PoeLLM 恶意软件感染 3400 余台 AI 服务器挖矿
先了解这件事
Lumen Technologies 旗下 Black Lotus Labs 披露名为 Canto Incognito 的恶意活动：其投放的 PoeLLM 恶意软件自 2026 年 4 月以来已入侵超过 3400 台暴露在互联网上的 AI 与 LLM 基础设施，用于部署 XMRig、Iron 等加密货币挖矿程序并接入俄罗斯挖矿服务 Kryptex。攻击主要针对 LiteLLM、Ollama、Gotenberg、Gitea 等对外部署，可能还涉及 Ivanti Sentry，感染集中在美国和西欧。该恶意软件借助 GitHub 上一首题为 On the Nature of Connection 的诗歌隐藏命令与控制地址：按固定文本锚点从诗中提取四个特定词，通过内置字典映射为 IP 地址并组合成当前 C2 地址，攻击者只需改写诗歌即可更换服务器；该诗自 2026 年 4 月首次提交以来已被修改 11 次。
AI 根据报道生成 · 4 天前更新
后续时间线
- Help Net Security AIPoeLLM 僵尸网络借 GitHub 诗歌隐藏 C2 地址，感染逾 3400 台服务器
Black Lotus Labs 披露名为 Canto Incognito 的挖矿僵尸网络，其恶意软件 PoeLLM 通过读取 GitHub 上一首名为 On the Nature of Connection 的诗歌来解析 C2 服务器地址，自 2026 年 4 月首次提交以来该诗已被修改 11 次，每次指向新服务器。该行动自 2026 年 4 月运行至今，已感染超过 3400 台服务器，多数位于美国和西欧，受害者多为运行 LiteLLM、Ollama 等开源 AI/LLM 服务的易受攻击版本，以及 Gotenberg 和 Gitea。Black Lotus Labs 表示已阻断与 PoeLLM C2 服务器的流量并持续监控。
- The Hacker NewsPoeLLM 恶意软件感染 3400 余台服务器，扩张加密货币挖矿僵尸网络
Lumen Black Lotus Labs 披露名为 Canto Incognito 的恶意活动，其投放的 PoeLLM 恶意软件已感染超过 3400 台暴露在互联网上的 AI 与 LLM 基础设施，用于部署 XMRig、Iron 等加密货币挖矿程序并接入俄罗斯挖矿服务 Kryptex。攻击主要针对 LiteLLM、Gotenberg、Gitea 和 Ivanti Sentry 等企业对外部署，感染集中在美国和西欧。该恶意软件将命令与控制地址隐藏在 GitHub 仓库中一首诗的字词里，每次更换 C2 就改动诗中若干词，由对应密钥推导地址。被感染主机还会被改造成扫描器和漏洞利用服务器，向暴露端口发送 HTTP POST 请求诱导下载恶意软件，以扩大僵尸网络。
- CyberScoopPoeLLM 恶意软件借 GitHub 诗歌隐藏 C2 地址，已入侵逾 3400 台服务器
Lumen Technologies 旗下 Black Lotus Labs 报告称，一款被命名为 PoeLLM 的恶意软件自 4 月以来已入侵超过 3400 台服务器，主要针对开源 AI 服务，并借助一首发布在 GitHub 上的诗歌隐藏命令与控制（C2）服务器地址。该诗歌表面无害，恶意软件按固定文本锚点从诗中提取四个特定词，再通过内置字典将每个词映射为一组 IP 地址，四个数字组合成当前 C2 地址；威胁行为者只需改写诗歌即可更换 C2 位置，无需更新恶意软件本身，相关关键词已被更换至少十几次。研究人员今年 6 月在调查 Ivanti Sentry 一个最高严重级别漏洞时首次发现 PoeLLM 基础设施，随后牵出一个大规模漏洞扫描与加密货币挖矿僵尸网络，涉及 LiteLLM、Ollama、Gotenberg 和 Gitea 等被入侵的服务与工具。
- Lumen Black Lotus LabsBlack Lotus Labs 披露 PoeLLM 恶意软件活动，超 3400 台服务器被入侵
Black Lotus Labs 自 2026 年 4 月起追踪名为 PoeLLM 的恶意软件活动，该活动针对暴露在互联网上的 AI 与开源服务部署加密货币挖矿程序并扫描新目标。恶意软件主要影响 LiteLLM、Ollama、Gotenberg 和 Gitea 等存在漏洞的对外部署，可能还涉及 Ivanti Sentry。其命令与控制机制较为特殊，从 GitHub 仓库中一首题为 On the Nature of Connection 的诗歌里提取四个关键词，经硬编码字典转换为数字后拼出当前 C2 的 IPv4 地址；该诗自 4 月 13 日首次提交以来已被修改 11 次，每次指向新的 C2。活动已影响超过 3400 台受害服务器，峰值时期每天活跃服务器超过 800 台，研究人员称在 6 月中旬高峰期涉及近 2200 台受影响服务器。
相关讨论
- 72 小时以前 · 不计入 72 小时的数字
- 网页The RegisterPoetry is the new AI security threat as PoeLLM malware infects 3K+ servers（新标签页打开原帖）
关注度走势
每天新增来源
- 10月7日新增2个来源（2家媒体、0个账号）
- 10月8日新增3个来源（3家媒体、0个账号）
- 10月9日新增0个来源（0家媒体、0个账号）
- 10月10日新增0个来源（0家媒体、0个账号）
- 10月11日新增0个来源（0家媒体、0个账号）
- 10月12日新增0个来源（0家媒体、0个账号）
- 10月13日新增0个来源（0家媒体、0个账号）