Especialistas em cibersegurança identificaram uma campanha maliciosa sofisticada que utiliza versos poéticos para mascarar a infraestrutura de comando e controle de um programa espião denominado PoeLLM. A ameaça já atingiu mais de 3.400 servidores em escala global, chamando a atenção de equipes corporativas pela capacidade de burlar soluções convencionais de detecção ao transformar trechos de texto aparentemente inofensivos em endereços numéricos de rede.
O incidente foi documentado pela equipe da Black Lotus Labs, divisão de inteligência contra ameaças da empresa de telecomunicações Lumen Technologies. De acordo com as análises técnicas, a operação recebeu o nome de Canto Incognito e está ativa desde abril de 2026, concentrando seus impactos em servidores corporativos situados majoritariamente nos Estados Unidos e na Europa Ocidental.
A técnica empregada pelos criminosos, classificada como poesia adversária, substitui os métodos tradicionais de comunicação entre servidores infectados e agentes invasores. Em vez de utilizar domínios dinâmicos ou registros estáticos que possam ser facilmente bloqueados por firewalls, os operadores armazenaram um poema de duas estrofes dentro de um repositório na plataforma pública de desenvolvimento GitHub.
O arquivo que armazena os versos foi identificado com o nome dash.css, inserido em uma bifurcação do código-fonte do portal Node.js associada à conta de usuário eixo ejejejdfbbebe. O poema, intitulado On the Nature of Connection, foi atualizado mais de dez vezes desde a sua publicação inicial para ajustar a rota de comunicação da rede zumbi sem alertar ferramentas de proteção.
Para restabelecer contato com seu centro de comando, o PoeLLM consulta a página do projeto e extrai exatamente quatro palavras do texto, guiando-se por marcadores posicionais estáticos presentes nas estrofes. Essas palavras selecionadas são então cruzadas com um dicionário interno codificado no próprio código malicioso, convertendo termos isolados em valores numéricos que formam um endereço IPv4 funcional.
Em um dos exemplos registrados pelos pesquisadores de segurança, os termos técnicos em inglês driver, diode, decryption e string corresponderam respectivamente aos números 92, 119, 165 e 74, gerando o endereço de rede para o qual a máquina infectada deveria enviar relatórios. Sempre que os invasores precisam alternar a infraestrutura do servidor atacante, eles apenas editam o vocabulário das estrofes no repositório, garantindo que os clientes infectados atualizem a rota de forma autônoma.
Essa abordagem impede que plataformas automatizadas de varredura classifiquem o repositório como perigoso. Como o texto não possui links suspeitos, arquivos executáveis vinculados nem sequências criptografadas óbvias, a poesia passa desapercebida por modelos avançados de filtragem de conteúdo da web.
O foco primário da investida criminosa consiste na invasão de servidores com portas abertas voltadas para a internet pública executando ecossistemas modernos de desenvolvimento e inteligência artificial. Entre as ferramentas mais visadas estão os intermediadores LiteLLM e o executor de modelos Ollama, além de serviços como o conversor Gotenberg, o repositório Gitea e soluções corporativas Ivanti Sentry exploradas por meio da vulnerabilidade CVE-2026-10520.
Os ambientes voltados para modelos de linguagem e aprendizado de máquina tornaram-se alvos preferenciais por reunirem alta capacidade de processamento computacional em placas aceleradoras e processadores dedicados. Uma vez que o acesso inicial é estabelecido, o artefato executa ferramentas de mineração ilícita de criptomoedas, como os mineradores XMRig e Iron, canalizando o poder de cálculo dos servidores invadidos para pools da rede Kryptex.
Além de explorar os recursos de hardware para obtenção de ganhos financeiros diretos, o PoeLLM converte as máquinas comprometidas em nós de varredura. Esses sistemas passam a rastrear a internet em busca de novas instalações vulneráveis de modelos de linguagem e ferramentas de apoio, acelerando a expansão da botnet, que chegou a registrar picos de mais de 800 novos sistemas infectados em um único dia.
Evidências obtidas na investigação indicam que o operador por trás da campanha tem motivação financeira e perfil associado à Itália, dado que comentários presentes no código-fonte e comunicações analisadas pela equipe de rastreamento utilizam o idioma italiano. Há também fortes indícios de que as próprias estrofes empregadas na camuflagem foram geradas por ferramentas de inteligência artificial generativa.
A descoberta reforça a necessidade urgente de as equipes de tecnologia protegerem suas implementações locais de inteligência artificial e interfaces de programação expostas à rede. Especialistas recomendam a aplicação contínua de correções de segurança em serviços como LiteLLM e Ollama, a restrição de acessos externos desnecessários via redes privadas virtuais e o monitoramento rigoroso de requisições enviadas por servidores de computação interna para repositórios públicos de código.
