봇넷이 GitHub에 올린 시에 명령 서버를 숨기고, 노출된 AI 서버 3,400대를 채굴 프록시로 전환했다

2026년 10월 7일, Lumen Technologies의 Black Lotus Labs는 금전적 동기를 가진 봇넷 캠페인에 대한 연구를 발표했으며, 이 캠페인을 자사가 Canto Incognito로 추적한다고 밝혔고, 해당 악성코드는 PoeLLM이라고 명명했습니다. 연구진에 따르면 이 캠페인은 적어도 2026년 4월부터 인터넷에 노출된 3,400대 이상의 서버를 침해했고, 피해 서버는 주로 미국과 서유럽에 집중되어 있습니다. 그리고 피해자들은 무작위로 선택된 기기가 아닙니다. Lumen은 이들이 주로 LiteLLM 및 Ollama의 취약한 배포판이며, Gotenberg PDF 변환기와 Gitea 개발 툴킷을 실행하는 수백 대의 서버도 포함되고 Ivanti Sentry 어플라이언스도 범위에 들어간다고 말합니다. 감염되면 그 서버들은 암호화폐 채굴에 동원되었고 스캐너 및 익스플로잇 서버로 전용되었습니다. Black Lotus Labs의 Ryan English는 CyberScoop과의 인터뷰에서 이를 "AI 기반 프록시의 사설 군대"라고 불렀습니다. 같은 벤더 보고서는 The Hacker News와 공유되었으며, 이 매체는 같은 날 자체 기사를 게재했습니다.

이 기록을 읽을 가치가 있게 만드는 세부 사항은 규모가 아니다. 그것은 명령 및 제어 설계다: 멀웨어에는 하드코딩된 도메인도, 폴백 IP도 없다. 현재 C2 서버의 주소는 공개 GitHub 저장소에 호스팅된 시 한 편에서 뽑아낸 네 단어로부터 런타임에 계산된다. 시를 수정하면, 봇넷 전체가 움직인다.

실제로 무엇이 침해되었나요?

Lumen의 보고서에 따르면, 피해 대상은 인터넷에서 접근 가능했던 기업용 AI 및 개발자 서비스, 즉 LiteLLM 및 Ollama 배포 환경, 수백 대의 Gotenberg PDF 변환 서버, 그리고 Gitea였습니다. Lumen의 연구원들은 이 캠페인이 Ivanti Sentry에도 영향을 미쳤다고 평가했습니다. 주요 스캔 대상은 각각 Gotenberg와 LiteLLM의 기본 수신 포트인 포트 3000과 4000이었습니다.

머신에 접근한 방식과 관련해 두 가지 취약점이 중요하며, 보고서는 둘 모두를 신중하게 다룹니다:

• Ivanti Sentry, CVE-2026-10520. Lumen은 자사 연구원들이 Ivanti의 보안 모바일 게이트웨이에서 이 결함을 조사하던 중 PoeLLM 인프라를 처음 발견했다고 밝혔다. 2026년 6월 초, 침해된 Ivanti Sentry 피해자가 5.78.73[.]122의 전용 서버에 접속했고 얼마 지나지 않아 다른 취약한 기기들을 스캔하기 시작했다. 단서에 주목하라: Lumen 자체의 핵심 요약 목록에는 이 캠페인이 "Ivanti Sentry를 표적으로 삼았을 가능성"이 있다고 적혀 있는 반면, 같은 보고서의 본문은 해당 어플라이언스를 실제 피해자로 묘사한다. 이러한 내부적 불일치는 원문 출처에 있다.

• LiteLLM, CVE-2026-42271. Lumen이 조사한 PoeLLM 샘플 하나는 LiteLLM 엔드포인트 "/mcp-rest/test/connection"을 대상으로 했으며, Lumen은 이것이 CVE-2026-42271로 식별된 LiteLLM 명령 주입 취약점의 "악용 경로였을 가능성이 크다"고 말합니다. CyberScoop의 보고서는 동일한 진입점을 Ivanti Sentry의 최고 심각도 결함이라고 설명하면서도 CVE를 명시하지 않았고, LiteLLM 결함은 다루지 않습니다; The Hacker News는 어느 CVE도 명시하지 않습니다. LiteLLM MCP 엔드포인트 결함은 이 캠페인이 문서화되기 전인 2026년 초에 이 아카이브가 기록했던 바로 그 결함입니다.

도난당한 접근 권한으로 운영자가 얻은 것은 컴퓨팅 자원과 데이터였다. "노출된 AI/LLM 서비스는 소프트웨어 취약점 때문만이 아니라, 유용한 데이터를 포함하고 있을 수 있고 채굴에 적합한 강력한 하드웨어에서 실행되기 때문에도 가치가 있다"라고 Lumen은 밝혔다. English는 CyberScoop에 이 악성코드가 원격 코드 실행 기능을 갖추고 있어~할 수 있으며, 운영자가 피해자 서버에서 실행되는 AI 모델을 악용하게 할 수 있다 — 이는 관찰된 결과가 아니라 하나의 역량으로 제시된 것이다.

조회 테이블이기도 한 시

문제의 GitHub 계정은 "ejejejdfbbebe"이며, 해당 저장소는 nodejs.org 웹사이트 소스의 포크로, Node.js 자체와는 별다른 관련이 없어 보인다. 그 안에서 운영자는 원본에는 존재하지 않는 파일명인 "dash.css"라는 파일에 "연결의 본질에 대하여"라는 제목의 두 연으로 된 시를 넣었다. Lumen은 2026년 4월 13일 첫 커밋 이후 해당 시가 11차례 업데이트된 것으로 집계했다. CyberScoop은 문구가 "적어도 열두 번" 변경되었다고 보도한다.

