Botnet Menyembunyikan Server Perintahnya di Sebuah Puisi GitHub — dan Mengubah 3.400 Server AI yang Terpapar Menjadi Proksi Penambangan

Pada 7 Oktober 2026, Black Lotus Labs dari Lumen Technologies menerbitkan penelitian tentang kampanye botnet bermotif finansial yang mereka lacak sebagai Canto Incognito, yang malware-nya mereka beri nama PoeLLM. Menurut para peneliti, kampanye ini telah mengompromikan lebih dari 3.400 server yang terpapar internet sejak setidaknya April 2026, terkonsentrasi di Amerika Serikat dan Eropa Barat — dan korbannya bukan mesin sembarangan. Lumen mengatakan bahwa korban sebagian besar merupakan penerapan rentan dari LiteLLM dan Ollama, ditambah ratusan server yang menjalankan pengonversi PDF Gotenberg dan perangkat pengembangan Gitea, dengan peralatan Ivanti Sentry juga termasuk dalam cakupan. Setelah terinfeksi, server-server itu ditambang untuk cryptocurrency dan dialihfungsikan menjadi pemindai serta server eksploit — yang oleh Ryan English dari Black Lotus Labs, dalam wawancara dengan CyberScoop, disebut sebagai "pasukan pribadi yang terdiri atas proksi berkemampuan AI." Laporan vendor yang sama dibagikan kepada The Hacker News, yang menerbitkan laporannya sendiri pada hari yang sama.

Detail yang membuat catatan ini layak dibaca bukanlah skalanya. Melainkan desain command-and-control: tidak ada domain hardcoded dan tidak ada IP fallback di malware tersebut. Alamat server C2 saat ini dihitung saat runtime dari empat kata yang diambil dari sebuah puisi yang dihosting di repositori GitHub publik. Ubah puisi itu, dan seluruh botnet berpindah.

Apa yang sebenarnya terkompromi

Menurut laporan Lumen, korbannya adalah layanan AI perusahaan dan layanan pengembang yang dapat dijangkau dari internet: penerapan LiteLLM dan Ollama, ratusan server konversi PDF Gotenberg, dan Gitea. Peneliti Lumen menilai bahwa kampanye tersebut juga menjangkau Ivanti Sentry. Sasaran pemindaian utamanya adalah port 3000 dan 4000, yaitu port listening default untuk Gotenberg dan LiteLLM, masing-masing.

Dua kerentanan penting dalam hal bagaimana mesin-mesin itu dijangkau, dan laporan itu berhati-hati terhadap keduanya:

• Ivanti Sentry, CVE-2026-10520. Lumen mengatakan para penelitinya pertama kali menemukan infrastruktur PoeLLM saat menyelidiki kerentanan ini di gateway seluler aman Ivanti. Pada awal Juni 2026, korban Ivanti Sentry yang terkompromi menghubungi server khusus di 5.78.73[.]122 dan tak lama setelah itu mulai memindai perangkat lain yang rentan. Perhatikan bahasa yang berhati-hati ini: daftar poin utama Lumen sendiri menyatakan kampanye ini memiliki "kemungkinan penargetan Ivanti Sentry", sementara isi laporan yang sama menggambarkan perangkat tersebut sebagai korban nyata. Perbedaan internal itu ada di sumber primer.

• LiteLLM, CVE-2026-42271. Satu sampel PoeLLM yang diperiksa Lumen menargetkan endpoint LiteLLM "/mcp-rest/test/connection," yang menurut Lumen "kemungkinan merupakan jalur eksploitasi" untuk kerentanan injeksi perintah LiteLLM yang diidentifikasi sebagai CVE-2026-42271. Laporan CyberScoop menggambarkan titik masuk yang sama sebagai cacat dengan tingkat keparahan maksimum di Ivanti Sentry tanpa menyebut CVE, dan tidak mencakup celah LiteLLM; The Hacker News tidak menyebutkan CVE mana pun. Celah endpoint MCP LiteLLM adalah yang dicatat arsip ini sebelumnya pada 2026, sebelum kampanye ini didokumentasikan.

