شبكة بوتنت أخفت خادم أوامرها داخل قصيدة على GitHub — وحوّلت 3,400 خادم ذكاء اصطناعي مكشوف إلى بروكسيات تعدين

في 7 أكتوبر 2026، نشرت Black Lotus Labs التابعة لشركة Lumen Technologies بحثًا حول حملة شبكة روبوتات مدفوعة ماليًا تتعقبها باسم Canto Incognito، وأطلقت على برمجيتها الخبيثة اسم PoeLLM. وقد اخترقت الحملة أكثر من 3,400 خادمًا متصلًا بالإنترنت منذ أبريل 2026 على الأقل، وتتركز في الولايات المتحدة وأوروبا الغربية، بحسب الباحثين — والضحايا ليسوا أجهزة عشوائية. وتقول Lumen إنها في الغالب عمليات نشر معرّضة للثغرات لـ LiteLLM وOllama، إضافة إلى مئات الخوادم التي تشغّل محوّل PDF من Gotenberg ومجموعة أدوات التطوير Gitea، مع وجود أجهزة Ivanti Sentry أيضًا ضمن النطاق. وبمجرد إصابتها، استُخدمت تلك الخوادم لتعدين العملات المشفرة وأُعيد توظيفها كأدوات فحص وخوادم استغلال — وهو ما وصفه Ryan English من Black Lotus Labs، في مقابلة مع CyberScoop، بأنه «جيش خاص من الوكلاء المدعومين بالذكاء الاصطناعي». وتمت مشاركة تقرير المورّد نفسه مع The Hacker News، التي نشرت تقريرها الخاص في اليوم نفسه.

التفصيل الذي يجعل هذا السجل يستحق القراءة ليس الحجم. إنه تصميم القيادة والتحكم: لا يوجد نطاق مُضمَّن بشكل ثابت ولا عنوان IP احتياطي في البرمجية الخبيثة. يُحدَّد عنوان خادم C2 الحالي في وقت التشغيل من أربع كلمات مأخوذة من قصيدة مستضافة في مستودع GitHub عام. عدّل القصيدة، فتنتقل شبكة الروبوتات بأكملها.

ما الذي تم اختراقه فعليًا؟

وفقًا لتقرير Lumen، فإن الضحايا هم خدمات الذكاء الاصطناعي للمؤسسات وخدمات المطورين التي كان يمكن الوصول إليها من الإنترنت: عمليات نشر LiteLLM وOllama، ومئات خوادم تحويل PDF من Gotenberg، وGitea. وقد خلص باحثو Lumen إلى أن الحملة طالت أيضًا Ivanti Sentry. كانت أهداف المسح الأساسية هي المنفذين 3000 و4000، وهما منفذا الاستماع الافتراضيان لـ Gotenberg وLiteLLM على التوالي.

ثمة ثغرتان أمنيتان مهمتان لكيفية الوصول إلى الأجهزة، ويحرص التقرير على توخي الحذر بشأن كلتيهما:

• Ivanti Sentry، CVE-2026-10520. تقول Lumen إن باحثيها صادفوا بنية PoeLLM التحتية لأول مرة أثناء التحقيق في هذا العيب في بوابة Ivanti الآمنة للجوال. في أوائل يونيو 2026، اتصلت ضحية مخترقة لـ Ivanti Sentry بخادم مخصص على 5.78.73[.]122 وبعد ذلك بوقت قصير بدأت في مسح بحثًا عن أجهزة أخرى معرضة للخطر. لاحظ التحفظ: تقول قائمة النقاط الرئيسية الخاصة بـ Lumen إن الحملة لديها "استهداف محتمل لـ Ivanti Sentry"، بينما يصف متن التقرير نفسه الجهاز بأنه ضحية حية. هذا التناقض الداخلي موجود في المصدر الأساسي.

