Black Lotus Labs 披露 PoeLLM 恶意软件：用 GitHub 诗歌推导 C2 地址，攻击暴露的 AI 服务

暴露的 AI 服务可能让威胁行为者获取有价值的数据和强大的计算资源。自 2026 年 4 月以来，Black Lotus Labs®一直在追踪 PoeLLM，这是一个恶意软件活动，它利用托管在 GitHub 上的一首诗来引导受感染系统连接命令与控制服务器。阅读完整研究，了解我们如何瓦解该威胁并帮助保护 Lumen Defender℠ 客户。

关键要点

“PoeLLM”恶意软件利用并针对暴露的 AI/LLM 和开源服务。它主要影响面向互联网的易受攻击部署，如 LiteLLM、Ollama、Gotenberg 和 Gitea，可能还针对 Ivanti Sentry。
其命令与控制（C2）机制不同寻常且具有韧性。该恶意软件从托管在 GitHub 仓库中的一首诗里的关键词推导出当前的 C2 服务器。当行为者更改这首诗时，受感染系统可以计算出新的 C2 位置。
该活动似乎出于经济动机。PoeLLM 部署加密货币挖矿程序，包括 XMRig 和 Iron，并将受害者连接到 Kryptex 挖矿基础设施。
被攻陷的主机被重复利用以扩展僵尸网络。受感染的服务器被转变为扫描器和漏洞利用服务器，使行为者能够发现并攻陷更多易受攻击的系统。
自 2026 年 4 月以来活动显著增长。该恶意软件已影响超过 3,400 台受害服务器，峰值活动每天超过 800 台活跃服务器。
AI 基础设施正成为有吸引力的目标。暴露的 AI/LLM 服务之所以有价值，不仅因为软件漏洞，还因为它们可能包含有用的数据，并运行在适合挖矿的强大硬件上。
该活动利用易受攻击的边缘设备作为其 C2 基础设施的一部分，延续了边缘和网络设备被利用的日益增长的趋势。

跟随调查，了解 Black Lotus Labs 如何发现 PoeLLM 的基础设施、追踪其不同寻常的命令与控制方法并瓦解该威胁。

PoeLLM 针对暴露的 AI 基础设施

Black Lotus Labs 正在追踪“PoeLLM”恶意软件的使用，该恶意软件目前部署在一场加密货币挖矿和漏洞利用扫描活动中，目标是企业 AI 基础设施及其他应用，包括开发工具包。该恶意软件使用动态命令与控制（C2）框架，通过自定义转换密钥将发布在 GitHub 仓库中的一首诗里的单词和短语转换为行为者当前的 C2 服务器。

大多数受害者似乎运行着易受攻击版本的开源 AI/LLM 服务，如 LiteLLM 和 Ollama。该恶意软件还影响了数百台运行名为 Gotenberg 的开源 PDF 转换器和软件开发工具包 Gitea 的服务器。其他商业软件可能也已成为目标，包括 Ivanti Sentry。

该恶意软件至少自 2026 年 4 月以来一直活跃，继续感染新的受害者，主要集中在美国和西欧。我们评估 PoeLLM 与一名讲意大利语的威胁行为者有关，并通过利用公开暴露服务的漏洞进行部署。该恶意软件还包含将受害者转变为漏洞扫描器的功能，通过受感染主机代理攻击来扩大其受害者池。

全球热力图显示受 PoeLLM 恶意软件传播影响最严重的国家。美国和西欧对目标代理的采用率最高，也是大多数受害者所在的位置。

图 1：PoeLLM 受害者的全球分布，主要集中在美国和西欧

PoeLLM 受害者高度集中的特征表明，AI 之所以令人担忧，不仅在于其开发和利用新漏洞的速度。攻击者已经意识到，运行 AI/LLM 实现的服务器是极具吸引力的入侵目标——既因其作为情报来源的价值，也因其作为自托管、暴露于互联网且存在已知漏洞的服务的吸引力。在 Canto Incognito 行动中，支撑 AI 工作负载的底层 GPU 硬件可能也是以盈利为导向的加密货币挖矿行动的理想目标。随着 AI 基础设施的增长，企业攻击面正在迅速扩大，而新工具尽管能够访问强大的算力和有价值的企业数据，却往往无人监控其漏洞。

