Lumen傘下のBlack Lotus Labsの研究者は、PoeLLMというマルウェアが暗号資産マイニングキャンペーンに使用され、3,400台を超えるサーバーに感染させたと述べた。1日あたり約800台の感染システムが活動するピークも記録された。調査によると、キャンペーンの活動は4月に始まったが、その後拡大し、少なくとも11台のコマンド＆コントロールサーバーが稼働していた。
この作戦は米国と西欧のサーバーを標的とし、影響を受けたシステムには、LiteLLMやOllamaなど、インターネット上に公開されたAIサービスのほか、PDF変換ツールのGotenbergや開発ツールのGiteaも含まれていた。また、研究者はIvanti Sentryが標的になった可能性について、調査に値する兆候も確認した。
詩がコマンド＆コントロールサーバーのアドレスに変わる
PoeLLMはlibgcryptという名前のELFファイルで、コマンド＆コントロールサーバーのアドレスを取得するために、珍しい手法を使用している。GitHubリポジトリでホストされ、Node.jsから派生したフォークとみられるファイルdash.css内の「On the Nature of Connection」という詩から4つの単語またはフレーズを読み取り、埋め込み辞書を使ってこれらの単語を数値に変換し、IPv4アドレスを生成する。
この手法により、攻撃者は詩そのものを変更することでコマンド＆コントロールサーバーのアドレスを変更できる。研究者はこれまでに11回の変更を確認しており、まだ記録されていない別の更新が存在する可能性もある。
感染したサーバーが拡散基盤に変わる
このマルウェアはマイニングツールを実行するだけではない。リモートシェル機能、XMRigおよびIronのマイナー、HTTPとHTTPSサービスをスキャンする機能に加え、エクスプロイトを展開する能力も備えている。Black Lotus Labsは、一部の被害者が暗号資産マイニングのためにロシアのKryptexサービスへ接続していることを確認した。
サーバーへの侵入後、キャンペーンはそのサーバーを新たな被害者を探すための起点として利用する。GotenbergおよびLiteLLMサービスに関連する3000番ポートと4000番ポートをスキャンし、LiteLLMのMCPテストエンドポイントに存在する脆弱性CVE-2026-42271の悪用を試みる。CVE-2026-42271は当初、認証が必要な脆弱性として公開され、高い深刻度に分類されていたが、Horizon.aiの研究者は、CVE-2026-48710と組み合わせることで、認証なしのリモートコード実行につなげられることを確認した。
なぜこのニュースが重要なのか
このキャンペーンは、公開されたAIサーバーが計算能力を利用したマイニングの標的になるだけでなく、ネットワークのスキャンや感染拡大のためのツールにもなり得ることを示している。サービスの設定が不十分である場合や、インターネットから直接アクセス可能な場合、特に高性能なGPUユニットに依存する環境では、リスクの影響がさらに大きくなる。
研究者はまた、一部のコマンド＆コントロールサーバーに脆弱なルーター管理インターフェースが存在することを確認した。これは、侵害されたルーターが攻撃基盤内で再利用されている可能性を示している。研究者はキャンペーンを特定の組織に確信を持って帰属させることはできなかったが、マルウェア内部のコメントと、イタリアで管理インターフェースをホストしているサーバーを根拠に、攻撃者はイタリア人である可能性が中程度に高いと評価した。
管理者は何をすべきか
Black Lotus Labsは、最新のセキュリティアップデートを適用し、重要な資産のパブリックインターネットへの露出を減らし、外部からのアクセスを信頼できるIPアドレスに限定するよう推奨している。また、ネットワーク監視ログを確認し、研究者が公開した侵害指標に関連する通信を探すべきだとしている。
BleepingComputerは後の更新で、研究者がライブレポートを更新したことを受け、感染サーバー数を2,100台から3,400台に訂正した。