Yang didapatkan operator dari akses curian itu adalah komputasi dan data. "Layanan AI/LLM yang terekspos bernilai tidak hanya karena kerentanan perangkat lunak, tetapi juga karena layanan tersebut mungkin berisi data berguna dan berjalan pada perangkat keras canggih yang cocok untuk penambangan," tulis Lumen. English memberi tahu CyberScoop bahwa malware tersebut juga membawa fungsionalitas eksekusi kode jarak jauh yang dapat memungkinkan operator menyalahgunakan model AI yang berjalan di server korban — dinyatakan sebagai kemampuan, bukan hasil yang diamati.

Puisi yang juga merupakan tabel pencarian

Akun GitHub yang dimaksud adalah "ejejejdfbbebe," dan repositori itu adalah fork dari sumber situs web nodejs.org yang tampaknya tidak memiliki kaitan dengan Node.js itu sendiri. Di dalamnya, dalam file bernama "dash.css" — nama file yang tidak ada di repositori asli — operator menempatkan puisi dua bait berjudul "Tentang Hakikat Koneksi." Lumen menghitung 11 pembaruan terhadapnya sejak commit pertama pada 13 April 2026; CyberScoop melaporkan susunan katanya telah diubah "setidaknya selusin kali."

Seperti yang dicatat oleh Lumen pada September 2026, bait pertama berbunyi: "Dalam dengung sunyi driver, mesin-mesin mulai berbicara, setiap denyut dioda menjalin cahaya melalui pembuluh tembaga. Kami mengajari kegelapan untuk membawa makna, byte demi byte — bahasa yang dibangun dari kilat, dingin dan bersih." Bait kedua memuat baris "Di balik dinding enkripsi, sebuah sinyal menemukan jalannya, tik server yang jauh menjawab kembali."

Ekstraksi bersifat mekanis. Sebuah fungsi yang dipanggil Lumen extract_poem_phrase_field mengambil tiga frasa dari posisi tetap dalam bait — teks di antara "In the silent hum of " dan koma berikutnya, di antara "each pulse of " dan " threading,", dan di antara "Beyond the wall of " dan koma berikutnya. Kata keempat diambil secara berbeda, dengan mencari string "of distant servers,", mundur ke spasi sebelumnya, memeriksa bahwa empat byte sebelumnya membentuk "the ", dan mengambil kata setelahnya. Masing-masing dari empat kata tersebut kemudian dicocokkan dengan kamus hard-coded yang dikompilasi ke dalam biner, dan empat angka yang dihasilkan digabungkan menjadi alamat IPv4. Dalam sampel yang dipulihkan Lumen pada 23 Juni 2026, "driver" dipetakan ke 92, "diode" ke 119, "decryption" ke 165 dan "string" ke 74 — menghasilkan 92.119.165[.]74.

Karena hanya empat kata kunci yang pernah berubah selama 11 revisi yang diamati, dan pola dekodenya tidak pernah berubah, memindahkan botnet hanya membuat operator perlu melakukan beberapa suntingan pada file teks publik. "Bagian paling menarik dari pendekatan puisi ini adalah bahwa alamat IP yang digunakan untuk komunikasi C2 tidak terlihat di luar netflow korban," kata English kepada CyberScoop. "Bagi siapa pun yang menemukannya, ini hanyalah sebuah puisi di GitHub. Tidak ada tautan, tidak ada file untuk diunduh, tidak ada teks terenkripsi yang dapat dengan mudah ditandai sebagai berbahaya, bahkan oleh model canggih. Tidak akan ada alasan bagi peneliti keamanan mana pun untuk mengidentifikasi puisi ini sebagai berbahaya — atau mengetahui tentang alamat IP yang tersembunyi di dalamnya — kecuali mereka memiliki akses ke malware yang merujuknya."

Lumen mengatakan pihaknya meyakini puisi itu kemungkinan besar ditulis oleh AI, dan menyebut hal itu sebagai inferensi, bukan temuan. Alasannya, dalam kata-kata English kepada The Hacker News: puisi itu akan tetap berfungsi dalam bahasa apa pun, tetapi preferensi aktor itu sendiri tampaknya adalah bahasa Italia. Ini adalah penilaian tentang gaya penulisan, bukan atribusi forensik teks tersebut kepada sebuah model.

