برمجية تعدين خفية تستخدم قصيدة على غيت هاب وتصيب أكثر من 3400 خادم

كشفت مختبرات Black Lotus التابعة لشركة Lumen أن برمجية تعدين خفية تُسمى PoeLLM أصابت أكثر من 3400 خادم في حملة يُشار إليها باسم Canto Incognito، وفق ما نقلته tomshardware.com.

ووفقاً للشركة، اعتمدت آلية السيطرة والتحكم في البرمجية على أربع كلمات ضمن قصيدة من مقطعين بعنوان "On the Nature of Connection" نُشرت على غيت هاب، وجرى تغييرها 11 مرة، بحيث تشير كل نسخة جديدة إلى خادم سيطرة وتحكم جديد. وقد جُعلت الخوادم المصابة تعمل كأجهزة فحص وخوادم استغلال.

وتتكوّن الحمولة من برمجيتي التعدين XMRig وIron المتصلتين ببنية التعدين Kryptex. وذكرت Lumen أنها حجبت كل الإتجار المتجه من خوادم سيطرة وتحكم PoeLLM وإليها.

استمرار الحملة

عند نشر التقرير، كانت 3 من أصل 12 خادم سيطرة وتحكم لا تزال نشطة، فيما واصلت الحملة إصابة خوادم جديدة.

وظهر أن معظم الضحايا كانوا يشغّلون نسخاً ضعيفة من خدمات الذكاء الاصطناعي والنماذج اللغوية مفتوحة المصدر مثل LiteLLM وOllama. ويُرجّح أن مسار الاستغلال في LiteLLM كان عبر طلب POST مُصمَّم إلى نقطة اتصال مرتبطة بالثغرة CVE-2026-42271، التي أضافتها وكالة CISA إلى قائمة الثغرات المستغَلَّة.

وفي سياق سابق، بدأ النشر الأول للقصيدة في أبريل، بينما بدأ الفحص الواسع في مايو. ويُرجّح أن إصلاحاً لـ LiteLLM صدر في أبريل قد سدّ مسار الاستغلال المستخدم. وتشمل الأهداف الرئيسية LiteLLM وGotenberg وOllama وGitea وربما Ivanti Sentry، التي اكتُشفت الحملة عبرها في إحدى الحالات. وبحسب التوصيات، يُنصح باستخدام LiteLLM إصدار 1.83.7 أو أحدث، وIvanti Sentry إصدار R10.5.2 أو R10.6.2 أو R10.7.1.