PoeLLM: Gedicht steuert Botnetz mit 3.400 KI-Servern

👁 119 Aufrufe

Black Lotus Labs, ein Team von Lumen, beschreibt eine Kampagne, die es seit April 2026 unter dem Namen Canto Incognito verfolgt. Die Malware PoeLLM gelangte auf mehr als 3.400 Server. Auf den meisten liefen verwundbare Versionen quelloffener Dienste für den Betrieb von Sprachmodellen, vor allem LiteLLM und Ollama. Das Ziel der Schadsoftware war weder Datendiebstahl noch Erpressung: Sie sollte auf fremder Hardware Kryptowährungen schürfen.

Besonders auffällig ist, wie infizierte Rechner erfuhren, wo sie den Steuerungsserver finden. Der Urheber veröffentlichte auf GitHub ein zweiteiliges Gedicht mit dem Titel On the Nature of Connection. Vier bestimmte Wörter darin codieren eine IPv4-Adresse. Wenn die Infrastruktur auf einen neuen Rechner umziehen musste, ersetzte der Urheber diese Wörter und veröffentlichte einen neuen Commit. Bislang geschah das elfmal. Die Malware lud die Datei herunter, suchte die betreffenden Wörter heraus und setzte daraus die Adresse zusammen. Laut den Forschern änderte sich das Dekodierungsschema kein einziges Mal. Wer es einmal entschlüsselt hatte, konnte deshalb auch die folgenden Umzüge vorhersagen.

Kein Angriff auf das Modell, sondern auf den Server

Diese Geschichte sollte man von der in den vergangenen Monaten viel diskutierten „adversarialen Poesie“ unterscheiden. Dabei werden schädliche Anfragen als Gedichte formuliert, um die Sicherheitsvorkehrungen von Sprachmodellen zu umgehen. Hier wurde das Gedicht keinem Modell vorgelegt, und niemand schleuste etwas in einen Prompt ein. Es diente schlicht dazu, eine Adresse zu veröffentlichen. Ein literarischer Text auf GitHub wirkt unverdächtig und löst keine Heuristiken aus. Wie die Forscher von Lumen gegenüber The Register erklärten, ist Poesie

„ein ideales Medium, um eine wichtige Nachricht zu verbergen“

- Black Lotus Labs, zitiert von The Register

Der Angriffsweg selbst war dagegen ziemlich gewöhnlich. Bei LiteLLM, einem verbreiteten Proxy, über den Unternehmen Anfragen ihrer Anwendungen an verschiedene Modellanbieter weiterleiten, führte der mutmaßliche Exploit über eine präparierte POST-Anfrage an einen Verbindungsendpunkt. Die Schwachstelle: Zwei Endpunkte führten übermittelte Befehle auf dem Host aus, ohne die Berechtigungen zu prüfen. Sie erhielt die Kennung CVE-2026-42271 und wurde im Juni in den Katalog der US-Behörde CISA für nachweislich in Angriffen ausgenutzte Schwachstellen aufgenommen. Ein Sicherheitsupdate war bereits im April erschienen. Die meisten Opfer hatten den direkt aus dem Internet erreichbaren Dienst also mehrere Monate lang nicht aktualisiert.

Auf der Liste der Ziele stehen drei weitere Dienste, die Administratoren oft als Hilfswerkzeuge betrachten und deshalb leicht aus den Augen verlieren: Gotenberg, eine Docker-API zur Umwandlung von Dokumenten in PDF, deren Dokumentation ausdrücklich davor warnt, sie öffentlich zugänglich zu machen; Gitea, eine selbst gehostete Git-Plattform; und Ollama. Ollama ist standardmäßig nicht von außen erreichbar. Viele Nutzer ändern jedoch bewusst die Bind-Adresse auf 0.0.0.0, um vom Laptop oder Smartphone aus auf das Modell zuzugreifen. Die Forscher erwähnen außerdem Ivanti Sentry. Eine infizierte Instanz dieses Geräts führte sie auf die Spur der gesamten Kampagne.