Apa yang dilakukan malware setelah masuk

Payload yang dianalisis Lumen adalah file ELF yang didistribusikan dengan nama "libgcrypt," dengan hash SHA-256 6fab94577364beec314afae3b082dd680933f08a8349b9f35b92667e8231b501. Menurut analisis Lumen, payload tersebut membundel shell jarak jauh, penambang kripto Iron dan XMRig, kemampuan pemindaian HTTP dan HTTPS, serta penyebaran eksploit terhadap target yang rentan.

Host yang terinfeksi mengirim beacon kembali ke salah satu dari beberapa port C2 — 3778, 5001, 5002, atau 9999 — dan diperintahkan untuk mengunduh file lebih lanjut dari port 81 pada server C2 (jalur yang teramati mencakup /private/python3.6 dan /private/bins.sh). Pembayaran hasil penambangan dialihkan ke layanan penambangan Rusia Kryptex: Lumen mengamati korban menghubungi 5.180.174[.]162:8029 dan 46.21.245[.]211:7029, yang menghosting edge-ru-07[.]kryptex[.]network. Ciri umum yang paling banyak dimiliki bersama oleh 900 korban pertama, setelah kontak dengan C2 awal, adalah kontak dengan endpoint Kryptex tersebut.

Botnet itu juga berkembang sendiri. Server yang dikompromikan diubah menjadi pemindai dan server eksploitasi: server eksploitasi mengirim HTTP POST yang dibuat khusus ke layanan yang terekspos pada target yang baru ditemukan, menginstruksikannya untuk mengunduh malware dari C2. Baru-baru ini, Lumen melihat kumpulan korban yang menargetkan port SSH dan portal login lainnya, yang ditafsirkannya sebagai kemungkinan eksperimen dengan kerangka brute-force terdistribusi. Lumen secara eksplisit menyatakan bahwa itu belum matang dan belum terbukti: banyak target adalah server dedicated di Italia, dan para peneliti menilai kemampuan tersebut "mungkin masih dalam tahap awal pengembangan."

Garis waktu, dan dua angka yang tidak cocok

C2 pertama yang berhasil didekode dalam kampanye ini adalah 191.37.28[.]160, sebuah router Brasil dengan Boa web server yang terekspos pada port 2222 yang rentan terhadap CVE-2018-21027 dan CVE-2018-21028 — meskipun Lumen tidak menemukan bukti langsung bahwa kelemahan tersebut menjadi jalur masuk. Sekitar satu jam setelah commit GitHub pertama, C2 tersebut menghubungi server di Italia pada 57.131.5[.]211:80 yang menghosting domain malwarescan[.]xyz, yang telah didaftarkan pada Februari 2026. Lumen menyatakan tidak melihat lalu lintas penting lain ke endpoint API domain tersebut dan menilai domain itu mungkin dimiliki oleh operator PoeLLM. Revisi pada Mei memindahkan C2 ke 120.224.114[.]212, yang secara geolokasi berada di Tiongkok dan, seperti host Brasil itu, menjalankan Boa web server yang rentan dengan halaman admin router. Secara keseluruhan, Lumen mengidentifikasi 12 alamat IP C2; tiga di antaranya masih aktif saat publikasi — 92.119.164.50 (pertama terlihat 23 Juli 2026), 103.249.201.108 (pertama terlihat 13 Agustus 2026) dan 178.128.14.204 (pertama terlihat 16 Juni 2026).

Lumen juga menyebutkan server manajemen yang dicurigai: 185.119.19[.]171 di Italia, yang sebelumnya menghosting dasbor pemantauan Prometheus dan Uptime Kuma, yang dihubungi oleh beberapa C2. Laporan tersebut menyatakan atribusi ini dengan tingkat keyakinan sedang.

