بدافزار استخراج رمزارز به بیش از ۳۴۰۰ سرور نفوذ کرد

پژوهشگران آزمایشگاه Black Lotus شرکت Lumen می‌گویند بات‌نت استخراج رمزارز PoeLLM بیش از ۳۴۰۰ سرور را آلوده کرده است. این کارزار که Canto Incognito نام دارد، دست‌کم از آوریل ۲۰۲۶ فعال بوده است. بدافزار نشانی سرور فرماندهی و کنترل خود را در شعری دو‌بندی در GitHub پنهان می‌کند و از چهار واژهٔ مشخص استفاده می‌کند که مهاجمان هر بار با انتقال به سروری جدید آن‌ها را تغییر می‌دهند. تاکنون شعر ۱۱ بار تغییر کرده است.

آلودگی چگونه گسترش می‌یابد

بیشتر دستگاه‌های آلوده سرویس‌های هوش مصنوعی متن‌باز یا مدل‌های زبانی بزرگ مانند LiteLLM و Ollama را اجرا می‌کردند. به‌احتمال زیاد، وصلهٔ آوریل ۲۰۲۶ برای LiteLLM مسیری را که بدافزار از آن استفاده می‌کرد بسته است، اما بسیاری از سرورها همچنان در معرض خطرند. پس از آلوده‌شدن سرور، PoeLLM ابزارهای استخراج XMRig و Iron را روی آن نصب می‌کند که به استخر استخراج Kryptex متصل می‌شوند. میزبان آلوده همچنین به دستگاهی برای اسکن تبدیل می‌شود و به‌دنبال نقاط پایانی آسیب‌پذیر هوش مصنوعی می‌گردد تا آن‌ها را به کنترل خود درآورد.

این موضوع برای صاحبان سرورها چه معنایی دارد

به‌نظر می‌رسد انگیزهٔ مهاجمان مالی باشد؛ آن‌ها ۹۰۰ قربانی نخست را به یک سرویس استخراج رمزارز روسی مرتبط کرده‌اند. زیرساخت هوش مصنوعی هدف جذابی است، چون اغلب روی GPUهای قدرتمندی اجرا می‌شود که می‌توان از آن‌ها برای استخراج استفاده کرد. Lumen می‌گوید ترافیک ورودی و خروجی سرورهای کنترل PoeLLM را مسدود کرده است، اما هر سرویس هوش مصنوعی که به‌درستی ایمن نشده باشد همچنان در معرض تهدید قرار دارد.