PoeLLM 恶意软件感染 3,400+ 台服务器以扩张加密货币挖矿僵尸网络

Ravie Lakshmanan2026年10月07日僵尸网络 / 加密货币劫持

网络安全研究人员正在关注一个新的恶意软件家族，观察到该家族以暴露的人工智能 (AI) 和大语言模型 (LLM) 基础设施为目标，旨在部署加密货币挖掘程序并进一步扩大僵尸网络的规模。

这一受经济利益驱使的活动被称为 Canto Incognito，已被发现安装包括 XMRig 和 Iron 在内的加密货币挖掘程序，并将受害者连接到俄罗斯加密货币挖掘服务 Kryptex。

“受感染的主机被重复用于扩大僵尸网络，”Lumen Black Lotus Labs 在与 The Hacker News 分享的一份报告中表示。“受感染的服务器被转变为扫描器和漏洞利用服务器，使攻击者能够发现并破坏其他有漏洞的系统。”

作为该活动一部分分发的恶意软件被代号为 PoeLLM，这是由于一种被描述为“创新”的技术，该技术将指令与控制 (C2) 地址隐藏在威胁攻击者编写并托管在 GitHub 存储库（“github[.]com/ejejejdfbbebe”）中的一首诗中。该存储库的第一次提交是在 2026年4月13日。

“每当他们建立一个新的 C2 时，他们就会修改诗中的几个单词，而恶意软件则从与这些单词关联的关键信息中推导出地址，”Lumen Technologies 的信息安全工程师 Ryan English 告诉 The Hacker News。

攻击主要针对企业面向互联网的部署，如 LiteLLM 和 Gotenberg，以及 Gitea 和 Ivanti Sentry 设备。

针对这些 LLM 实例并非巧合，因为其意图是滥用它们的计算能力进行非法加密货币挖掘。证据表明，该恶意软件自 2026年4月以来一直处于活跃状态，迄今为止已识别出超过 3400 台受害者服务器。感染主要集中在美国和西欧。

“在 6 月中旬的操作高峰期，该活动涉及近 2200 台受影响的服务器，每天有近 800 台处于活跃状态，”这家网络安全公司表示。“最近流向 SSH 和其他登录门户的流量表明攻击者正在尝试分布式暴力破解攻击；该能力的成熟度仍不确定。”

该活动的另一个显著方面是，它重新利用一些受感染的系统来扫描互联网以寻找类似的实例，向识别目标的暴露端口发送 HTTP POST 请求，指示它们从 C2 下载恶意软件。

基于意大利语伪迹和网络流指标的存在，Lumen Black Lotus Labs 以中等置信度将此活动归因于一名讲意大利语的威胁攻击者。该活动的最终目标是利用公开服务中的已知漏洞，将其招募到加密货币挖掘僵尸网络中，并将其中一部分转化为扫描器以扩大受害者范围。

“AI 基础设施正成为一个有吸引力的目标，”Lumen 表示。“暴露的 AI/LLM 服务之所以有价值，不仅是因为软件漏洞，还因为它们可能包含有用的数据，并且运行在适合挖掘的强大硬件上。”