挖矿恶意软件 PoeLLM 借诗歌作 C2 感染超 3400 台服务器

Lumen 的网络安全研究团队 Black Lotus Labs 报告称，在一场名为 Canto Incognito、自 2026 年 4 月起被追踪的攻击活动中，超过 3,400 台“受害服务器”遭到 加密货币挖矿恶意软件 PoeLLM 的攻击。该恶意软件的“命令与控制（C2）机制”利用 GitHub 上一首两节诗中四个单词的地址编码来将受感染主机指向新的 C2 服务器，迄今已更改 11 次。大多数受害服务器似乎运行着“存在漏洞的开源 AI/LLM 服务版本，例如 LiteLLM 和 Ollama”，尽管 4 月的一次 LiteLLM 修复很可能已修补了该利用路径。

该恶意软件的载荷由 XMRig 和 Iron 挖矿程序组成，连接到 Kryptex 挖矿基础设施，受感染的服务器会变成扫描器和漏洞利用服务器。Lumen 表示，“前 900 个受害者最主要的共同点”是都曾与“俄罗斯加密货币挖矿服务的一个端点”有过联系。这表明其动机可能是经济利益。“AI 基础设施正成为一个有吸引力的目标”，因为暴露的 AI 服务可能包含有价值的数据以及硬件访问权限，尤其是 GPU。与此同时，它已“阻止了所有进出 PoeLLM C2 服务器的流量”。

获取 Tom's Hardware 的最佳新闻和深度评测，直接发送到您的收件箱。