มัลแวร์ PoeLLM เจาะเซิร์ฟเวอร์ AI/LLM กว่า 3,400 เครื่องเพื่อขุดคริปโต — ซ่อนที่อยู่ C2 ไว้ในบทกวีบน GitHub และเปลี่ยนเหยื่อเป็นเครื่องสแกนหาเป้าใหม่

สรุปสั้น

ทีม Black Lotus Labs ของบริษัท Lumen Technologies พบมัลแวร์ตระกูลใหม่ชื่อ PoeLLM ในแคมเปญที่ตั้งชื่อว่า Canto Incognito แคมเปญนี้เล็งบริการปัญญาประดิษฐ์และโมเดลภาษาขนาดใหญ่ (AI/LLM) ระดับองค์กรที่เปิดสู่อินเทอร์เน็ต เช่น LiteLLM และ Gotenberg รวมถึงอุปกรณ์ Gitea และ Ivanti Sentry เป้าหมายคือติดตั้งตัวขุดคริปโต XMRig และ Iron แล้วเชื่อมเครื่องเหยื่อกับ Kryptex บริการขุดคริปโตของรัสเซีย เครื่องที่ติดบางส่วนยังถูกแปลงเป็นเครื่องสแกนและเครื่องโจมตีเพื่อหาเหยื่อรายต่อไป บอตเน็ตจึงขยายตัวเองได้

จุดที่ทำให้มัลแวร์ได้ชื่อนี้คือการซ่อนที่อยู่เซิร์ฟเวอร์สั่งการ (C2) ไว้ในบทกวีที่ผู้ก่อภัยแต่งเองและโพสต์ไว้ใน repository บน GitHub ทุกครั้งที่ตั้ง C2 ใหม่ ผู้ก่อภัยจะเปลี่ยนคำในบทกวีไม่กี่คำ แล้วมัลแวร์จะคำนวณที่อยู่จากคีย์ที่ผูกกับคำเหล่านั้น มัลแวร์ทำงานมาตั้งแต่เมษายน 2569 พบเหยื่อแล้วกว่า 3,400 เครื่อง ส่วนใหญ่อยู่ในสหรัฐฯ และยุโรปตะวันตก ช่วงพีคกลางเดือนมิถุนายนมีเครื่องที่ได้รับผลกระทบเกือบ 2,200 เครื่อง Lumen ประเมินด้วยความมั่นใจปานกลางว่าผู้ก่อภัยพูดภาษาอิตาลี

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 7 ตุลาคม พ.ศ. 2569 ว่า Lumen Black Lotus Labs แบ่งปันรายงานแคมเปญ Canto Incognito ซึ่งระบุว่า “เครื่องที่ถูกเจาะจะถูกนำกลับมาใช้ขยายบอตเน็ต เซิร์ฟเวอร์ที่ติดจะกลายเป็นเครื่องสแกนและเครื่องโจมตี ทำให้ผู้ก่อภัยหาและเจาะระบบที่มีช่องโหว่เพิ่มได้”

บทกวีที่ซ่อน C2 อยู่ใน repository github[.]com/ejejejdfbbebe ซึ่งมี commit แรกเมื่อวันที่ 13 เมษายน 2569 นาย Ryan English วิศวกรความมั่นคงปลอดภัยสารสนเทศของ Lumen อธิบายกับ The Hacker News ว่า “ทุกครั้งที่ตั้ง C2 ใหม่ พวกเขาจะเปลี่ยนคำในบทกวีไม่กี่คำ แล้วมัลแวร์จะคำนวณที่อยู่จากคีย์ที่ผูกกับคำเหล่านั้น” Lumen ระบุว่าช่วงพีคกลางเดือนมิถุนายน แคมเปญมีเครื่องที่ได้รับผลกระทบเกือบ 2,200 เครื่อง และทำงานพร้อมกันเกือบ 800 เครื่องต่อวัน

การระบุตัวผู้ก่อภัยอยู่ที่ระดับความมั่นใจปานกลาง โดยอาศัยร่องรอยภาษาอิตาลีในไฟล์และข้อมูล netflow Lumen ยังไม่ได้ระบุว่าเป็นกลุ่มใด และไม่ได้เปิดเผยว่าผู้ก่อภัยใช้ช่องโหว่ใดบ้างของแต่ละผลิตภัณฑ์ ระบุเพียงว่าเป็นช่องโหว่ที่รู้จักแล้วในบริการที่เปิดสู่สาธารณะ

วิธีการโจมตี

ทางเข้า ผู้ก่อภัยใช้ช่องโหว่ที่รู้จักแล้วในบริการที่เปิดสู่อินเทอร์เน็ต เป้าหลักคือ LiteLLM ซึ่งเป็นพร็อกซีกลางสำหรับเรียกใช้โมเดล LLM หลายเจ้า Gotenberg ซึ่งเป็น API แปลงเอกสารเป็น PDF ที่มักวางคู่กับระบบ AI รวมถึง Gitea และ Ivanti Sentry

