung existiert unabhängige Bestätigung, nicht jedoch für die dahinterstehende Telemetrie. CyberScoop und The Hacker News veröffentlichten am 7. Oktober 2026 jeweils eigene Berichte mit unabhängigen Interviews mit Black Lotus Labs, und ihre Details – die Zahl von über 3.400, der Gedichtmechanismus, die italienischsprachige Zuordnung, die Kryptex-Verbindung – decken sich mit dem Anbieterbericht. Beide gehen jedoch auf dieselbe Primärforschung zurück. Stand 10. Oktober 2026 hat weder eine zweite Forschungsorganisation noch eine Regulierungsbehörde eine unabhängige Analyse von PoeLLM veröffentlicht, daher sollte nichts hier als von einer anderen Partei als Lumen reproduziert gelesen werden.

Was hat sich nach der Offenlegung geändert?

Die folgenreichste Reaktion kam nicht von einem Patch. Das GitHub-Repository, in dem das Gedicht gehostet wurde, „ist nicht mehr zugänglich“, eine Entwicklung, die laut Lumen „die Kampagne vollständig zum Erliegen bringt“. English sagte gegenüber The Hacker News: „Wir glauben, das war sein einziges Repo, und es wurde vollständig lahmgelegt.“ Lumen hatte GitHub benachrichtigt und die früheren und aktiven C2-Server des Akteurs per Nullroute ins Leere geleitet, eine Änderung, die laut English am frühen Dienstagabend vor der Veröffentlichung wirksam wurde. Die Ursache für die Entfernung des Repositorys ist unbestätigt – English sagte gegenüber The Hacker News, es „könnte sein, dass sie es wegen Missbrauchs markiert haben oder dass der Akteur den Laden dichtgemacht hat und auf dieser Plattform verstummt ist.“ Da das C2 abgeleitet und nicht hartcodiert war, nimmt das Entfernen der Lookup-Tabelle dem Botnetz die Fähigkeit, seine eigene Infrastruktur zu finden.

Lumen gibt an, während der Untersuchung den gesamten Datenverkehr zu und von den PoeLLM-C2-Servern blockiert zu haben, und dass Kunden von Lumen Defender ab der Entdeckung vor diesen Servern geschützt waren. Die von Lumen veröffentlichte Anleitung für Verteidiger ist Routinehygiene, angewandt auf eine ungewöhnliche Auswahl an Zielen: Netzwerkprotokolle mit den Kompromittierungsindikatoren abgleichen, die im eigenen GitHub-Repository veröffentlicht wurden, die externe Angriffsfläche nach der Installation von Open-Source-Werkzeugen überprüfen, Dienstports so weit wie möglich einschränken, dafür sorgen, dass Router, Firewalls und IoT-Geräte gepatcht und neu gestartet werden, und KI-Dienste in das Angriffsflächenmanagement einbeziehen. Außerdem wird auf die Gotenberg-Installationsanleitung verwiesen, die bereits davor warnt, den Dienst dem Internet auszusetzen – eine Warnung, die offenbar erst nach den Hunderten kompromittierten Gotenberg-Servern aufkam.

Nichts in der Aufzeichnung deutet auf eine technische Lösung für das Traffic-Muster selbst hin: Das Gedicht war keine Schwachstelle in GitHub, Node.js, LiteLLM oder Ollama. Es war eine öffentliche Textdatei, deren einzige Bedeutung in einer Binärdatei lebte, die nur sehr wenige Menschen besaßen.

Warum dies eine AI-Vorfallaufzeichnung ist

Das Archiv führt dies als Vorfall mit bestätigter KI-Beteiligung, getaggt mit INFRA und WEAPON, Schweregrad hoch, mit dokumentiertem realen Schaden – und der Schaden ist konkret statt spekulativ: Tausende internetzugewandte Server, deren Rechenleistung gestohlen und deren Zugriff umfunktioniert wurde, in einer Kampagne, die Lumen als finanziell motiviert beschreibt und nicht gegen die Modelle selbst gerichtet. Das KI-Element ist die Zielauswahl. Server, auf denen LLM-Gateways und lokale Modell-Runtimes laufen, werden selbst gehostet, sind häufig dem Internet ausgesetzt, werden oft ohne Patch-Zyklus installiert und laufen auf Hardware, die effizient schürft. Lumens eigene Darstellung ist, dass KI-Infrastruktur gerade wegen dieser Kombination zu einem attraktiven Ziel wird – exponierte Dienste mit bekannten Schwachstellen, nützliche Daten und schnelle, stromhungrige Hardware.

Der Waffenaspekt ist das C2-Design, und es lässt sich über diese Kampagne hinaus verallgemeinern. Eine fest codierte Domain oder IP-Adresse kann blockiert, gesinkholed oder zum Fingerprinting von Malware verwendet werden. Eine abgeleitete Adresse, deren einziges Artefakt ein harmlos aussehendes öffentliches Dokument ist, kann das nicht – es sei denn, ein Analyst besitzt die Binärdatei. Englishs Hinweis an CyberScoop – dass viele der C2s der Kampagne nie in Crowd-Sourced-Sicherheitstools auftauchten – ist der Maßstab dafür, wie gut das funktioniert hat.

Da die Störung auf einem einzigen Repository beruht und nicht auf einer gepatchten Schwachstelle, ist der Status der Kampagne nach dem 7. Oktober wirklich ungewiss und nicht abgeschlossen: Lumen sagt, der Verlust des Repositorys „unterbreche sie vollständig“, und sagt an anderer Stelle, dass drei C2-Server zum Zeitpunkt der Veröffentlichung noch aktiv waren. Lumen veröffentlicht eigene Kompromittierungsindikatoren in einem eigenen GitHub-Repository, und die Schwere, der Konfidenzgrad und der erfasste Schaden des Eintrags stammen vom Archiv, nicht vom Anbieter.

Dies ist ein Eintrag. Der Rest davon — die anderen Offenlegungen, ihre Schweregrad- und Konfidenzstufen und was Verteidiger tatsächlich dagegen unternommen haben — das AI-Incident-Archivordnet jeden einzelnen seinen Primärquellen zu, sodass eine Kampagne wie diese im Zusammenhang mit den Vorfällen gelesen werden kann, die ihr vorausgingen, statt isoliert.