Dari segi skala, sumber primer memuat dua angka yang tampaknya tidak mudah diselaraskan, dan keduanya layak dikemukakan. Poin-poin utama Lumen menyatakan bahwa PoeLLM "telah berdampak pada lebih dari 3.400 server korban." Satu paragraf isi dalam laporan yang sama menyatakan bahwa kampanye tersebut "telah berdampak pada hampir 2.200 server korban," dan Lumen secara terpisah menggambarkan puncak operasi pada pertengahan Juni sebagai melibatkan hampir 2.200 server yang terdampak dengan hampir 800 server aktif per hari. The Hacker News membaca angka-angka tersebut sebagai total berjalan (3.400 lebih) ditambah puncak pertengahan Juni (hampir 2.200, hampir 800 per hari). Yang mana dari dua angka Lumen tersebut yang merupakan jumlah korban kumulatif tidak dijelaskan secara eksplisit dalam laporan itu sendiri.

Mapan, dinilai, dan masih belum diketahui

Ada baiknya memisahkan tiga jenis klaim dalam catatan ini, karena tingkat kepercayaan arsip mencakup dokumentasinya, bukan setiap inferensi di dalamnya.

• Dipastikan dari malware itu sendiri: mekanisme C2 berbasis puisi, fungsi ekstraksi dan kamus, kemampuan payload (shell jarak jauh, penambang Iron dan XMRig, pemindaian, penyebaran eksploit), daftar IP C2, port beacon, dan titik akhir Kryptex. Semuanya berasal dari analisis artefak dan netflow, dan merupakan sebagian besar laporan.

• Dinilai pada tingkat keyakinan yang dinyatakan: atribusi kepada aktor ancaman berbahasa Italia, dengan keyakinan sedang, berdasarkan komentar berbahasa Italia di dalam malware dan pada halaman GitHub aktor serta indikator netflow yang mengarah ke Italia. Server Italia 185.119.19[.]171 sebagai antarmuka administratif botnet, juga dengan keyakinan sedang. Endpoint LiteLLM sebagai jalur eksploitasi yang "mungkin". Klaim bahwa puisi itu kemungkinan ditulis AI — sebuah inferensi dari preferensi bahasa, bukan temuan teknis.

• Terbuka atau belum dikonfirmasi: berapa banyak orang yang mengoperasikan kampanye ini (tidak diketahui), apakah kampanye ini terhubung ke kelompok atau kampanye lain (tidak ada yang teramati), apakah perangkat Ivanti Sentry merupakan titik masuk yang dieksploitasi atau insidental (dinyatakan dengan hati-hati dalam poin-poin utama, digambarkan sebagai korban di isi artikel), dan seberapa matang kemampuan brute-force terdistribusi tersebut. Lumen mengatakan bahwa pencapaian operator di luar pemindaian dan cryptomining masih dalam penyelidikan.

Ada korroborasi independen untuk pemberitaan itu, tetapi tidak untuk telemetri di baliknya. CyberScoop dan The Hacker News sama-sama menerbitkan laporan mereka sendiri pada 7 Oktober 2026, dengan wawancara independen bersama Black Lotus Labs, dan rincian mereka — angka 3.400 lebih, mekanisme puisi, atribusi berbahasa Italia, tautan Kryptex — sejalan dengan laporan vendor. Namun, keduanya bersumber pada riset primer yang sama. Per 10 Oktober 2026, belum ada organisasi riset kedua atau regulator yang menerbitkan analisis independen tentang PoeLLM, jadi tidak ada apa pun di sini yang semestinya dibaca sebagai direproduksi oleh pihak selain Lumen.

Apa yang berubah setelah pengungkapan

Respons yang paling berdampak tidak datang dari sebuah patch. Repositori GitHub yang menampung puisi itu "tidak lagi dapat diakses," sebuah perkembangan yang menurut Lumen "sepenuhnya melumpuhkan kampanye." English mengatakan kepada The Hacker News: "Kami pikir itu satu-satunya repo miliknya, dan repo itu telah dilumpuhkan sepenuhnya." Lumen telah memberi tahu GitHub, dan GitHub melakukan null-route pada server C2 pelaku yang sebelumnya dan yang aktif, sebuah perubahan yang menurut English mulai berlaku pada awal Selasa malam sebelum publikasi. Penyebab penghapusan repositori itu belum dikonfirmasi — English mengatakan kepada The Hacker News bahwa "bisa jadi mereka menandainya karena penyalahgunaan atau pelaku menutup operasinya dan menjadi senyap di platform itu." Karena C2 diperoleh (derived) alih-alih di-hardcode, menghapus tabel pencarian menghilangkan kemampuan botnet untuk menemukan infrastrukturnya sendiri.

