Lumen 산하 Black Lotus Labs의 연구진은 PoeLLM이라는 악성코드가 3,400대가 넘는 서버를 감염시킨 암호화폐 채굴 캠페인에 사용됐으며, 하루에 약 800대의 감염 시스템이 활성 상태였던 정점을 기록했다고 밝혔다. 조사에 따르면 캠페인의 활동은 4월에 시작됐지만 이후 확대됐으며, 최소 11대의 명령 제어 서버가 운영됐다.
이 작전은 미국과 서유럽의 서버를 표적으로 삼았다. 영향을 받은 시스템에는 LiteLLM과 Ollama 같은 인터넷에 노출된 AI 서비스뿐 아니라 PDF 변환기 Gotenberg와 개발 도구 Gitea도 포함됐다. 연구진은 Ivanti Sentry를 표적으로 삼았음을 조사할 가치가 있는 지표도 발견했다.
명령 제어 서버 주소로 변하는 시
PoeLLM은 libgcrypt라는 이름의 ELF 파일로, 명령 제어 서버 주소를 얻기 위해 이례적인 방식을 사용한다. 이 악성코드는 Node.js의 파생 버전으로 보이는 GitHub 저장소에 호스팅된 dash.css 파일에서 “On the Nature of Connection”이라는 시의 네 단어 또는 구절을 읽은 뒤, 내장 사전을 사용해 이 단어들을 숫자로 변환하고 IPv4 주소를 생성한다.
이 방식으로 운영자는 시 자체를 수정해 명령 제어 서버 주소를 변경할 수 있다. 연구진은 현재까지 11회의 수정 사항을 확인했으며, 아직 문서화되지 않은 추가 업데이트가 있을 가능성도 있다고 밝혔다.
감염된 서버가 확산 플랫폼으로 전환
이 악성코드는 채굴 도구 실행에만 그치지 않는다. 원격 셸 기능, XMRig 및 Iron 채굴기, HTTP와 HTTPS 서비스를 스캔하는 기능과 익스플로잇 배포 기능을 포함한다. Black Lotus Labs는 일부 피해자가 암호화폐 채굴을 위해 러시아의 Kryptex 서비스에 연결된다는 사실을 확인했다.
서버를 침해한 뒤 캠페인은 해당 서버를 발판으로 삼아 새로운 피해자를 찾는다. 이를 위해 Gotenberg와 LiteLLM 서비스와 관련된 3000번 및 4000번 포트를 스캔하고, LiteLLM의 MCP 테스트 엔드포인트에서 CVE-2026-42271 취약점을 악용하려고 시도한다. 이 취약점은 처음에는 인증이 필요한 것으로 공개됐으며 높은 위험도 등급을 받았지만, Horizon.ai 연구진은 CVE-2026-48710과 연계하면 인증 없이 원격 명령 실행에 도달할 수 있음을 확인했다.
왜 중요한가?
이번 캠페인은 노출된 AI 서버가 컴퓨팅 성능 때문에 채굴 표적이 될 뿐 아니라 네트워크를 스캔하고 감염을 확장하는 도구가 될 수도 있음을 보여준다. 서비스가 적절히 구성되지 않았거나 인터넷에서 직접 접근 가능한 경우 위험의 영향은 더욱 커지며, 특히 강력한 GPU를 사용하는 환경에서 그렇다.
연구진은 일부 명령 제어 서버에 취약한 라우터 관리 인터페이스가 포함된 사실도 확인했다. 이는 침해된 라우터가 공격 인프라 내에서 재사용되고 있음을 시사한다. 연구진은 캠페인을 특정 세력에 자신 있게 귀속하지 못했지만, 악성코드 내부의 주석과 이탈리아에서 관리 인터페이스를 호스팅하는 서버를 근거로 운영자가 이탈리아인일 가능성을 중간 정도로 평가했다.
관리자는 무엇을 해야 하는가?
Black Lotus Labs는 최신 보안 업데이트를 설치하고, 민감한 자산의 공용 인터넷 노출을 줄이며, 외부 접근을 신뢰할 수 있는 IP 주소로 제한할 것을 권고한다. 또한 네트워크 모니터링 로그를 검토하고 연구진이 공개한 침해 지표와 관련된 연결을 찾아야 한다.
BleepingComputer는 연구진이 직접 보고서를 업데이트한 후 후속 업데이트에서 감염된 서버 수를 2,100대에서 3,400대로 정정했다.