加密货币挖矿恶意软件借GitHub诗歌感染逾3,400台服务器

Lumen旗下Black Lotus Labs的研究人员表示，PoeLLM加密货币挖矿僵尸网络已感染逾3,400台服务器。这场名为Canto Incognito的攻击活动至少从2026年4月起就一直在进行。恶意软件将命令与控制服务器的地址藏在GitHub上一首分为两节的诗中，并利用其中四个特定词语指向地址；攻击者每次迁移到新服务器时，都会更换这些词语。截至目前，这首诗已被修改11次。

感染如何扩散

大多数遭入侵的设备运行着LiteLLM和Ollama等开源AI或大型语言模型服务。LiteLLM于2026年4月发布的一项修复，很可能堵住了恶意软件利用的接口，但仍有许多服务器暴露在风险之中。服务器一旦感染，PoeLLM就会植入XMRig和Iron挖矿程序，并让它们连接到Kryptex矿池。受感染的主机还会变成扫描器，搜寻其他存在漏洞的AI端点并加以劫持。

对服务器所有者意味着什么

攻击者似乎以牟利为目的；最初的900名受害者与一家俄罗斯加密货币挖矿服务有关联。AI基础设施颇具吸引力，因为它通常配备性能强劲的GPU，可被挪用于挖矿。Lumen表示，已阻断与PoeLLM控制服务器之间的流量，但任何未妥善加固的AI服务仍面临威胁。