一場名為 Canto Incognito 的以財利為目的之加密貨幣挖礦活動，利用暴露的 AI 及大型語言模型 (LLM) 基礎設施中的漏洞，已入侵超過 3,400 台伺服器，主要分佈於美國與西歐。該活動使用代號為 PoeLLM 的惡意軟體，將受害伺服器轉變為掃描器以及進一步感染的跳板。Lumen Black Lotus Labs 發現此活動始於 2026 年 4 月，並在 6 月中旬達到高峰，受影響伺服器近 2,200 台。該惡意軟體會安裝包括 XMRig 和 Iron 在內的加密貨幣挖礦程式，並將受害者連接至俄羅斯加密貨幣挖礦服務 Kryptex。
PoeLLM 惡意軟體採用一種獨特技術來隱藏其指令與控制 (C2) 位址，將其隱藏在託管於 GitHub 的一首詩中。根據 Lumen Technologies 的資訊安全工程師 Ryan English 表示，威脅參與者會修改該首詩，以便在每次設定新伺服器時更改 C2 位址，該位址是從修改後的文本關鍵字中推導而來。目標服務包括 LiteLLM 和 Gotenberg 的企業部署，以及 Gitea 和 Ivanti Sentry 設備。受害伺服器被重新利用以掃描類似的漏洞系統，並發送 HTTP POST 請求以下載惡意軟體。
Lumen Black Lotus Labs 根據義大利語的人造物和網路流量指標，以中等信心將此活動歸因於一名說義大利語的威脅參與者。近期活動顯示其正在嘗試分佈式暴力破解攻擊，但此能力的成熟度仍不確定。該活動對 AI 基礎設施的關注凸顯了這些服務作為目標的吸引力日益增加，這不僅是因為軟體漏洞，還因為其強大的運算能力。
目前尚不清楚之處
• 分佈式暴力破解攻擊能力的成功實施程度仍不明確。
• 目標服務中被利用的具體漏洞尚未詳細說明。
閱讀原始報道
💬 评论
📜 评论政策