Хакеры спрятали адрес командного сервера для вируса в стихотворении. Обнаруженный исследователями вредонос читает опубликованный на GitHub текст в стихах, по ключевым словам вычисляет IP-адрес управляющего сервера C2, а затем майнит криптовалюту Monero на заражённых системах и сканирует интернет в поисках новых жертв.
Содержание статьи
- 1 Обзор HONOR Pad X9b Max: универсальный большой планшет с антибликовым экраном
- 2 Компьютер месяца, спецвыпуск: выбираем мини-ПК для работы и развлечений в эпоху дефицита чипов памяти
- 3 Выбираем лучшие игровые ноутбуки на российском рынке (вторая половина 2026 года)
- 4 Сравнительный тест камер флагманских смартфонов (2026): итоги
- 5 Лучший процессор под DDR4 в 2026 году: AM4 против LGA 1700
- 6 Мастерская локальных ИИ: салат картофельный с Qwen3.8
Обзор HONOR Pad X9b Max: универсальный большой планшет с антибликовым экраном
Компьютер месяца, спецвыпуск: выбираем мини-ПК для работы и развлечений в эпоху дефицита чипов памяти
Выбираем лучшие игровые ноутбуки на российском рынке (вторая половина 2026 года)
Сравнительный тест камер флагманских смартфонов (2026): итоги
Лучший процессор под DDR4 в 2026 году: AM4 против LGA 1700
Мастерская локальных ИИ: салат картофельный с Qwen3.8
Источник изображений: Andras Vas / unsplash.com
Открытие сделали специалисты лаборатории Black Lotus Labs (входит в Lumen). Программа находит в тексте определённые слова и преобразует их в числа — так она определяет IP-адрес C2-сервера и получает указания к действию. Этот метод эксперты назвали «вредоносной поэзией» и признались, что прежде не сталкивались с подобным.
Злоумышленник действует из Италии. Он ищет уязвимые интернет-сервисы, например, LiteLLM или Ollama, и устанавливает на них вредоносную программу PoeLLM. Она обращается к GitHub в поисках стихотворения, которое, предположительно, было создано искусственным интеллектом. Исследователи приводят пример такого произведения:
«В тихом гуле драйвера машины начинают говорить,
Каждый импульс диода пронизывает светом медные жилы.
Мы научили тьму нести смысл, байт за байтом —
Сотканный молниями язык холоден и чист.
За стеной шифрования сигнал находит путь,
Далёкие серверы тикают в ответ.
Данные, подобно воде, текут по трещинам упорядоченной мысли,
И где-то в коде мир продолжает свой ход».
Источник изображений: Boitumelo / unsplash.com
Программа отыскивает в стихотворении ключевые слова и сопоставляет их с числами — словарь зашит в её код, и при объединении эти числа образуют IPv4-адрес сервера. PoeLLM связывается с ним и получает инструкции о дальнейших действиях. В большинстве случаев программа разворачивает майнер криптовалюты XMRig для добычи токенов Monero. Вредонос также может работать в режиме сканера, выискивая уязвимые системы и позволяя атакующему проникать на новые машины.
Если злоумышленнику требуется сменить инфраструктуру, ему достаточно изменить несколько слов в стихотворении на GitHub. Заражённые машины вычислят новый адрес управляющего сервера, а сам вредоносный код менять не потребуется. Это уже неоднократно происходило на практике: с момента первой публикации стихотворение обновлялось уже 11 раз; последнее обновление датируется сентябрём 2026 года.
«Кампания Canto Incognito представляется уникальной, потому что она нацелена сразу на несколько связанных с искусственным интеллектом сервисов. Другие заметные кампании этого года, в том числе атака на цепочку поставок LiteLLM, были направлены на один сервис и затронули, по данным из открытых источников, около 2500 жертв. В случае с PoeLLM число пострадавших превышает 3000, причём атака затрагивает сразу несколько уязвимых сервисов. <..> Если бы злоумышленник ограничился лишь одной или двумя уязвимостями, круг потенциальных жертв мог бы быстро исчерпаться, а расширение охвата позволило создать более крупный, мощный (и прибыльный) ботнет», — рассказали исследователи.
Было интересно?
Скажите об этом Google, чтобы чаще получать ссылки на наши новости про вирусы