• LiteLLM، CVE-2026-42271. استهدفت إحدى عينات PoeLLM التي فحصتها Lumen نقطة نهاية LiteLLM «/mcp-rest/test/connection»، والتي تقول Lumen إنها «كانت على الأرجح مسار الاستغلال» لثغرة حقن الأوامر في LiteLLM المعروفة باسم CVE-2026-42271. ويصف تقرير CyberScoop نقطة الدخول نفسها بأنها عيب بأقصى درجات الخطورة في Ivanti Sentry دون تسمية أي CVE، ولا يتناول خلل LiteLLM؛ كما لا تسمّي The Hacker News أيًّا من الـCVE. وخلل نقطة نهاية MCP في LiteLLM هو ذاك الذي سجّله هذا الأرشيف في وقت سابق من عام 2026، قبل توثيق هذه الحملة.

ما حصل عليه المشغّل من الوصول المسروق لم يكن سوى قدرة حوسبية وبيانات. كتبت Lumen: "إن خدمات الذكاء الاصطناعي/النماذج اللغوية الكبيرة المكشوفة قيّمة ليس فقط بسبب الثغرات البرمجية، بل أيضًا لأنها قد تحتوي على بيانات مفيدة وتعمل على عتاد قوي مناسب للتعدين". وقال إنغليش لـ CyberScoop إن البرمجية الخبيثة تحمل أيضًا وظيفة تنفيذ تعليمات برمجية عن بُعد التي قد تتيح لمشغّل إساءة استخدام نماذج الذكاء الاصطناعي العاملة على خوادم الضحايا — كقدرة مذكورة، لا كنتيجة مُلاحَظة.

القصيدة التي هي أيضًا جدول بحث

حساب GitHub المعني هو "ejejejdfbbebe"، والمستودع هو نسخة متفرعة من الشفرة المصدرية لموقع nodejs.org لا يبدو أن لها أي صلة بـ Node.js نفسه. وبداخله، في ملف يُسمى "dash.css" — وهو اسم ملف غير موجود في المستودع الأصلي — وضع المشغّل قصيدة من مقطعين بعنوان "On the Nature of Connection". أحصى Lumen 11 تحديثًا عليه منذ أول commit في 13 أبريل 2026؛ وتذكر CyberScoop أن الصياغة قد غُيّرت "ما لا يقل عن اثنتي عشرة مرة".

كما التقطته Lumen في سبتمبر 2026، جاء المقطع الأول: «في الطنين الصامت للمشغّل، تبدأ الآلات بالحديث، وكل نبضة من الصمام الثنائي تنسج الضوء عبر عروق نحاسية. علّمنا العتمة أن تحمل المعنى، بايتًا تلو بايت — لغة مبنية من البرق، باردة ونقية.» ويتضمن المقطع الثاني السطر: «ما وراء جدار التشفير، تجد إشارة طريقها، وتردّ تكتكة خوادم بعيدة.»

الاستخراج ميكانيكي. دالة يسميها Lumen extract_poem_phrase_fieldتسحب ثلاث عبارات من مواضع ثابتة في البيت — النص الواقع بين "In the silent hum of " والفاصلة التالية، وبين "each pulse of " و" threading,"، وبين "Beyond the wall of " والفاصلة التالية. وتُستعاد كلمة رابعة بطريقة مختلفة، عبر البحث عن السلسلة "of distant servers," والرجوع إلى المسافة البيضاء السابقة، والتحقق من أن البايتات الأربعة السابقة تشكّل "the "، وأخذ الكلمة التي تليها. ثم تُطابَق كل كلمة من الكلمات الأربع مع قاموس مثبّت مسبقًا مدمج في الملف الثنائي، وتُدمج الأرقام الأربعة الناتجة في عنوان IPv4. في عيّنة استعادها Lumen في 23 يونيو 2026، تم تعيين "driver" إلى 92، و"diode" إلى 119، و"decryption" إلى 165، و"string" إلى 74 — مما أعطى 92.119.165[.]74.