作为本次报告的一部分，Black Lotus Labs 已封锁所有进出 PoeLLM C2 服务器的流量，并将持续监控新的流量。自我们发现该恶意软件以来，Lumen Defender 客户一直受到保护，免受 PoeLLM 服务器侵害。我们鼓励安全团队查阅本文末尾列出的 IOC 和缓解策略。

追溯 PoeLLM 的发现与僵尸网络增长

Black Lotus Labs 定期跟踪针对边缘安全设备漏洞利用的新漏洞和威胁。我们最初是通过调查 Ivanti Sentry 漏洞 CVE-2026-10520 时发现 PoeLLM 基础设施的。2026 年 6 月初，一个被入侵的 Ivanti Sentry 受害者连接了位于 5.78.73[.]122 的专用服务器。在连接该 C2 后不久，该 Ivanti Sentry 受害者便开始扫描其他易受攻击的设备。

Black Lotus Labs 的遥测数据显示，首次包含隐藏 C2 地址诗句的 GitHub 提交是在 4 月 13 日进行的。来自首个已知 C2 路由器的早期流量表明，操作者曾短暂测试感染和有效载荷下载。

操作者于 5 月开始更广泛的扫描和利用，尤其是针对与 LiteLLM 和 Gotenberg 相关的暴露服务。被感染的服务器被用作额外的扫描和利用工作节点，帮助扩大挖矿僵尸网络。反复使用管理界面存在漏洞的路由器表明，攻击者将受损路由器重新利用，以提供其部分 C2 基础设施。

在 6 月中旬行动高峰期，该活动涉及近 2,200 台受影响服务器，每天有近 800 台活跃。近期针对 SSH 和其他登录门户的流量表明，攻击者正在试验分布式暴力破解攻击。然而，该能力的成熟度仍不确定。

折线图显示了过去 6 个月受害者数量的升降，峰值出现在 2026 年 6 月下旬和 10 月初。

图 2：PoeLLM 受害者数量，2026 年 4 月至 9 月

6 月初发现 C2 时，该活动已在运作。VirusTotal 上关于 5.78.73[.]122 服务器的报告列出了多个恶意 URL，包括 hxxp://5.78.73[.]122:81/private/python3.6 和 hxxp://5.78.73[.]122:81/private/bins.sh。这些 URL 路径后来在其他 PoeLLM C2 中也出现过，包括 120.224.114[.]212。

利用 Lumen 全球净流遥测数据，我们识别出超过 1,000 个额外 IP 正在联系 5.78.73[.]122。设备丰富数据（包括开放端口和横幅）显示，这些受害 IP 大多运行着 LiteLLM 和 Ollama 等 AI 工具，或其他存在已知漏洞的开源平台，包括 Gitea 和 Gotenberg。值得注意的是，Gotenberg 的安装指南明确警告不要将该服务暴露到互联网：

Gotenberg 安装指南中的截图，警告用户避免将该服务直接暴露到互联网

图 3：来源 https://gotenberg.dev/docs/getting-started/installation

除了与初始 C2 的联系外，前 900 个受害者的主要共同点是都与 5.180.174[.]162 有联系，这是俄罗斯加密货币挖矿服务“Kryptex”的一个端点。在 VirusTotal 上搜索引用该 Kryptex IP 地址的文件，引导我们找到了一个名为“libgcrypt”的 ELF 文件。

“libgcrypt”文件的内容是理解 PoeLLM 如何有效传播的关键。该恶意软件包含远程 shell 功能、Iron 和 XMRig 加密货币挖矿程序、HTTP/S 扫描能力，以及针对易受攻击目标的漏洞利用部署。

Canto Incognito 活动概览，展示了威胁行为者的流量如何通过当前 C2 进入企业 LLM，并在其中被用于加密货币挖矿、扫描更多受害者以及作为漏洞利用服务器。

图 4：Canto Incognito 活动概览

随着威胁行为者继续利用易受攻击的服务器，他们扩大了加密货币挖矿池。他们还获得了用于后续扫描和利用的额外攻击向量，正如我们在被入侵的 Ivanti Sentry 受害者身上看到的那样。受害者通过一种独特的 C2 机制与威胁行为者保持联系：一首关于互联网的诗。