Was ein Monat Kryptomining auf einer GPU kostet

Die Schadsoftware installierte XMRig und Iron, zwei gängige Miner, die an die Infrastruktur des Mining-Pools Kryptex angebunden waren. Die ersten 900 Opfer hatten genau eines gemeinsam: Sie kontaktierten einen russischen Dienst für Kryptowährungs-Mining. Das Motiv war also finanzieller Gewinn. Die Kosten lassen sich berechnen - und zwar für beide Seiten.

Nehmen wir als Beispiel einen typischen selbst gehosteten LLM-Rechner: eine RTX 4090 in einer Workstation und dazu einen Prozessor mit einem Dutzend Threads. XMRig schürft Monero vor allem auf der CPU, Iron kann die GPU auslasten. Läuft ein infizierter Rechner rund um die Uhr unter Volllast, zieht er etwa 500 bis 550 W aus der Steckdose. Im Leerlauf, während er auf eine Modellanfrage wartet, sind es ungefähr 80 W. Die Differenz beträgt 450 W. Über 720 Stunden im Monat ergibt das 324 kWh. Legt man für die Beispielrechnung den im Original angesetzten Strompreis für kleine Unternehmen von rund 1,10 ursprünglichen polnischen Währungseinheiten pro kWh zugrunde, entspricht der zusätzliche Stromverbrauch etwa 84 € im Monat. Aufs Jahr gerechnet sind es mehr als 1.010 € - mehr als die Hälfte des Kartenpreises.

Für die Angreifer sieht dieselbe Arbeit ganz anders aus. Monero-Mining auf einem Consumer-Prozessor mit einem Dutzend Threads erreicht ungefähr 10 bis 15 kH/s. Bei der aktuellen Hashrate des Monero-Netzwerks und einem Kurs von etwa 300 US-Dollar entspricht das rund 2 bis 3 US-Dollar pro Monat und Rechner, also ungefähr 1,79 bis 2,68 €. Der Besitzer der Hardware zahlt damit mehr als das Dreißigfache dessen, was der Dieb einnimmt. Bei 3.400 Rechnern summiert sich der Gewinn dennoch auf rund 8.035 € im Monat - bei Kosten von null. Die Stromrechnung der Opfer könnte sich auf rund 283.500 € monatlich belaufen, wenn ein erheblicher Teil der infizierten Hosts mit leistungsstarken GPUs statt mit kleinen VPS läuft. Genau deshalb ist KI-Infrastruktur ein attraktives Ziel: Nirgendwo sonst stehen so viele Rechner mit teuren Grafikkarten und Stromversorgung rund um die Uhr, deren Administratoren sie als „Testumgebung“ behandeln.

Was Betreiber selbst gehosteter Modelle tun sollten

Wer eine eigene Instanz betreibt, kann einige konkrete Punkte prüfen. Erstens: Lauscht Ollama auf 0.0.0.0? Ist die Umgebungsvariable OLLAMA_HOST auf diese Adresse gesetzt, kann jeder, der die IP-Adresse kennt, Anfragen an das Modell senden - und möglicherweise mehr. Standardmäßig ist dort 127.0.0.1 eingetragen; dabei sollte es bleiben. Für den Zugriff von außen empfiehlt sich ein SSH- oder WireGuard-Tunnel statt eines offenen Ports. Zweitens: Aktualisieren Sie LiteLLM auf eine Version mit dem im April veröffentlichten Sicherheitspatch oder neuer. Wenn Sie nicht wissen, welche Version läuft, gehen Sie vorsichtshalber davon aus, dass sie verwundbar ist. Drittens: Gotenberg und Gitea sollten nur im internen Netzwerk erreichbar sein. Die Dokumentation von Gotenberg weist ausdrücklich darauf hin.

Eine erste Diagnose ist einfach: Ein Miner lässt sich vor dem Stromzähler kaum verstecken. Wenn die Grafikkarte auf 70 Grad heiß wird und die Lüfter laufen, obwohl niemand eine Modellanfrage stellt, ist das kein „Aufwärmen des Modells“ - möglicherweise schürft jemand Kryptowährungen. Prüfen Sie Prozesse mit systemähnlichen Namen, die den Prozessor vollständig auslasten, sowie ausgehende Verbindungen zu Mining-Pools. Lumen hat eine Liste von Kompromittierungsindikatoren in seinem GitHub-Repository veröffentlicht und den Datenverkehr zu und von den PoeLLM-Steuerungsservern in seinem eigenen Backbone-Netz blockiert. Das bedeutet nicht, dass die Kampagne beendet ist, sondern nur, dass ein großer Kommunikationsweg geschlossen wurde.

