# 加密货币挖矿恶意软件借GitHub诗歌感染逾3,400台服务器

> 自2026年4月起被追踪的PoeLLM僵尸网络，会利用GitHub诗歌中的四个词，将受感染的AI服务器引向新的挖矿控制服务器。

Oossa · 2026-10-11 · https://oossa.com/zh/cryptomining-malware-hits-over-3-400-servers-using-a-github-poem

Lumen旗下Black Lotus Labs的研究人员表示，PoeLLM加密货币挖矿僵尸网络已感染逾3,400台服务器。这场名为Canto Incognito的攻击活动至少从2026年4月起就一直在进行。恶意软件将命令与控制服务器的地址藏在GitHub上一首分为两节的诗中，并利用其中四个特定词语指向地址；攻击者每次迁移到新服务器时，都会更换这些词语。截至目前，这首诗已被修改11次。

## 感染如何扩散

大多数遭入侵的设备运行着LiteLLM和Ollama等开源AI或大型语言模型服务。LiteLLM于2026年4月发布的一项修复，很可能堵住了恶意软件利用的接口，但仍有许多服务器暴露在风险之中。服务器一旦感染，PoeLLM就会植入XMRig和Iron挖矿程序，并让它们连接到Kryptex矿池。受感染的主机还会变成扫描器，搜寻其他存在漏洞的AI端点并加以劫持。

## 对服务器所有者意味着什么

攻击者似乎以牟利为目的；最初的900名受害者与一家俄罗斯加密货币挖矿服务有关联。AI基础设施颇具吸引力，因为它通常配备性能强劲的GPU，可被挪用于挖矿。Lumen表示，已阻断与PoeLLM控制服务器之间的流量，但任何未妥善加固的AI服务仍面临威胁。

## 事实

- PoeLLM恶意软件已感染逾3,400台服务器。
- 这场攻击活动名为Canto Incognito，自2026年4月起一直受到追踪。
- 僵尸网络的控制地址藏在GitHub上一首分为两节的诗中的四个词里；这首诗已被修改11次。
- 受感染的服务器运行着存在漏洞的LiteLLM和Ollama等开源AI服务。
- 恶意软件会植入XMRig和Iron挖矿程序，并将它们连接到Kryptex的挖矿基础设施。

## 为什么重要

如果你托管AI模型或LLM服务，未打补丁的软件版本可能在你不知情的情况下被改造成加密货币挖矿程序，耗费电力并拖累硬件性能。及时更新AI软件，并限制模型端点的互联网访问，可以降低风险。Lumen阻断流量后，目前仍有多少挖矿程序在运行尚不清楚。

## 来源与参考

1. [Cryptomining malware that locates its control server in a GitHub poem has hit more than 3,400 servers, researchers say](https://www.tomshardware.com/tech-industry/cyber-security/cryptomining-malware-used-poetry-to-infect-more-than-3-400-servers-researchers-say-four-words-in-the-poellm-verse-changed-11-times-point-the-botnet-to-new-servers) – Tom's Hardware, 2026-10-11

最后更新: 2026-10-11