لأن الكلمات المفتاحية الأربع فقط كانت تتغيّر عبر المراجعات الإحدى عشرة المرصودة، ولم يتغيّر نمط فك التشفير قط، فإن نقل شبكة البوت نت لم يُكلّف المشغّل سوى بضع تعديلات على ملف نصي عام. قال إنجلش لـ CyberScoop: "الجزء الأكثر إثارة للاهتمام في نهج القصيدة هو أن عنوان IP المستخدم في اتصالات C2 غير مرئي خارج netflow الخاص بالضحية. بالنسبة لأي شخص يصادفها، هذه مجرد قصيدة على GitHub. لا تحتوي على روابط، ولا ملفات للتنزيل، ولا نص مشفّر يمكن بسهولة تصنيفه كخبيث، حتى بواسطة نماذج متقدمة. لن يكون هناك سبب لأي باحث أمني لتصنيف هذه القصيدة كخبيثة — أو لمعرفة عنوان IP المخفي داخلها — ما لم يكن لديه وصول إلى البرمجية الخبيثة التي تشير إليه."

تقول Lumen إنها تعتقد أن القصيدة كُتبت على الأرجح بواسطة ذكاء اصطناعي، وتصنّف ذلك على أنه استنتاج لا نتيجة. والتعليل، على لسان English إلى The Hacker News: كانت القصيدة ستنجح بأي لغة، ومع ذلك يبدو أن تفضيل الجهة الفاعلة نفسها هو الإيطالية. إنه حكم على أسلوب الكتابة، لا إسناد جنائي للنص إلى نموذج.

ما الذي يفعله البرنامج الخبيث بمجرد وصوله

الحمولة التي حلّلتها Lumen هي ملف ELF يُوزَّع تحت اسم "libgcrypt"، بقيمة تجزئة SHA-256 هي 6fab94577364beec314afae3b082dd680933f08a8349b9f35b92667e8231b501. ووفقًا لتحليل Lumen، فهي تتضمن shell عن بُعد، وبرنامجَي تعدين العملات المشفرة Iron وXMRig، وقدرة فحص HTTP وHTTPS، ونشر الاستغلال ضد الأهداف المعرّضة للخطر.

تُرسل المضيفات المصابة إشارات رجوع إلى أحد منافذ C2 العديدة — 3778 أو 5001 أو 5002 أو 9999 — ويُطلب منها تنزيل ملفات إضافية من المنفذ 81 على خادم C2 (شملت المسارات المرصودة /private/python3.6 و /private/bins.sh). تُوجَّه مدفوعات التعدين إلى خدمة التعدين الروسية Kryptex: رصدت Lumen ضحايا يتصلون بـ 5.180.174[.]162:8029 و 46.21.245[.]211:7029، الذي يستضيف edge-ru-07[.]kryptex[.]network. كانت السمة المشتركة الأكثر شيوعًا لدى أول 900 ضحية، بعد الاتصال بـ C2 الأولي، هي الاتصال بنقطة نهاية Kryptex تلك.

تنمو شبكة الروبوتات أيضاً بنفسها. تم تحويل الخوادم المخترقة إلى ماسحات ضوئية وخوادم استغلال: يرسل خادم الاستغلال طلب HTTP POST مُصمماً إلى خدمة مكشوفة على هدف تم اكتشافه حديثاً، ويطلب منه تنزيل البرمجية الخبيثة من C2. في الآونة الأخيرة، رأت Lumen مجموعات من الضحايا تستهدف منافذ SSH وبوابات تسجيل دخول أخرى، وهو ما تفسره على أنه تجربة محتملة مع إطار عمل للقوة الغاشمة الموزعة. تصف Lumen ذلك صراحة بأنه غير ناضج وغير مثبت: كان العديد من الأهداف خوادم مخصصة في إيطاليا، ويقيّم الباحثون القدرة بأنها "ربما كانت في المراحل الأولى من التطوير."

