Le botnet PoeLLM transforme 3 400 serveurs d’IA en ferme de minage via un poème
Le 7 octobre 2026, Lumen Black Lotus Labs a détaillé « Canto Incognito », une campagne qui infecte plus de 3 400 serveurs exposés — LiteLLM, Gotenberg, Gitea, Ivanti Sentry — pour les convertir en mineurs de cryptomonnaie, en dissimulant l’adresse de son serveur de contrôle dans un poème hébergé sur GitHub. Toute instance d’IA accessible sur Internet doit être inventoriée, car c’est précisément cette surface que la campagne scanne pour s’étendre.
7 octobre 2026. Lumen Black Lotus Labs détaille une campagne de cryptominage baptisée Canto Incognito, dont le malware a été nommé PoeLLM. Depuis avril 2026. L’activité a démarré au printemps et a déjà identifié plus de 3 400 serveurs victimes. Un poème comme adresse. Le serveur de contrôle (C2) n’est pas codé en dur : son adresse est dérivée d’un poème hébergé dans un dépôt GitHub. Pourquoi c’est important : la campagne vise délibérément l’infrastructure IA et LLM exposée sur Internet — non plus pour voler des données, mais pour exploiter la puissance de calcul des GPU comme ferme de minage, puis recycler les machines compromises en scanners qui agrandissent le botnet.
Le C2 caché dans un poème
La signature de la campagne tient dans sa mécanique de command-and-control. Le malware PoeLLM ne contient pas d’adresse de contrôle figée. Il la calcule à partir d’un poème que les attaquants ont écrit — vraisemblablement à l’aide d’une IA générative, selon les analystes — et qu’ils hébergent dans un dépôt GitHub public, github.com/ejejejdfbbebe. Le premier commit du dépôt date du 13 avril 2026.
Le principe est malin. « À chaque fois qu’ils installent un nouveau C2, ils changent quelques mots du poème, et le malware dérive l’adresse à partir de la clé associée à ces mots », explique Ryan English, ingénieur sécurité chez Lumen Technologies. Résultat : l’infrastructure de contrôle peut tourner sans qu’une adresse unique, blocable ou signalable, n’apparaisse dans les échantillons du malware. Changer de serveur de contrôle ne demande qu’une réécriture de quelques vers.
L’attribution, elle, reste prudente. Les commentaires du malware et les pages GitHub des attaquants sont en italien, et la télémétrie réseau oriente vers un acteur situé en Italie. Lumen évoque une attribution « de confiance modérée » à un opérateur italophone. Le poème aurait fonctionné dans n’importe quelle langue, mais la préférence de l’acteur pour l’italien renforce l’hypothèse d’une génération assistée par IA, donc d’un opérateur qui instrumentalise l’outillage qu’il cible.
Pourquoi cibler l’infrastructure IA
Le choix des victimes n’a rien d’un hasard. La campagne s’en prend en priorité aux déploiements d’entreprise accessibles sur Internet : LiteLLM, la passerelle qui unifie l’accès à des dizaines de modèles, Gotenberg, le service de conversion de documents, Gitea, la forge de code auto-hébergée, et les appliances Ivanti Sentry. Tous sont des logiciels qu’une organisation expose volontairement, souvent avec des identifiants par défaut ou des versions non patchées.
La motivation est économique. Une fois la machine compromise, le malware installe des mineurs — XMRig et Iron — et rattache la victime à Kryptex, un service de minage russe qui monétise la puissance de calcul. Les serveurs d’inférence LLM sont une cible de choix pour une raison simple : ils embarquent des GPU puissants, chers, et sous-utilisés la nuit. « L’infrastructure IA devient une cible attractive, note Lumen, non seulement à cause des vulnérabilités logicielles, mais aussi parce qu’elle peut contenir des données utiles et tourner sur du matériel puissant adapté au minage. »
Les chiffres donnent l’ampleur. Plus de 3 400 serveurs ont été identifiés comme victimes, concentrés aux États-Unis et en Europe de l’Ouest. Au pic de l’activité, à la mi-juin 2026, la campagne impliquait près de 2 200 serveurs affectés, dont environ 800 actifs par jour. Un trafic plus récent vers SSH et d’autres portails de connexion suggère des essais d’attaques par force brute distribuées, dont la maturité reste incertaine.
