Lumen की Black Lotus Labs के शोधकर्ताओं के मुताबिक, PoeLLM क्रिप्टो-माइनिंग बॉटनेट ने 3,400 से ज्यादा सर्वरों को संक्रमित किया है। Canto Incognito नाम का यह अभियान कम से कम अप्रैल 2026 से सक्रिय है। मैलवेयर GitHub पर दो छंदों वाली कविता में अपने कमांड-एंड-कंट्रोल पते को छिपाता है। इसके लिए चार खास शब्द इस्तेमाल किए जाते हैं, जिन्हें हमलावर नया सर्वर मिलने पर बदल देते हैं। अब तक कविता में 11 बार बदलाव किया जा चुका है।
संक्रमण कैसे फैलता है
ज्यादातर संक्रमित मशीनों पर LiteLLM और Ollama जैसी ओपन-सोर्स AI या बड़े भाषा मॉडल सेवाएं चल रही थीं। LiteLLM के लिए अप्रैल 2026 में जारी एक सुधार ने संभवतः मैलवेयर के इस्तेमाल किए गए रास्ते को बंद कर दिया था, लेकिन कई सर्वर अब भी जोखिम में हैं। सर्वर संक्रमित होने पर PoeLLM, XMRig और Iron माइनिंग टूल इंस्टॉल करता है, जो Kryptex माइनिंग पूल से जुड़ते हैं। संक्रमित होस्ट दूसरे कमजोर AI एंडपॉइंट खोजकर उन पर कब्जा करने के लिए स्कैनर का काम भी करता है।
सर्वर मालिकों के लिए इसका क्या मतलब है
लगता है कि हमलावरों का मकसद पैसा कमाना है; पहले 900 पीड़ितों का संबंध रूस की एक क्रिप्टो-माइनिंग सेवा से जोड़ा गया है। AI इन्फ्रास्ट्रक्चर उनके लिए आकर्षक है, क्योंकि इसमें अक्सर शक्तिशाली GPU होते हैं जिन्हें माइनिंग के लिए इस्तेमाल किया जा सकता है। Lumen का कहना है कि उसने PoeLLM के कंट्रोल सर्वरों तक आने-जाने वाले ट्रैफिक को रोक दिया है, लेकिन ठीक से सुरक्षित न की गई AI सेवाओं के लिए खतरा अब भी बना हुआ है।
यह क्यों मायने रखता है
अगर आप AI मॉडल या LLM सेवाएं होस्ट करते हैं, तो पुराने सॉफ्टवेयर वाले सर्वर को आपकी जानकारी के बिना क्रिप्टो-माइनर में बदला जा सकता है, जिससे बिजली की खपत बढ़ेगी और हार्डवेयर का प्रदर्शन घटेगा। AI सॉफ्टवेयर को अपडेट रखने और मॉडल एंडपॉइंट तक इंटरनेट की पहुंच सीमित करने से यह जोखिम कम हो सकता है। Lumen द्वारा ट्रैफिक रोकने के बाद अब भी कितने माइनर सक्रिय हैं, यह स्पष्ट नहीं है।