恶意软件如是说：PoeLLM 源自诗歌的 C2

PoeLLM 恶意软件的一个关键组成部分是解读用户“ejejejdfbbebe”在 GitHub 仓库中发布的一首诗，用于找到当前的 C2 IP 地址。该仓库是 nodejs.org 网站源代码的一个分支，不过该恶意软件似乎与 NodeJS 代码或其网站没有任何关联。在一个名为“dash.css”的文件中（该文件名未出现在原始 nodejs.org 仓库中），行为者放置了一首题为 On the Nature of Connection 的诗。这首两节诗自 2026 年 4 月 13 日首次提交以来已更新 11 次。该诗的当前版本如图 5 所示：

GitHub 中的当前诗作，内容为：“On the Nature of Connection

在驱动器的无声嗡鸣中，机器开始说话，二极管的每一次脉动都将光穿过铜脉。

我们教会黑暗承载意义，一个字节一个字节——一种由闪电构建的语言，冰冷而纯净。

在加密之墙的另一边，一个信号找到了出路，远方服务器的滴答声回应着。

数据如水般穿过有序思想的裂缝，而在代码的某处，世界保持着正轨。”

图 5：截至 2026 年 9 月用于 C2 发现的 PoeLLM 诗句

该恶意软件包含自定义逻辑来解析这首诗并提取某些单词/短语，然后使用恶意软件主体中硬编码的字典将其转换为数字。C2 推导的逻辑如下：

函数“extract_poem_phrase_field”从诗歌正文中提取三个单词/短语，不区分大小写：

单词 1：位于“In the silent hum of ”和“,”之间的文本
单词 2：位于“each pulse of ”和“ threading”之间的文本
单词 3：位于“Beyond the wall of ”和“,”之间的文本

0x44a8db–0x44a99b 以不同方式提取第四个单词：

查找“of distant servers”
向前回退到上一个空白字符
要求该单词之前的 4 个字节为“the ”
将“the”之后的单词用作单词 4

从诗歌中提取的四个单词会与它们对应的数字相匹配；然后这些数字被组合起来，形成托管 C2 服务器的 IPv4 地址。下面是一个示例，说明先前的 C2 服务器地址（92.119.165[.]74）是如何根据上述逻辑以及恶意软件样本中的单词列表计算出来的：

Github 中当前的诗歌被拆解后显示，单词“driver”对应数字 92，单词“diode”对应数字 119，单词“decryption”对应 165，而单词“string”等于 74

图 6：2026 年 6 月 23 日发现的样本中 C2 诗歌转换密钥的拆解

这使受害服务器能够进行持久化的 C2 通信。当攻击者建立新的 C2 服务器时，诗歌中的关键词会在 GitHub 仓库中被更改，受害设备会自动推导出新的 C2 位置。自最初的 GitHub 提交以来，攻击者已更改诗歌 11 次，每次迭代的诗歌都会将受害者指向一个新的 C2 服务器。迄今为止所使用的 C2 服务器完整列表可在我们的 GitHub 仓库中找到，链接见本文末尾。

这是攻击者 GitHub 页面的截图，显示了另一首诗，因此我们可以看到只有四个关键词发生变化，而诗歌的其余部分保持不变。

图 7：C2 GitHub 诗歌的最近一次提交，显示关键词变化

在撰写本文时，恶意软件创建者尚未更改用于解读诗歌的模式。在我们观察到的 11 次迭代中，只有关键词发生了变化。

恶意软件来源

威胁行为者首次向 GitHub 仓库提交是在 2026 年 4 月 13 日。从诗歌中解码出的初始 C2 为 191.37.28[.]160，似乎被用于测试感染过程。该 IP 地址的地理位置指向巴西的一台路由器，其在端口 2222 上暴露了一个 Boa Web 服务器。该服务器上的路由器管理页面易受 CVE-2018-21027 和 CVE-2018-21028 影响，不过我们并未发现直接利用的证据。在首次向 GitHub 仓库提交大约一小时后，我们观察到该 C2 IP 联系了一台地理位置在意大利的服务器（57.131.5[.]211:80）。该服务器托管了域名“malwarescan[.]xyz”，该域名注册于 2026 年 2 月。

初始 C2 与位于意大利、域名为“malwarescan”的服务器之间的连接很有意思，因为 Black Lotus Labs 审查的 PoeLLM 样本包含意大利语注释，如下所示：