Warum solche Kampagnen zunehmen dürften

Werkzeuge für den lokalen Betrieb von Modellen wurden wie Entwicklerwerkzeuge konzipiert: Sie sollen sofort nach der Installation funktionieren, ohne Konfiguration, Passwort oder Zertifikat. Für eine Anwendung auf dem Laptop ist das eine nachvollziehbare Annahme. Sie wird problematisch, wenn dasselbe Paket auf einem Server mit vier Grafikkarten und öffentlicher IP-Adresse landet, weil ein Team „schnell etwas testen“ wollte - und die Testumgebung anschließend dauerhaft online bleibt.

Der Diebstahl von Rechenleistung ist dabei noch das mildeste Szenario für ein schlecht gesichertes Modell-Gateway. Infizierte Server in der Kampagne Canto Incognito wurden auch zu Scannern und Exploit-Servern und griffen im Namen ihrer Besitzer weitere Rechner an. Noch schlimmer wäre ein Diebstahl der API-Schlüssel, die in der LiteLLM-Konfiguration gespeichert sind. Dann beträgt die Rechnung nicht 84 € monatlich für Strom, sondern so viel, wie Angreifer über Ihr Konto beim Modellanbieter an Tokens erzeugen, bevor Sie es bemerken. Bei den Preisen großer Reasoning-Modelle kann dieser Betrag innerhalb eines Tages so stark steigen, dass ein Monat Monero-Mining dagegen wie Kleingeld wirkt.

Stand der Fakten: 14. Oktober 2026. Quellen: Tom’s Hardware - Bericht über die Kampagne Canto Incognito, Lumen Black Lotus Labs und der KEV-Katalog der US-CISA zu CVE-2026-42271. Die Stromkosten sind eine redaktionelle Schätzung auf Basis der im Original angesetzten Energiepreise für kleine Unternehmen und der dort genannten Wechselkurse, keine lokale Preisangabe. Umgerechnete Beträge sind Schätzwerte, keine lokalen Checkout-Preise. Für die Umrechnung von US-Dollar in Euro wurde der EZB-Referenzkurs vom 14. Oktober 2026 verwendet: 1 EUR = 1,1195 USD. Quelle: EZB.

Häufig gestellte Fragen

Wie versteckte PoeLLM die Adresse seines Steuerungsservers?

Der Urheber veröffentlichte auf GitHub ein Gedicht mit dem Titel On the Nature of Connection. Vier bestimmte Wörter darin codierten eine IPv4-Adresse. Wenn die Infrastruktur umziehen musste, wurden diese Wörter ersetzt und ein neuer Commit veröffentlicht - insgesamt elfmal.

Wie viel kostet ein Monat Kryptomining den Betreiber eines infizierten Servers?

Ein infizierter Rechner mit einer RTX 4090 verbraucht im Dauerbetrieb rund 450 W mehr als im Leerlauf, also 324 kWh pro Monat. Legt man den im Original angesetzten Strompreis von etwa 1,10 ursprünglichen polnischen Währungseinheiten pro kWh zugrunde, entspricht das rund 84 € zusätzlichen Kosten im Monat und mehr als 1.010 € im Jahr - mehr als der halbe Preis der Grafikkarte.

Wie viele Server könnten bei der Kampagne Canto Incognito infiziert worden sein?

Black Lotus Labs zufolge waren mehr als 3.400 Server betroffen. Der Bericht veröffentlicht keine geografische Aufschlüsselung der Opfer; eine verlässliche Zahl für einzelne Länder lässt sich daraus daher nicht ableiten.

// weiterlesenCloudflare 1.1.1.1 vs. Google 8.8.8.8: 10 DNS-Server im Speed-TestBenchmarksGroßbritannien macht Strom steuerfrei - und ich bin sicher, Deutschland sollte nicht folgenTechnikWarum uraltes Denisova-Erbgut das Immunsystem der Ozeanier bis heute steuertArchäologie

Kinetyra