الخط الزمني، والرقمان اللذان لا يتطابقان

كان أول C2 تم فكّ تشفيره في الحملة هو 191.37.28[.]160، وهو موجّه برازيلي يعمل عليه خادم ويب Boa مكشوف على المنفذ 2222، وكان عرضة لـ CVE-2018-21027 وCVE-2018-21028 — مع أن Lumen لم تجد دليلاً مباشراً على أن تلك الثغرات كانت مسار الدخول. وبعد نحو ساعة من أول إيداع في GitHub، تواصل ذلك الـ C2 مع خادم في إيطاليا عند 57.131.5[.]211:80 يستضيف النطاق malwarescan[.]xyz، الذي كان قد سُجّل في فبراير 2026. وتقول Lumen إنها لم تر أي حركة مرور أخرى ملحوظة إلى نقطة نهاية API لذلك النطاق، وتُقدّر أن النطاق قد يكون مملوكاً لمشغّل PoeLLM. وفي مراجعة من مايو، نُقل الـ C2 إلى 120.224.114[.]212، المحدد جغرافياً في الصين، والذي يشغّل، مثل المضيف البرازيلي، خادم ويب Boa عرضة للثغرات مع صفحة إدارة للموجّه. وإجمالاً، حددت Lumen 12 عنوان IP خاصاً بـ C2؛ وكانت ثلاثة منها لا تزال نشطة وقت النشر — 92.119.164.50 (أول ظهور في 23 يوليو 2026)، و103.249.201.108 (أول ظهور في 13 أغسطس 2026)، و178.128.14.204 (أول ظهور في 16 يونيو 2026).

تسمّي Lumen أيضًا خادم إدارة مشتبهًا به: 185.119.19[.]171 في إيطاليا، كان يستضيف سابقًا لوحات مراقبة Prometheus وUptime Kuma، وقد اتصلت به عدة C2s. ويذكر التقرير هذا الإسناد بثقة متوسطة.

على صعيد الحجم، يحتوي المصدر الأساسي على رقمين لا يتوافقان بشكل واضح، وكلاهما يستحق الذكر. تقول الخلاصات الرئيسية لـ Lumen إن PoeLLM "أثّر على أكثر من 3,400 خادم ضحية". وتقول فقرة في متن التقرير نفسه إن الحملة "أثّرت على قرابة 2,200 خادم ضحية"، ويصف Lumen بشكل منفصل ذروة العمليات في منتصف يونيو بأنها شملت ما يقارب 2,200 خادم متأثر، مع ما يقرب من 800 نشط يوميًا. يقرأ The Hacker News الرقمين على أنهما الإجمالي الجاري (أكثر من 3,400) زائد ذروة منتصف يونيو (قرابة 2,200، وما يقرب من 800 يوميًا). ليس واضحًا في التقرير نفسه أي من رقمي Lumen يمثل العدد التراكمي للضحايا.

مُثبت، ومُقيَّم، ولا يزال مجهولاً

يستحسن الفصل بين ثلاثة أنواع من الادعاءات في هذا السجل، لأن درجة الثقة في الأرشيف تغطي الوثائق نفسها، لا كل استنتاج وارد فيه.

• مُستخلص من البرمجية الخبيثة نفسها: آلية C2 القائمة على القصيدة، ودالة الاستخراج والقاموس، وقدرات الحمولة (شل بعيد، وبرامج تعدين Iron وXMRig، والمسح، ونشر الاستغلال)، وقائمة عناوين IP الخاصة بـ C2، ومنافذ beacon، وKryptens.

