PoeLLM 恶意软件感染 3400 余台暴露 AI 服务器用于挖矿

Lumen 旗下 Black Lotus Labs 披露，一个针对暴露 AI 服务的挖矿僵尸网络使用名为 PoeLLM 的恶意软件，已感染超过 3400 台服务器，单日活跃感染峰值达 800 台，自至少 4 月起活跃并已搭建至少 11 个 C2 服务器，目标集中在美国和西欧。受害者多运行暴露在外的 LiteLLM、Ollama、Gotenberg PDF 转换器和 Gitea 开发工具，也发现针对 Ivanti Sentry 的迹象。该恶意软件为名为 libgcrypt 的 ELF 文件，通过从 GitHub 上一个疑似 fork Node.js 仓库的 dash.css 文件中读取诗作《On the Nature of Connection》里的四个词，用硬编码字典映射为数字生成 C2 的 IPv4 地址，运营者改诗即可更换 C2，目前已修改 11 次。