Un malware que utiliza un poema de GitHub para localizar su servidor de control ya ha conseguido infectar más de 3.000 equipos. El descubrimiento lo han hecho los investigadores de Black Lotus Labs, la división de ciberseguridad de Lumen, que han identificado una campaña bautizada como Canto Incognito. El programa malicioso se llama PoeLLM, y utiliza palabras del poema para saber dónde tiene que conectarse.Según recogen en TechRadar, los atacantes están aprovechando servicios de inteligencia artificial vulnerables y expuestos a Internet, entre ellos LiteLLM y Ollama. Una vez consiguen entrar en uno de estos servidores, pueden utilizarlo para minar criptomonedas o buscar nuevas víctimas. Lo curioso del asunto es que las instrucciones para localizar a quienes controlan el malware están escondidas en un texto que cualquiera puede consultar.Un poema de GitHub que esconde una dirección IP entre sus versos El poema se titula On the Nature of Connection y está publicado en GitHub, una plataforma que ya fue noticia hace unos meses por un posible hackeo de repositorios internos. En esta ocasión, sin embargo, los atacantes no necesitan vulnerar la seguridad de GitHub para utilizarlo. Les basta con mantener el texto alojado públicamente y hacer que PoeLLM lo consulte después de infectar un equipo.¿Y qué hace exactamente con el poema? Pues busca determinadas palabras, como driver, diode o tick, y las interpreta utilizando un diccionario que convierte esas palabras en números. Al combinar los valores obtenidos, el programa construye una dirección IP, que es lo que necesita para encontrar el servidor desde el que los atacantes le envían nuevas órdenes.La ventaja de este sistema es que permite cambiar de servidor de control sin modificar el malware. Si los responsables de la campaña necesitan trasladar sus operaciones a otra dirección, sólo tienen que editar el poema y sustituir las palabras correspondientes. Los equipos infectados obtendrán la nueva dirección cuando vuelvan a consultar el texto. De hecho, los investigadores han contabilizado 11 modificaciones del poema, la última de ellas en septiembre de 2026.Black Lotus Labs ha denominado a este procedimiento adversarial poetry, que podría traducirse como poesía adversaria. El texto parece haber sido generado mediante inteligencia artificial, aunque no hay constancia de que una IA intervenga en su interpretación. PoeLLM no necesita comprender los versos ni su significado; simplemente busca las palabras que tiene registradas y realiza las conversiones necesarias para averiguar dónde debe conectarse.Más de 3.000 servidores infectados y una red que sigue buscando nuevas víctimas Una vez establecida la comunicación, el malware recibe las órdenes de los atacantes. Una de ellas consiste en instalar XMRig, un programa utilizado para minar criptomonedas que, en este caso, se dedica a generar Monero. De esta forma, los servidores comprometidos pueden acabar minando criptomonedas para los ciberdelincuentes, que aprovechan una capacidad de procesamiento y unos recursos eléctricos por los que no están pagando.Pero la campaña no se limita al minado. Los investigadores han descubierto que PoeLLM puede utilizar los equipos infectados para buscar otros servidores vulnerables, de manera que las propias víctimas contribuyen a extender el ataque. Es lo que se conoce como una botnet, una red de dispositivos que obedecen las instrucciones de un tercero sin autorización de sus propietarios.El uso de plataformas de desarrollo para actividades maliciosas no es precisamente nuevo. Hace unos meses ya conocimos un ataque que afectó a miles de repositorios de código abierto mediante la introducción de código malicioso. La diferencia es que Canto Incognito utiliza GitHub para comunicar una dirección, en lugar de necesitar que los usuarios descarguen un programa infectado desde uno de sus repositorios.Y hay otra particularidad que ha llamado la atención de Black Lotus Labs. Mientras que otras campañas recientes se han concentrado en atacar un único servicio, Canto Incognito explota vulnerabilidades de diferentes servicios de IA. Los investigadores la comparan con el ataque a la cadena de suministro de LiteLLM ocurrido este mismo año, que afectó a unas 2.500 víctimas, pero se limitó a un solo servicio.De acuerdo con los investigadores, si los responsables se hubiesen concentrado únicamente en una o dos vulnerabilidades, el número de posibles víctimas se habría reducido mucho más rápidamente. Al ampliar los servicios atacados, han conseguido una red de dispositivos infectados más grande y potencialmente más rentable, que además puede continuar buscando nuevos objetivos mientras siga recibiendo instrucciones.En cuanto a los responsables de la campaña, las pesquisas apuntan a un atacante que podría encontrarse en Italia, aunque por ahora no hay una atribución confirmada. Tampoco se conoce el alcance definitivo de las infecciones, más allá de los equipos identificados por Black Lotus Labs. Lo que sí han podido comprobar es que PoeLLM aprovecha servidores vulnerables y accesibles desde Internet, por lo que mantener esos servicios actualizados y restringir los accesos innecesarios resulta especialmente importante.