这是恶意软件从管理服务器发送到第一个 C2 时的截图，其中有值得注意的意大利语代码注释

图 8：初始 C2 联系及意大利语注释

我们没有观察到与端口 80 上的 malwarescan[.]xyz API 端点有任何其他值得注意的连接，这表明该域名/服务可能由 PoeLLM 创建者拥有和运营。

在联系了“malwarescan”服务器后，巴西C2开始接收来自Tor节点和其他几个专用服务器的入站连接，目标端口为81。全球IP骨干网遥测和恶意软件分析表明，PoeLLM受害者被指示从C2服务器的81端口下载恶意文件，因此我们评估这些通信是对文件下载功能的初步测试。

PoeLLM的C2基础设施与受害者网络

在2026年4月的初步测试浪潮之后，该恶意软件于5月开始获得受害者。诗歌内容发生了更改，随后在120.224.114[.]212发现了一个新的C2。该IP地理位置定位在中国，并且与前面提到的原始巴西C2一样，托管着一个存在漏洞的Boa Web服务器，带有路由器管理页面。这种存在漏洞的路由器管理页面的模式在后来源自GitHub诗歌的C2服务器中反复出现。这表明PoeLLM行为者反复利用存在漏洞的路由器作为恶意软件托管和C2服务器，而不是为恶意目的租用专用服务器。

被入侵的路由器C2与一个地理位置定位在意大利的服务器保持持续通信，该服务器位于185.119.19[.]171。该服务器此前托管着Prometheus和Uptime Kuma监控仪表板。另外两个PoeLLM C2连接到了该服务器：5.78.73[.]122和178.128.14[.]204。基于意大利语痕迹、网络流指标以及该服务器上托管的服务，我们以中等信心评估其充当PoeLLM行为者用于管理C2基础设施和僵尸网络运营的管理界面。

随着5月新C2的部署，PoeLLM行为者开始利用已知漏洞入侵受害者。基于我们对恶意软件和Lumen全球骨干网遥测的分析，该行为者最初对存在漏洞的服务进行了互联网范围的扫描。虽然针对了多个端口，但主要目标是3000和4000端口，这两个端口恰好分别是Gotenberg和Lite
LLM实现的主要端口。

当侦察工作识别出存在漏洞的目标时，利用服务器会向目标设备上暴露的端点发送一个精心构造的POST请求，指示其从81端口的C2下载文件。在一个特定的PoeLLM样本中发现的LiteLLM利用示例的POST请求如下所示：

恶意软件代码截图，显示正在向存在漏洞的设备发送POST请求，该请求将指示其从恶意软件服务器下载文件。

图9：包含发送至存在漏洞设备的POST请求的恶意软件片段

威胁行为者将先前的受害者重新用作利用服务器，我们识别出从这些IP到目标设备3000和4000端口的大量出站流量。这两个端口分别是Gotenberg和LiteLLM的监听端口。

基于Black Lotus Labs审查的一个PoeLLM恶意软件样本（6fab94577364beec314afae3b082dd680933f08a8349b9f35b92667e8231b501），被滥用的特定LiteLLM端点——“/mcp-rest/test/connection”很可能是利用路径。该端点在LiteLLM命令注入漏洞CVE-2026-42271中被引用。

恶意软件被下载到受害服务器后，会回连到多个C2端口之一：3778、5001、5002或9999。自4月首次出现以来，PoeLLM已影响近2，200台受害服务器。在高峰期，该恶意软件每天在近800台服务器上活跃。

受PoeLLM感染的受害者组成的僵尸网络已被武器化，用于多种用途。已观察到网络中的僵尸程序联系Kryptex[.]ru矿池中的多个节点，推测是通过恶意软件载荷中包含的XMRig和Iron矿工实现的。除了前面提到的Kryptex端点5.180.174[.]162:8029外，我们还观察到受害者连接到46.21.245[.]211:7029，该地址托管着edge-ru-07[.]kryptex[.]network。

除了加密货币挖矿之外，许多PoeLLM僵尸程序已被重新用作利用服务器。感染后，多台受害服务器被征召为利用杀伤链中的工作节点。除了扫描更多受害者并将易受攻击的目标引导回原始C2之外，最近还观察到受害服务器池针对SSH端口和其他暴露服务的登录门户，这表明PoeLLM运营者可能正在试验一种分布式暴力破解框架。然而，这种分布式攻击能力的许多目标都是位于意大利的专用服务器。我们评估认为，在撰写本文时，该框架可能仍处于早期开发阶段。

