گزارش‌های جدید Black Lotus Labs نشان می‌دهد که هزاران سرور هک شده، برای یافتن آدرس سرور فرماندهی و کنترل (C2) خود، از شعری که در پلتفرم GitHub منتشر شده است استفاده می‌کنند. این بدافزار که PoeLLM نامیده شده، به سرویس‌های AI و ابزارهای متن‌باز (Open-source) آسیب‌پذیر نفوذ کرده، اقدام به استخراج رمزارز می‌کند و از این سیستم‌ها برای شکار قربانیان جدید بهره می‌برد.
جزئیات کمپین Canto Incognito
این عملیات که Canto Incognito نامگذاری شده، احتمالاً توسط یک عامل تهدید (Threat Actor) ایتالیایی‌زبان با اهداف مالی هدایت می‌شود. این کمپین از آوریل ۲۰۲۶ فعال بوده و بیش از ۳۴۰۰ سرور، عمدتاً در ایالات متحده و اروپای غربی را هدف قرار داده است.
بیشتر قربانیان از نسخه‌های آسیب‌پذیر سرویس‌های AI/LLM مانند LiteLLM و Ollama استفاده می‌کردند. همچنین صدها سرور که ابزار تبدیل PDF متن‌باز Gotenberg و کیت توسعه نرم‌افزاری Gitea را اجرا می‌کردند، مورد سرایت قرار گرفته‌اند.
مکانیسم خلاقانه مخفی‌سازی C2
عامل تهدید از یک روش استگانوگرافی ساده اما موثر استفاده می‌کند. شعری با عنوان «در باب ماهیت اتصال» در فایلی به نام dash.css در یک مخزن GitHub ذخیره شده است. بدافزار PoeLLM چهار کلمه را از نقاط مشخصی در این شعر استخراج کرده و با استفاده از یک دیکشنری داخلی (Hard-coded)، هر کلمه را به یک عدد تبدیل می‌کند. این چهار عدد در نهایت آدرس IPv4 سرور C2 فعلی را می‌سازند.
این روش به مهاجم اجازه می‌دهد تا با تغییر چهار کلمه در شعر GitHub، آدرس C2 را برای تمام سیستم‌های آلوده به‌روزرسانی کند، بدون اینکه نیاز به تغییر کد بدافزار باشد. تا کنون ۱۱ بار این شعر ویرایش شده تا قربانیان به سرورهای جدید هدایت شوند.
بردار حمله و قابلیت‌های بدافزار
مهاجمان عمدتاً پورت‌های ۳۰۰۰ و ۴۰۰۰ (پورت‌های پیش‌فرض Gotenberg و LiteLLM) را اسکن می‌کنند. در برخی موارد، از آسیب‌پذیری CVE-2026-42271 (یک نقص Command Injection در LiteLLM) برای اجرای دستورات از راه دور استفاده شده است. همچنین ردپایی از استفاده از آسیب‌پذیری CVE-2026-10520 در Ivanti Sentry مشاهده شده است.
پس از نصب، بدافزار ماینرهای XMRig و Iron را اجرا کرده و آن‌ها را به استخر استخراج روسی Kryptex متصل می‌کند. علاوه بر استخراج رمزارز، این بدافزار دارای قابلیت‌های زیر است:
- پوسته از راه دور (Remote Shell)
- اسکن HTTP/S برای یافتن اهداف جدید
- استقرار اکسپلویت‌ها (Exploit Deployment) برای گسترش بات‌نت
توصیه‌های امنیتی برای مدیران SOC و CISO
با گسترش سریع زیرساخت‌های AI در سازمان‌ها، سطح حمله (Attack Surface) به‌شدت افزایش یافته است. تأخیر در به‌روزرسانی ابزارهای AI که در معرض اینترنت هستند، دسترسی‌های سطح بالایی را برای مهاجمان فراهم می‌کند. توصیه می‌شود این ابزارها به‌طور مستقیم در چرخه مدیریت آسیب‌پذیری و Patch Management سازمان گنجانده شوند تا از تهدیداتی نظیر LLM jacking، استخراج رمزارز و جابجایی جانبی (Lateral Movement) در شبکه جلوگیری شود.