• تم التقييم عند مستوى ثقة معلن:إسناد إلى فاعل تهديد ناطق بالإيطالية، بثقة متوسطة، استنادًا إلى تعليقات باللغة الإيطالية في البرمجية الخبيثة وعلى صفحات الفاعل على GitHub، إضافة إلى مؤشرات netflow تشير إلى إيطاليا. الخادم الإيطالي 185.119.19[.]171 بوصفه الواجهة الإدارية لشبكة الروبوتات، أيضًا بثقة متوسطة. نقطة نهاية LiteLLM باعتبارها مسار الاستغلال "المُرجَّح". الادعاء بأن القصيدة كُتبت على الأرجح بالذكاء الاصطناعي — استنتاج من تفضيل اللغة، وليس نتيجة تقنية.

• مفتوح أو غير مؤكد: عدد الأشخاص الذين يديرون الحملة (غير معروف)، وما إذا كانت ترتبط بأي مجموعة أو حملة أخرى (لم يُلاحظ أي منها)، وما إذا كان جهاز Ivanti Sentry نقطة دخول مستغلة أم أمرًا عارضًا (يُصاغ بحذر في الخلاصات الرئيسية، ويوصف بأنه ضحية في المتن)، ومدى نضج قدرة القوة الغاشمة الموزعة. وتقول Lumen إن إنجازات المشغل بخلاف المسح وتعدين العملات المشفرة لا تزال قيد التحقيق.

يوجد تأكيد مستقل لما ورد في التقرير، لكن ليس للبيانات التلمترية التي يستند إليها. نشر كل من CyberScoop وThe Hacker News روايتيهما الخاصة في 7 أكتوبر 2026، مع مقابلات مستقلة مع Black Lotus Labs، وتتوافق تفاصيلهما — الرقم الذي يتجاوز 3,400، وآلية القصيدة، والإسناد باللغة الإيطالية، وصلة Kryptex — مع تقرير المورّد. غير أن كليهما يعود إلى البحث الأساسي نفسه. وحتى 10 أكتوبر 2026، لم تنشر أي مؤسسة بحثية ثانية أو جهة تنظيمية تحليلاً مستقلاً لـ PoeLLM، لذا لا ينبغي قراءة أي شيء هنا على أنه مُعاد إنتاجه من طرف غير Lumen.

ما الذي تغيّر بعد الإفصاح؟

لم يأتِ الرد الأكثر تأثيرًا من تصحيح. أصبح مستودع GitHub الذي يستضيف القصيدة "لم يعد متاحًا"، وهو تطور تقول Lumen إنه "يعطل الحملة بالكامل". قال إنجليش لـ The Hacker News: "نعتقد أن هذا كان مستودعه الوحيد، وقد تم تعطيله بالكامل." كانت Lumen قد أبلغت GitHub، وقامت بتعطيل توجيه خوادم C2 السابقة والنشطة للفاعل، وهو تغيير قال إنجليش إنه بدأ سريانه في وقت مبكر من ليلة الثلاثاء قبل النشر. سبب إزالة المستودع غير مؤكد — قال إنجليش لـ The Hacker News إنه "قد يكونون قد أبلغوا عنه بسبب إساءة الاستخدام أو أن الفاعل أغلق متجره وصمت على تلك المنصة." لأن C2 كان مشتقًا وليس مثبتًا بشكل صلب، فإن إزالة جدول البحث تزيل قدرة شبكة الروبوت على العثور على بنيتها التحتية الخاصة.

تقول Lumen إنها حجبت كل حركة المرور من وإلى خوادم PoeLLM C2 أثناء التحقيق، وإن عملاء Lumen Defender كانوا محميين من تلك الخوادم منذ لحظة الاكتشاف. وتتمثل إرشاداتها المنشورة للمدافعين في نظافة أمنية روتينية مطبقة على مجموعة أهداف غير معتادة: راجع سجلات الشبكة مقابل مؤشرات الاختراق التي نشرتها في مستودعها الخاص على GitHub، ودقّق في التعرّض الخارجي بعد تثبيت أدوات مفتوحة المصدر، وقيّد منافذ الخدمات قدر الإمكان، وأبقِ أجهزة التوجيه والجدران النارية وأجهزة إنترنت الأشياء محدَّثة ومُعاد تشغيلها، وأدخل خدمات الذكاء الاصطناعي ضمن إدارة سطح الهجوم. وتشير أيضًا إلى دليل تثبيت Gotenberg، الذي يحذّر المستخدمين بالفعل من عدم تعريض الخدمة للإنترنت — وهو تحذير يبدو أن مئات خوادم Gotenberg المخترقة تسبقه.