ซ่อน C2 ในบทกวี แทนที่จะฝังที่อยู่ C2 ไว้ในตัวมัลแวร์ PoeLLM ไปอ่านบทกวีบน GitHub แล้วคำนวณที่อยู่จากคีย์ที่ผูกกับคำในบท เมื่อผู้ก่อภัยย้าย C2 ก็แค่แก้คำในบทกวี เครื่องที่ติดอยู่แล้วจะตามไปยังที่อยู่ใหม่เอง ทราฟฟิกไปยัง GitHub ยังดูเหมือนการใช้งานปกติขององค์กร ทำให้ตรวจจับและบล็อกยาก

ขุดคริปโตและขยายตัว หลังเข้าเครื่องได้ มัลแวร์ติดตั้ง XMRig และ Iron แล้วเชื่อมกับ Kryptex เครื่องส่วนหนึ่งถูกแปลงเป็นเครื่องสแกนหาบริการแบบเดียวกันบนอินเทอร์เน็ต เมื่อเจอเป้าก็ส่ง HTTP POST ไปยังพอร์ตที่เปิดอยู่ สั่งให้เป้าหมายดาวน์โหลดมัลแวร์จาก C2 นอกจากนี้ Lumen พบทราฟฟิกล่าสุดที่วิ่งไปยัง SSH และหน้าล็อกอินอื่น ซึ่งชี้ว่าผู้ก่อภัยกำลังทดลองการเดารหัสผ่านแบบกระจาย (distributed brute-force) แต่ยังไม่ชัดว่าความสามารถนี้พร้อมใช้งานแค่ไหน

ผลกระทบ

Lumen สรุปว่า “โครงสร้างพื้นฐาน AI กำลังเป็นเป้าที่น่าดึงดูด บริการ AI/LLM ที่เปิดสู่อินเทอร์เน็ตมีค่าไม่ใช่แค่เพราะช่องโหว่ซอฟต์แวร์ แต่เพราะอาจมีข้อมูลที่มีประโยชน์และรันบนฮาร์ดแวร์ทรงพลังที่เหมาะกับการขุดคริปโต” เซิร์ฟเวอร์ที่มี GPU ราคาแพงจึงกลายเป็นทรัพยากรที่ถูกขโมยไปใช้ ทั้งค่าไฟและค่าคลาวด์ที่พุ่งขึ้นตกเป็นภาระของเจ้าของ

ความเสี่ยงไม่ได้จบที่การขุดคริปโต LiteLLM มักเก็บ API key ของผู้ให้บริการโมเดลหลายเจ้า และ Gitea เก็บซอร์สโค้ดกับความลับใน pipeline ผู้ที่ยึดเครื่องได้จึงเข้าถึงสิ่งเหล่านี้ได้ด้วย แม้ Lumen จะไม่ได้รายงานว่าพบการขโมยข้อมูลในแคมเปญนี้ การที่เครื่องเหยื่อถูกใช้สแกนและโจมตีต่อยังทำให้ IP ขององค์กรไปโผล่ในล็อกการโจมตีของผู้อื่น

คำแนะนำ

• อย่าเปิด LiteLLM, Gotenberg, Gitea หรือหน้าจัดการ Ivanti Sentry สู่อินเทอร์เน็ตโดยตรง ให้อยู่หลัง VPN, reverse proxy ที่บังคับยืนยันตัวตน หรือ allowlist IP
• อัปเดตบริการเหล่านี้เป็นเวอร์ชันล่าสุด และไล่ตรวจช่องโหว่ที่เคยประกาศย้อนหลัง เพราะแคมเปญนี้ใช้ช่องโหว่ที่รู้จักแล้ว
• เฝ้าระวังการใช้ CPU/GPU สูงผิดปกติ โปรเซสชื่อ xmrig หรือตัวขุดอื่น และการเชื่อมต่อออกไปยัง mining pool เช่น Kryptex
• ตรวจการเชื่อมต่อขาออกจากเซิร์ฟเวอร์ AI ไปยัง GitHub ที่ไม่ได้มาจากงานพัฒนาตามปกติ และ HTTP POST ขาออกจำนวนมากไปยังพอร์ตแปลก ๆ ซึ่งเป็นสัญญาณว่าเครื่องถูกใช้เป็นเครื่องสแกน
• หากพบว่าติด ให้หมุนเวียน API key ของผู้ให้บริการ LLM โทเคน และความลับที่เก็บไว้บนเครื่องนั้นทั้งหมด
• จำกัดการล็อกอิน SSH ด้วยกุญแจแทนรหัสผ่าน และตั้ง rate limit กับหน้าล็อกอิน เพื่อรับมือกับ brute-force ที่ผู้ก่อภัยกำลังทดลอง

Indicators of Compromise (IoCs)

หมายเหตุ: โดเมนถูก defang ไว้ (เช่น [.]) เพื่อป้องกันการเชื่อมต่อโดยไม่ตั้งใจ ให้ re-fang เฉพาะในแพลตฟอร์ม threat intelligence ที่ควบคุมได้ เช่น MISP, VirusTotal หรือ SIEM เท่านั้น

แหล่งอ้างอิง

• PoeLLM Malware Infects 3,400+ Servers to Expand Crypto Mining Botnet — The Hacker News
• Canto Incognito: Tracking the PoeLLM Malware — Lumen Black Lotus Labs