PoeLLM-malware: een gedicht stuurde 3.400 AI-servers aan
PoeLLM misbruikte kwetsbare AI-servers om cryptovaluta te minen. Zo werkte de aanval en zoveel stroom kan één besmette machine kosten.
👁 114 keer gelezen
Black Lotus Labs, onderdeel van Lumen, beschreef een campagne die het sinds april 2026 volgt onder de naam Canto Incognito. De malware PoeLLM trof meer dan 3.400 servers. Op de meeste daarvan draaiden kwetsbare versies van opensourcediensten voor taalmodellen, met name LiteLLM en Ollama. De malware was niet bedoeld om gegevens te stelen of slachtoffers af te persen, maar om cryptovaluta te minen op andermans apparatuur.
Het opvallendste onderdeel van de operatie was de manier waarop besmette machines ontdekten waar ze de commandoserver moesten zoeken. De aanvaller plaatste op GitHub een gedicht met de titel On the Nature of Connection, bestaande uit twee strofen. Vier specifieke woorden in de tekst codeerden een IPv4-adres. Wanneer de infrastructuur naar een nieuwe machine moest verhuizen, verving de aanvaller die woorden en plaatste een nieuwe commit. Dat gebeurde tot nu toe 11 keer. De malware downloadde het bestand, haalde de juiste woorden eruit en stelde daarmee het adres samen. Volgens de onderzoekers veranderde het decodeerschema geen enkele keer. Nadat ze het hadden gekraakt, konden ze dus volgende verhuizingen voorspellen.
Geen aanval op het model, maar op de server
Deze aanval moet je niet verwarren met de veelbesproken “adversariële poëzie”: technieken waarbij schadelijke verzoeken in dichtvorm worden gegoten om de beveiliging van taalmodellen te omzeilen. In dit geval kreeg geen enkel model het gedicht te zien en werd er niets in een prompt geïnjecteerd. Het gedicht was een gewoon publicatiekanaal voor een serveradres. Een literaire tekst op GitHub ziet er niet verdacht uit en activeert geen heuristische detectie. Zoals de onderzoekers van Lumen tegen The Register zeiden, is poëzie
“een ideaal medium om een belangrijke boodschap te verbergen”
- Black Lotus Labs, geciteerd door The Register
De aanvallers kwamen op een heel andere, alledaagse manier binnen. Bij LiteLLM, een populaire proxy waarmee bedrijven het verkeer van hun apps via één punt naar verschillende modelaanbieders leiden, liep de aanval waarschijnlijk via een speciaal vervaardigd POST-verzoek naar een verbindingsendpoint. Door een kwetsbaarheid konden twee endpoints aangeleverde opdrachten uitvoeren op de host zonder de rechten te controleren. De kwetsbaarheid kreeg de identificatie CVE-2026-42271 en werd in juni opgenomen in de catalogus van kwetsbaarheden die daadwerkelijk bij aanvallen worden gebruikt, bijgehouden door de Amerikaanse CISA. De patch verscheen al in april. Dat betekent dat veel slachtoffers hun rechtstreeks vanaf internet bereikbare dienst maandenlang niet hadden bijgewerkt.
Op de lijst met doelwitten staan ook drie diensten die beheerders als hulpmiddelen beschouwen en daardoor makkelijk over het hoofd zien: Gotenberg, een Docker-API voor het omzetten van documenten naar pdf waarvan de documentatie uitdrukkelijk waarschuwt dat je die niet op het openbare internet moet zetten; Gitea, een zelfgehost platform voor Git; en Ollama. Ollama is standaard niet van buitenaf bereikbaar, maar veel gebruikers veranderen bewust het luisteradres in 0.0.0.0 om vanaf een laptop of telefoon bij het model te kunnen. De onderzoekers noemen ook Ivanti Sentry: een besmette instantie van dat apparaat bracht hen op het spoor van de hele campagne.
Wat een maand cryptomining aan stroom kan kosten
De payload bestond uit XMRig en Iron, gangbare miners die waren gekoppeld aan de infrastructuur van miningpool Kryptex. De eerste 900 slachtoffers hadden één ding gemeen: ze hadden contact gehad met een endpoint van een Russische cryptominingdienst. Het motief was dus financieel en is te becijferen, maar daarvoor moet je beide kanten van de rekening bekijken.
Neem een typische zelfgehoste LLM-configuratie: een RTX 4090 in een workstation en een processor met een dozijn threads. XMRig minet Monero vooral op de CPU; Iron kan de GPU belasten. Een besmette machine die continu op volle kracht draait, trekt ongeveer 500-550 W uit het stopcontact. Dezelfde machine verbruikt ongeveer 80 W wanneer die niets doet en op een modelverzoek wacht. Het verschil is 450 W. Over 720 uur per maand komt dat neer op 324 kWh. Bij een stroomtarief van ongeveer € 0,29 per kWh - omgerekend op basis van de in het oorspronkelijke artikel genoemde prijs - kost dat naar schatting € 84 per maand extra voor één besmette machine. Op jaarbasis is dat meer dan € 1.009, oftewel ruim de helft van de prijs van de kaart.
Voor de aanvaller ziet dezelfde inspanning er heel anders uit. Monero minen op een consumentenprocessor met een dozijn threads levert ongeveer 10-15 kH/s op. Gecombineerd met de huidige rekenkracht van het Monero-netwerk en een muntprijs van rond de 300 dollar komt dat neer op ongeveer 2-3 dollar per maand per machine, oftewel circa € 1,79-€ 2,68. De eigenaar van de apparatuur betaalt dus meer dan dertig keer zoveel als de aanvaller verdient. Maar bij 3.400 machines loopt die kleine opbrengst op tot ongeveer € 8.036 per maand aan inkomsten, zonder kosten. De gezamenlijke stroomrekening van slachtoffers kan oplopen tot € 283.500 per maand, als een aanzienlijk deel van de besmette hosts krachtige GPU-machines zijn en geen kleine VPS’en. Dat maakt AI-infrastructuur een aantrekkelijk doelwit: nergens staan zoveel dure grafische kaarten zo dicht bij elkaar, met stroomvoorziening die dag en nacht aanstaat en beheerders die ze als “testomgeving” beschouwen.
