Ciberdelincuentes usan un poema para infectar miles de servidores con malware

Investigadores de ciberseguridad descubrieron una campaña de ataques que utiliza un poema generado por inteligencia artificial como mecanismo para ocultar y actualizar la dirección del servidor de mando y control que coordina un malware de minería de criptomonedas .

El hallazgo corresponde a Black Lotus Labs, la división de investigación de amenazas de la empresa Lumen, que calificó la técnica como “ poesía adversarial ” y aseguró no haber visto nada similar hasta ahora.

El atacante, cuyo origen parece ser italiano o que al menos opera desde Italia, rastrea servicios expuestos a internet con vulnerabilidades conocidas, entre ellos LiteLLM y Ollama.

Una vez identificado un sistema vulnerable, instala un software malicioso denominado PoeLLM, que constituye la pieza central de toda la operación .

Un poema alojado en GitHub oculta la dirección del servidor Tras instalarse en el equipo comprometido, PoeLLM accede a GitHub para localizar un poema que, según los investigadores, parece haber sido redactado por una inteligencia artificial.

El texto, titulado “On the Nature of Connection”, incluye versos como “En el zumbido silencioso del driver, las máquinas comienzan a hablar” y “Más allá del muro del cifrado, una señal encuentra su camino”.

El malware identifica dentro de esos versos palabras específicas —driver, diode, decryption y tick— y las traduce en números mediante un diccionario que tiene incorporado de forma fija en su código.

La combinación de esos valores genera una dirección IPv4 que corresponde a la ubicación del servidor de mando y control.

Una vez que PoeLLM calcula la dirección, se conecta con el servidor y recibe instrucciones sobre los pasos siguientes.

En la mayoría de los casos, la orden consiste en instalar XMRig, un programa de minería que aprovecha la energía eléctrica, la capacidad de cómputo y la conexión a internet del dispositivo infectado para generar la criptomoneda Monero en beneficio del atacante.

El malware también puede funcionar como un escáner que busca nuevos sistemas vulnerables, lo que le permite al operador expandir su red de equipos comprometidos.

La ventaja operativa del esquema radica en su flexibilidad: si el atacante necesita trasladar la infraestructura del servidor de mando y control, le basta con modificar algunas palabras del poema publicado en GitHub .

Cuando los dispositivos infectados consultan la versión actualizada del texto, recalculan automáticamente la nueva dirección IP sin que sea necesario distribuir una actualización del malware.

Según el medio especializado The Register, el poema ha sido modificado 11 veces desde su publicación inicial , con la actualización más reciente registrada en septiembre de 2026.