Malware usa poesia para infectar mais de 3 mil dispositivos

Como funciona a campanha

Pesquisadores de cibersegurança identificaram uma operação que usa poemas publicados no GitHub para controlar malware e comprometer servidores vulneráveis.

Etapas do ataque

• Busca por serviços expostos com falhas conhecidas, como LiteLLM ou Ollama.
• Instalação do PoeLLM, malware que procura um poema no GitHub.
• Extração de palavras-chave (driver, diode, decryption, tick) que o programa converte em números.
• Combinação dos números gera um endereço IPv4 que aponta para o servidor de comando.
• Recebimento de instruções, geralmente a instalação do XMRig para mineração de Monero.
• Escaneamento de redes para encontrar novas vítimas.
• Atualização dinâmica do poema no GitHub, mudando palavras-chave e, consequentemente, o endereço de controle.

Impacto e evolução

Desde o primeiro commit, o poema “On the Nature of Connection” foi alterado 11 vezes, com a última modificação em setembro de 2026. A campanha já comprometeu mais de 3 mil dispositivos, espalhando recursos de processamento, energia e largura de banda para a mineração de criptomoeda.

O uso de poesia adversarial demonstra como técnicas criativas podem ser exploradas para ocultar comandos maliciosos, exigindo atenção contínua de especialistas em segurança.