De bedragen in euro’s zijn schattingen, geen lokale stroomtarieven of checkoutprijzen. Voor de omzetting van dollarbedragen naar euro’s is de ECB-referentiekoers van 14 oktober 2026 gebruikt: 1 EUR = 1,1195 USD. Bron: ECB.
Wat je vanavond kunt doen als je zelf een model host
Een concrete checklist voor wie een eigen instantie beheert. Controleer eerst of Ollama op 0.0.0.0 luistert. Als de omgevingsvariabele OLLAMA_HOST op dit adres staat, kan iedereen die je IP-adres kent verzoeken naar het model sturen en mogelijk meer. Standaard staat het adres op 127.0.0.1; laat dat zo. Regel toegang van buitenaf via een SSH-tunnel of WireGuard, niet door een poort open te zetten. Werk LiteLLM vervolgens bij naar de versie met de patch uit april of een nieuwere versie. Weet je niet welke versie je hebt, ga er dan van uit dat je versie kwetsbaar is. Zorg ten slotte dat Gotenberg en Gitea alleen op het interne netwerk bereikbaar zijn. De documentatie van Gotenberg is daar heel duidelijk over.
Controleren is eenvoudig, want een miner kan zich niet verbergen voor je energiemeter. Loopt de temperatuur van je grafische kaart op tot 70 graden en draaien de ventilatoren terwijl niemand een verzoek naar het model stuurt? Dan is het niet “het model dat opwarmt”, maar mogelijk iemand die aan het minen is. Controleer processen met namen die op systeemdiensten lijken maar de hele processor opslokken, en controleer uitgaande verbindingen naar poorten van miningpools. Lumen heeft een lijst met indicatoren voor een besmetting gepubliceerd in zijn GitHub-repository en heeft al het verkeer van en naar de PoeLLM-commandoservers in zijn backbone geblokkeerd. Dat betekent niet dat de campagne voorbij is, alleen dat één grote route is afgesloten.
Waarom er waarschijnlijk meer van dit soort aanvallen komen
Tools om modellen lokaal te draaien zijn ontwikkeld als ontwikkelaarstools: ze moeten meteen na installatie werken, zonder configuratie, wachtwoord of certificaat. Dat is een redelijke aanname voor software op een laptop. Het is dat niet meer wanneer hetzelfde pakket op een server met vier grafische kaarten en een openbaar IP-adres terechtkomt, omdat een team “snel iets wilde testen” en de testomgeving vervolgens permanent bleef bestaan.
Rekenkracht stelen is bovendien het minst ernstige scenario voor een slecht beveiligde toegangspoort tot modellen. Besmette servers in de Canto Incognito-campagne werden ook scanners en servers voor het uitvoeren van aanvallen: ze vielen andere machines aan namens de eigenaar. Een ernstiger variant is het lekken van API-sleutels die in de configuratie van LiteLLM staan. Dan bedraagt de rekening niet € 84 per maand aan stroom, maar zoveel tokens als iemand op jouw account bij een modelaanbieder kan genereren voordat je het merkt. Bij tarieven voor grote redeneermodellen kan dat bedrag binnen een dag oplopen tot meer dan een maand Monero-mining.
Feiten gecontroleerd op 14 oktober 2026. Bronnen: Tom’s Hardware - verslag over de Canto Incognito-campagne, Lumen Black Lotus Labs en de KEV-catalogus van de Amerikaanse CISA (CVE-2026-42271). De schattingen van de energiekosten zijn een eigen berekening op basis van het verbruik en de stroomprijs uit de oorspronkelijke analyse; ze komen niet uit een rapport van Lumen.
Google · Jouw bronnenHoger in Google - met één klikToevoegen aan voorkeursbronnen →Veelgestelde vragen
Hoe verborg PoeLLM het adres van de commandoserver?
De aanvaller plaatste op GitHub een gedicht met de titel On the Nature of Connection, waarin vier specifieke woorden een IPv4-adres codeerden. Wanneer de infrastructuur moest verhuizen, werden die woorden vervangen en verscheen er een nieuwe commit. Dat gebeurde in totaal 11 keer.
Wat kost een maand cryptomining aan stroom voor de eigenaar van een besmette server?
Een besmette machine met een RTX 4090 die continu draait, verbruikt ongeveer 450 W meer dan wanneer die niets doet. Dat komt neer op 324 kWh per maand. Bij het genoemde stroomtarief is dat naar schatting € 84 extra per maand, of ruim € 1.009 per jaar - meer dan de helft van de prijs van de kaart.
Hoeveel servers zijn mogelijk besmet geraakt in de Canto Incognito-campagne?
De onderzoekers meldden meer dan 3.400 besmette servers. Lumen heeft geen uitsplitsing per land gepubliceerd, dus op basis van de beschikbare informatie is niet vast te stellen hoeveel servers in een bepaald land zijn getroffen.
More on this from HELDER
ai-overzicht·NVIDIA in het VK: AI-ambities worden tastbare systemenNVIDIA investeert honderden miljoenen in Britse AI-infrastructuur. Van banken tot ziekenhuizen: hoe het VK theorie omzet in productie.