Une chaîne de compromission qui s’auto-alimente
La campagne se distingue moins par sa technique d’intrusion que par son économie de croissance. Lumen décrit un mécanisme où « les hôtes compromis sont réutilisés pour étendre le botnet » : les serveurs infectés sont transformés en scanners et en serveurs d’exploitation, ce qui permet à l’acteur de trouver et de compromettre d’autres systèmes vulnérables sans infrastructure propre.
Concrètement, un sous-ensemble des machines compromises reçoit pour mission de balayer Internet à la recherche d’instances similaires, puis d’envoyer une requête HTTP POST vers les ports exposés des cibles identifiées, instruction qui leur fait télécharger le malware depuis le C2. Chaque victime devient ainsi un maillon de recrutement. C’est ce qui explique la résilience de la campagne : couper un C2 ne stoppe pas les scanners déjà déployés, et le poème permet d’en relancer un autre sans recompiler le malware.
L’objectif final tient en une phrase : transformer des vulnérabilités connues de services exposés en botnet de minage, et convertir une fraction de ce parc en scanners pour élargir le vivier de victimes. On est loin du rançongiciel ou de l’exfiltration : ici, l’acteur cherche une rente silencieuse — de la puissance de calcul détournée, facturée sur la facture d’électricité et de cloud de la victime.
Comment repérer une instance minée
Le cryptominage a une signature opérationnelle simple à détecter, à condition de regarder. Un serveur qui mine consomme du CPU ou du GPU en continu, y compris la nuit et le week-end, sans corrélation avec le trafic applicatif. Trois contrôles suffisent à lever le doute : surveiller la charge hors des heures ouvrées, chercher des processus inconnus liés à XMRig ou Iron — par leur nom, leur chemin ou leurs arguments —, et examiner les connexions sortantes vers des services de minage comme Kryptex ou vers des dépôts publics qui servent de résolveurs de C2.
Les équipes peuvent aussi durcir la surface d’entrée. Les cibles de la campagne — LiteLLM, Gotenberg, Gitea, Ivanti Sentry — se protègent d’abord en cessant d’être exposées en frontal, puis en appliquant les correctifs des vulnérabilités connues que la campagne exploite. Le piège à éviter est de croire qu’une passerelle LLM est un outil interne : dès qu’elle écoute sur Internet, elle est un périmètre.
Ce que ça dit de l’exposition des services LLM
L’angle le plus important pour un RSSI n’est pas le poème, mais le décalage qu’il révèle. Les équipes déploient des passerelles LLM comme LiteLLM à un rythme que l’inventaire, le patch management et la surveillance n’ont pas suivi. Une passerelle d’inférence est un service stateful, riche en secrets d’API, souvent exposé en frontal pour la commodité des développeurs — et rarement traité avec la rigueur d’un service de production traditionnel.
La campagne Canto Incognito est le symptôme d’un problème plus général : la surface d’attaque de l’IA s’agrandit plus vite que sa sécurisation. Lumen le formule sobrement — « les services IA/LLM exposés ont de la valeur non seulement pour leurs vulnérabilités logicielles, mais aussi parce qu’ils peuvent contenir des données utiles et tourner sur du matériel puissant ». Le minage est la première monétisation, la plus simple ; rien n’empêche un acteur ultérieur d’utiliser le même point d’entrée pour exfiltrer les clés d’API ou les données d’inférence.
Verdict
Si vous exploitez LiteLLM, Gotenberg, Gitea ou une appliance Ivanti exposés sur Internet, commencez par les retirer de l’exposition directe ou les placer derrière une authentification robuste et une liste blanche d’adresses, puis vérifiez la présence de mineurs (XMRig, Iron) et de processus de scan inhabituels. Si vous hébergez des instances d’inférence LLM, traitez-les comme des actifs critiques : inventaire, patching, surveillance de la charge CPU/GPU hors des heures ouvrées — un serveur qui mine la nuit se remarque par une consommation anormale. Pour tous, surveillez les résolveurs de C2 indirects : un dépôt public qui sert de table de correspondance est plus difficile à bloquer qu’une adresse IP, et il exige une détection par comportement plutôt que par liste noire.