マルウェアPoeLLM、GitHub上の詩にC2アドレスを隠し、露出したAIサーバーを乗っ取って暗号資産をマイニング

LumenのBlack Lotus Labsの研究者らは、PoeLLMと名付けたマルウェアファミリーを報告した。PoeLLMはインターネットに公開されたAIサーバーやLLMサーバーに侵入して暗号資産のマイニングソフトをインストールし、乗っ取ったマシンを使ってさらなる標的を探す。研究者らは、この金銭目的のキャンペーンをCanto Incognitoと命名した。The Hacker NewsとBleepingComputerによると、2026年4月に活動が始まって以降、3,400台以上のサーバーが感染した。同じ研究者らを引用するThe Registerは、その数を3,000台以上としている。BleepingComputerは、同社が最初に受け取った報告書の版では侵害されたサーバーは2,100台とされており、研究者らが公開版の報告書でこの数字を引き上げたと指摘している。

マルウェアの名称は、コマンド＆コントロール（C2）サーバーの見つけ方に由来する。研究者らによると、攻撃者はNode.jsのウェブサイトのソースコードをフォークしたGitHubリポジトリ内のdash.cssというファイルに、「On the Nature of Connection」と題した詩を置いている。BleepingComputerによればlibgcryptという名前のELFバイナリであるPoeLLMは、この詩の決まった位置から4つの単語またはフレーズを読み取り、コードに組み込まれた辞書を使って数値に変換し、そこからIPv4アドレスを組み立てる。攻撃者はサーバーを切り替える際、数語を書き換えるだけで済む。The RegisterとBleepingComputerによると、最初のコミットは2026年4月13日に行われ、それ以降、詩は11回変更されている。Black Lotus LabsはThe Registerに対し、このテキストには悪意を示すようなリンクやダウンロード、暗号化された文字列は含まれていないこと、この手法はチームにとって初めて目にするものであること、そして詩そのものはAIが書いたものだと考えていることを明らかにした。

PoeLLMはインストールされると、マイニングソフトのXMRigとIronを実行し、感染端末をKryptexに接続する。The Hacker NewsとBleepingComputerは、Kryptexをロシアのマイニングサービスだと説明している。PoeLLMはリモートシェル、スキャン、エクスプロイトの機能も備えている。BleepingComputerによると、感染したホストはGotenbergとLiteLLMに関連するポート3000と4000をスキャンし、CVE-2026-42271の悪用を試みる。これはLiteLLMのMCPサーバーのテスト用エンドポイントに存在する脆弱性で、当初は認証が必要なものとして公表された。Horizon.aiの研究者らは、CVE-2026-48710と組み合わせることで、認証なしのリモートコード実行が可能になるとしている。The Registerによると、被害者の大半は露出したLiteLLMやOllamaを運用しており、数百件はPDF変換ツールのGotenbergや開発プラットフォームのGiteaを運用していた。The Registerはさらに、Black Lotus LabsがIvanti Sentryの脆弱性CVE-2026-10520を調査していた際に、このマルウェアを初めて発見したと伝えている。被害は米国と西欧に集中している。

Black Lotus Labsは、マルウェア内や攻撃者のGitHubページにあるイタリア語のコメント、およびネットフローデータを根拠に、このキャンペーンを中程度の確度でイタリア語を話す攻撃者によるものとみている。BleepingComputerは、管理用インターフェースがイタリアのサーバー上でホストされていたと付け加えている。複数のC2サーバーでは脆弱なルーターの管理画面が露出しており、研究者らはこれを攻撃者が侵害したルーターを再利用している兆候と解釈している。The Hacker Newsは同社の話として、キャンペーンは六月中旬にピークを迎え、影響を受けたサーバーは2,200台近く、そのうち1日あたり800台近くが稼働していたと伝えている。また、SSHやその他のログインページを狙った最近の通信は、分散型ブルートフォース攻撃の試行を示しているが、その完成度はまだ不明だという。防御策としてBleepingComputerは、管理者に対し、最新のセキュリティアップデートを適用すること、可能な限り重要なシステムを公開インターネットから切り離すこと、外部からのアクセスを信頼できるIPアドレスに制限すること、そしてBlack Lotus Labsが公開した侵害指標（IoC）への接続がないかネットワークログを調べることを推奨している。

研究者らによると、AIインフラが攻撃者を引き付けるのはソフトウェアの欠陥だけが理由ではなく、こうしたサーバーが有用なデータを保持している可能性があり、マイニングに適したGPUハードウェア上で動作していることが多いためでもある。研究者らはThe Registerに対し、今回のキャンペーンは複数のAI関連サービスを同時に狙っている点で異例とみられると述べた。これに対し、今年発生したLiteLLMのサプライチェーン侵害は単一のサービスに集中しており、公開情報によれば被害者はおよそ2,500件だった。Black Lotus Labsは、この種の攻撃は今後さらに増えると予想しており、AIツールによってLiteLLM、Ollama、Gotenbergといったサービスを、パッチ適用や保護の状況を確認しないまま簡単に立ち上げられるようになっていると指摘している。