如何保护AI基础设施免受PoeLLM侵害

随着AI在开发和日常运营中的参与度越来越高，企业通过纳入AI基础设施迅速扩大其攻击面，这些代理的安全性不能为便利性让路。更新面向互联网的AI和企业工具的延迟会带来高度可信的访问权限。将AI工具纳入攻击面管理以及补丁和更新周期，不仅对于保护企业免受令牌使用滥用和加密货币挖矿（如本次活动中所证实）至关重要，更重要的是防止数据丢失、LLM劫持和横向移动。

像LiteLLM和Ollama这样的开源AI工具已在多个层面被威胁行为者频繁针对——既通过供应链入侵，也通过此处所见的直接利用。此外，正如Gotenberg安装说明中所指出的，将有用的API保护在防火墙之后，可以防止威胁行为者将你的服务器视为目标，无论是在主动监视还是被动扫描中。

对于网络防御者和上述代理的用户，我们建议如下：

检查网络监控日志中是否存在与IOC的连接（也可在我们的GitHub页面上找到）。
在安装新的开源工具后持续审计外部暴露情况，并尽可能限制所需服务端口的外部访问。
遵循路由器、防火墙和IoT设备的最佳实践，包括定期重启以及及时的安全更新和补丁。
考虑使用托管的安全访问服务边缘（SASE）来减少外部攻击面并保持设备更新。
利用攻击面管理和监控工具来降低暴露设备带来的风险。

入侵指标

PoeLLM C2列表

我们识别出12个与该活动相关的C2 IP地址。截至发稿时，其中三个仍然活跃：

92.119.164.50（首次发现于2026年7月23日）
103.249.201.108（首次发现于2026年8月13日）
178.128.14.204（首次发现于 2026 年 6 月 16 日）

在此次活动期间观察到的其他基础设施包括：

191.37.28.160（2026 年 4 月 13 日至 5 月 16 日）
89.39.253.46（2026 年 4 月 14 日至 6 月 24 日）
120.224.114.212（2026 年 5 月 9 日至 9 月 8 日）
5.78.73.122（2026 年 6 月 8 日至 8 月 22 日）
15.204.178.28（2026 年 6 月 14 日至 8 月 17 日）
92.119.165.74（2026 年 7 月 1 日至 7 月 23 日）
45.133.73.28（2026 年 7 月 18 日至 7 月 22 日）
185.132.53.158（2026 年 7 月 19 日至 9 月 12 日）
136.148.69.233（2026 年 9 月 12 日至 9 月 25 日）

探索更多威胁资源

查看这些最新的 IOC，并访问我们的 GitHub 页面，我们会持续更新。

如需更广泛的威胁防护和洞察，请探索以下资源：

了解我们如何通过 Lumen Defender^SM 帮助保护客户。
阅读 Lumen Defender Threatscape 报告，了解现代网络威胁如何演变。
通过在 LinkedIn 或 X（@BlackLotusLabs）上联系我们，与我们合作开展类似研究。

对 PoeLLM 恶意软件及活动的分析由 Black Lotus Labs 完成。

借助实时追踪威胁的研究人员提供的情报，领先于不断演变的民族国家威胁。探索 Black Lotus Labs，获取最新威胁研究、技术分析和洞察，帮助加强企业防御。

_{此内容仅供参考，最终用户可能需要进一步研究和证实。此外，这些信息按“原样”提供，不附带任何明示或暗示的保证或条件。使用此信息的风险由最终用户自行承担。Lumen 不保证这些信息能满足最终用户的要求，也不保证实施或使用这些信息会达到最终用户的预期结果。本文中提及的所有第三方公司及产品或服务名称仅用于识别目的，并不意味着与 Lumen 存在认可或关联关系。本文档代表截至发布之日 Lumen 的产品和 offerings。服务并非在所有地区均可提供。Lumen 可自行决定更改或取消产品或服务，或替换为类似的产品或服务，恕不另行通知。© 2026 Lumen Technologies。保留所有权利。}

primaryOrange

了解更多

_blank

image

Black Lotus Labs 标志，名称以黑色字母显示，右侧有一朵黑色莲花图案。

content

作者

Black Lotus Labs

Black Lotus Labs® 的使命是利用我们的网络可见性帮助保护客户并保持互联网清洁。