Lumen mengatakan pihaknya memblokir semua lalu lintas ke dan dari server C2 PoeLLM selama penyelidikan dan bahwa pelanggan Lumen Defender terlindungi dari server-server tersebut sejak penemuan. Panduan yang diterbitkannya untuk para defender adalah higiene rutin yang diterapkan pada kumpulan target yang tidak biasa: periksa log jaringan terhadap indikator kompromi yang diterbitkannya di repositori GitHub miliknya sendiri, audit eksposur eksternal setelah memasang perkakas sumber terbuka, batasi port layanan sejauh mungkin, jaga router, firewall, dan perangkat IoT tetap ditambal dan di-reboot, serta masukkan layanan AI ke dalam manajemen permukaan serangan. Dokumen itu juga menunjuk ke panduan instalasi Gotenberg, yang sudah memperingatkan pengguna agar tidak mengekspos layanan tersebut ke internet — sebuah peringatan yang tampaknya baru muncul setelah ratusan server Gotenberg yang terkompromi.

Tidak ada apa pun dalam catatan yang menunjukkan adanya perbaikan teknis untuk pola lalu lintas itu sendiri: puisi itu bukanlah kerentanan di GitHub, Node.js, LiteLLM, atau Ollama. Itu adalah berkas teks publik yang maknanya hanya hidup di dalam biner yang hanya dimiliki oleh sangat sedikit orang.

Mengapa ini adalah catatan insiden AI

Arsip mencatat ini sebagai insiden dengan keterlibatan AI yang terkonfirmasi, ditandai INFRA dan WEAPON, tingkat keparahan tinggi, dengan dampak nyata yang tercatat — dan dampaknya konkret, bukan spekulatif: ribuan server yang menghadap internet yang daya komputasinya dicuri dan aksesnya dialihfungsikan, dalam kampanye yang Lumen gambarkan sebagai bermotif finansial alih-alih ditujukan pada model itu sendiri. Unsur AI-nya adalah pemilihan target. Server yang menjalankan gateway LLM dan runtime model lokal dikelola sendiri, sering terekspos ke internet, sering dipasang tanpa siklus patch, dan berada pada perangkat keras yang menambang secara efisien. Kerangka Lumen sendiri adalah bahwa infrastruktur AI menjadi target yang menarik justru karena kombinasi itu — layanan yang terekspos dengan kerentanan yang diketahui, data yang berguna, dan perangkat keras yang cepat serta haus daya.

Sisi senjatanya adalah desain C2, dan desain itu berlaku umum di luar kampanye ini. Domain atau IP yang di-hardcode dapat diblokir, di-sinkhole, atau digunakan untuk memfingerprint malware. Alamat turunan yang satu-satunya artefaknya adalah dokumen publik yang tampak tidak berbahaya tidak bisa, kecuali seorang analis memiliki binernya. Poin yang disampaikan English kepada CyberScoop — bahwa banyak C2 dari kampanye tersebut tidak pernah muncul di perkakas keamanan berbasis crowdsourcing — adalah ukuran seberapa baik hal itu berhasil.

Karena gangguan tersebut bertumpu pada satu repositori, bukan pada cacat yang telah ditambal, status kampanye setelah 7 Oktober benar-benar tidak pasti, bukan tertutup: Lumen mengatakan hilangnya repositori itu "sepenuhnya melumpuhkan" kampanye tersebut, dan secara terpisah mengatakan tiga server C2 masih aktif saat publikasi. Lumen menerbitkan indikator komprominya sendiri di repositori GitHub miliknya sendiri, dan tingkat keparahan, tingkat keyakinan, serta kerugian yang tercatat dalam catatan itu adalah milik arsip, bukan milik vendor.

Ini satu catatan. Sisanya — indikator lainnya, tingkat keparahan dan keyakinannya, serta apa yang sebenarnya dilakukan para pembela terhadapnya — arsip insiden AI mengindeks masing-masing terhadap sumber utamanya, sehingga kampanye seperti ini dapat dibaca bersama insiden-insiden yang mendahuluinya, bukan secara terpisah.