لا شيء في السجل يشير إلى إصلاح تقني لنمط حركة المرور نفسه: لم تكن القصيدة ثغرة في GitHub أو Node.js أو LiteLLM أو Ollama. كانت ملفًا نصيًا عامًا لا يوجد معناه الوحيد إلا داخل ملف ثنائي لم يكن يمتلكه سوى عدد قليل جدًا من الناس.

لماذا يُعد هذا سجلاً لحادثة ذكاء اصطناعي

يُصنّف الأرشيف هذا كحادثة ذات تورط مؤكد للذكاء الاصطناعي، موسومة بـ INFRA وWEAPON، بخطورة عالية، مع تسجيل ضرر حقيقي — والضرر ملموس لا افتراضي: آلاف الخوادم المتصلة بالإنترنت سُرقت قدرتها الحاسوبية وأُعيد توجيه وصولها، في حملة يصفها Lumen بأنها مدفوعة ماليًا لا موجهة إلى النماذج نفسها. العنصر المتعلق بالذكاء الاصطناعي هو اختيار الأهداف. فالخوادم التي تشغّل بوابات LLM وبيئات تشغيل النماذج المحلية مستضافة ذاتيًا، وغالبًا ما تكون مكشوفة على الإنترنت، وكثيرًا ما تُثبَّت دون دورة تحديثات، وتستند إلى عتاد يعدّن بكفاءة. وإطار Lumen نفسه هو أن البنية التحتية للذكاء الاصطناعي أصبحت هدفًا جاذبًا تحديدًا بسبب تلك التركيبة — خدمات مكشوفة ذات ثغرات معروفة، وبيانات مفيدة، وعتاد سريع وشره للطاقة.

الجانب المتعلق بالسلاح هو تصميم C2، وهو ينطبق خارج هذه الحملة. يمكن حجب نطاق أو عنوان IP مُضمَّن بشكل صلب، أو سحبه إلى حوض، أو استخدامه لبصم البرمجيات الخبيثة. أما عنوان مشتق لا يترك أثرًا سوى مستند عام يبدو غير ضار، فلا يمكن ذلك، إلا إذا كان لدى محلل الملف الثنائي. وما ذكره English لـ CyberScoop — إن العديد من أنظمة C2 التابعة للحملة لم تظهر قط على أدوات الأمن القائمة على المصادر الجماعية — هو مقياس لمدى نجاح ذلك.

لأن التعطيل يعتمد على مستودع واحد لا على ثغرة مُرقّعة، فإن وضع الحملة بعد 7 أكتوبر غير مؤكد حقًا وليس مغلقًا: تقول Lumen إن فقدان المستودع "يعطّلها بالكامل"، وتقول بشكل منفصل إن ثلاثة خوادم C2 كانت لا تزال نشطة عند النشر. تنشر Lumen مؤشرات الاختراق الخاصة بها على مستودع GitHub خاص بها، ودرجة خطورة السجل ودرجة الثقة والضرر المسجل تخص الأرشيف، لا المورّد.

هذا سجل واحد. أما بقية الأمر — الإفصاحات الأخرى، ودرجات خطورتها وثقتها، وما فعله المدافعون بشأنها فعلاً — أرشيف حوادث الذكاء الاصطناعييفهرس كل واحد منها مقابل مصادره الأولية، بحيث يمكن قراءة حملة كهذه إلى جانب الحوادث التي سبقتها بدلاً من قراءتها بمعزل عنها.