Canto Incognito colpisce i server AI: una poesia su GitHub guida PoeLLM e scatena cryptojacking botnet

Una nuova campagna di malware sta prendendo di mira infrastrutture AI e LLM esposte su internet con un obiettivo chiaro: sfruttare la potenza di calcolo dei server per il crypto mining e far crescere una botnet. La campagna è stata identificata come Canto Incognito e risulta attiva almeno da aprile 2026, con oltre 3400 server compromessi.

Le infezioni si concentrano soprattutto negli Stati Uniti e in Europa occidentale, un segnale di quanto siano diffuse le installazioni enterprise raggiungibili dall’esterno e spesso configurate in modo non sicuro.

Il malware principale utilizzato è stato denominato PoeLLM e si distingue per una tecnica insolita di comando e controllo. Invece di incorporare direttamente l’indirizzo C2 nel codice o recuperarlo da domini evidenti, gli attaccanti lo nascondono dentro una poesia pubblicata su un repository GitHub. Il programma estrae l’indirizzo C2 tramite parole chiave presenti nel testo, e quando gli operatori cambiano infrastruttura modificano solo alcuni termini della poesia. Questo approccio rende più difficile il rilevamento basato su indicatori statici e permette una rotazione rapida dei server di controllo.

Dal punto di vista operativo, l’attacco colpisce servizi enterprise esposti e usati spesso come componenti di pipeline AI o come strumenti di automazione. Tra i bersagli osservati figurano distribuzioni LiteLLM e Gotenberg, oltre a piattaforme come Gitea e appliance Ivanti Sentry. Una volta ottenuto l’accesso, gli attori installano miner di criptovalute come XMRig e Iron e collegano le vittime a Kryptex, un servizio di mining. Il risultato è un consumo elevato di CPU e risorse, con impatti diretti su prestazioni, costi cloud e disponibilità dei servizi.

Un elemento chiave della campagna è il riutilizzo degli host compromessi per espandere la botnet. I server infetti vengono trasformati in scanner ed exploit server che cercano nuove istanze vulnerabili su internet. In alcuni casi, i sistemi già compromessi inviano richieste HTTP POST verso porte esposte di altri target per ordinare il download del malware dal C2, creando un effetto moltiplicatore. Sono stati anche osservati segnali di sperimentazione con attacchi brute force distribuiti verso SSH e altri portali di login, a indicare un possibile ampliamento delle capacità offensive.

La crescita degli ambienti AI pubblicamente accessibili rende questo scenario particolarmente critico. Oltre alle vulnerabilità software, questi sistemi possono contenere dati utili e spesso girano su hardware potente, ideale per il cryptojacking. Mettere in sicurezza le istanze LLM significa ridurre la superficie esposta, applicare patch tempestive e monitorare traffico anomalo e processi di mining che indicano compromissione.