2026년 9월 Lumen이 포착한 바에 따르면, 첫 번째 연은 다음과 같았다: "드라이버의 고요한 웅웅거림 속에서, 기계들이 말하기 시작한다, 다이오드의 각 펄스가 구리 혈관을 통해 빛을 꿰어낸다. 우리는 어둠에게 의미를 나르도록 가르쳤다, 바이트 하나하나씩 — 번개로 빚어진 언어, 차갑고 깨끗한." 두 번째 연에는 "암호화의 벽 너머에서, 신호가 길을 찾고, 멀리 있는 서버들의 째깍임이 응답한다."라는 행이 포함된다.

추출은 기계적이다. 루멘이 extract_poem_phrase_field라고 부르는 함수는 시구의 고정된 위치에서 세 개의 구절을 뽑아낸다 — "In the silent hum of "와 뒤따르는 쉼표 사이의 텍스트, "each pulse of "와 " threading," 사이의 텍스트, 그리고 "Beyond the wall of "와 다음 쉼표 사이의 텍스트다. 네 번째 단어는 다른 방식으로 복구되는데, "of distant servers,"라는 문자열을 검색한 뒤 이전 공백 문자로 거슬러 올라가, 앞선 4바이트가 "the "를 이루는지 확인하고 그 뒤에 오는 단어를 가져온다. 그런 다음 네 단어 각각을 바이너리에 컴파일된 하드코딩된 사전과 대조하고, 그렇게 나온 네 개의 숫자를 이어 붙여 IPv4 주소로 만든다. 2026년 6월 23일에 루멘이 복구한 샘플에서는 "driver"가 92, "diode"가 119, "decryption"이 165, "string"이 74에 대응되어 92.119.165[.]74가 되었다.

관찰된 11개 리비전에 걸쳐 오직 네 개의 키워드만 바뀌었고 디코딩 패턴은 결코 바뀌지 않았기 때문에, 봇넷을 옮기는 일은 운영자에게 공개 텍스트 파일을 몇 차례 수정하는 정도의 수고만 안겼다. "시 접근법에서 가장 흥미로운 점은 C2 통신에 사용되는 IP 주소가 피해자의 netflow 밖에서는 보이지 않는다는 것입니다."라고 English는 CyberScoop에 말했다. "이것을 우연히 접하는 누구에게나 이는 그저 GitHub에 있는 시일 뿐입니다. 링크도 없고, 다운로드할 파일도 없고, 고급 모델조차도 악성으로 쉽게 표시할 수 있는 암호화된 텍스트도 없습니다. 이 시를 참조하는 악성코드에 접근할 수 있는 사람이 아니라면, 어떤 보안 연구원도 이 시를 악성으로 식별하거나 그 안에 숨겨진 IP 주소를 알 이유가 없을 것입니다."

Lumen은 그 시가 아마도 AI에 의해 작성되었을 것이라고 생각한다며, 이를 발견이 아니라 추론으로 분류한다. The Hacker News에 한 English의 말에 따르면 그 근거는 다음과 같다. 그 시는 어떤 언어로도 통했을 테지만, 정작 행위자 자신의 언어는 이탈리아어인 것으로 보인다. 이는 작성 스타일에 관한 판단이지, 텍스트를 특정 모델에 귀속시키는 포렌식 작업이 아니다.

악성코드가 침투한 후 수행하는 작업

Lumen이 분석한 페이로드는 "libgcrypt"라는 이름으로 유포되는 ELF 파일이며, SHA-256 해시는 6fab94577364beec314afae3b082dd680933f08a8349b9f35b92667e8231b501입니다. Lumen의 분석에 따르면 이 페이로드는 원격 셸, Iron 및 XMRig 암호화폐 채굴기, HTTP 및 HTTPS 스캐닝 기능, 그리고 취약한 대상에 대한 익스플로잇 배포를 포함합니다.

감염된 호스트는 여러 C2 포트 중 하나인 3778, 5001, 5002 또는 9999로 비콘을 보내며, C2 서버의 81번 포트에서 추가 파일을 다운로드하도록 지시받습니다(관찰된 경로에는 /private/python3.6 및 /private/bins.sh가 포함됨). 채굴 지급금은 러시아 채굴 서비스 Kryptex로 전달됩니다. Lumen은 피해자들이 5.180.174[.]162:8029 및 46.21.245[.]211:7029에 접속하는 것을 관찰했으며, 이는 edge-ru-07[.]kryptex[.]network를 호스팅합니다. 최초 900명 피해자에게서 초기 C2와 접촉한 뒤 가장 흔하게 나타난 공통 특징은 해당 Kryptex 엔드포인트와 접촉한 것이었습니다.

봇넷은 스스로 확장하기도 합니다. 침해된 서버들은 스캐너와 익스플로잇 서버로 전환되었습니다. 익스플로잇 서버는 새로 발견된 대상의 노출된 서비스에 정교하게 제작된 HTTP POST를 전송하여, 해당 서비스가 C2에서 악성코드를 다운로드하도록 지시합니다. 더 최근에 Lumen은 SSH 포트와 기타 로그인 포털을 겨냥하는 피해자 풀을 목격했으며, 이를 분산 브루트포스 프레임워크에 대한 실험 가능성으로 해석합니다. Lumen은 이를 미성숙하고 입증되지 않은 것으로 명시적으로 한정합니다. 대상 중 다수는 이탈리아에 있는 전용 서버였으며, 연구진은 해당 역량이 "개발 초기 단계였을 수 있다"고 평가합니다.

타임라인, 그리고 일치하지 않는 두 개의 숫자

캠페인의 첫 번째 디코딩된 C2는 191.37.28[.]160으로, 2222번 포트에 노출된 Boa 웹 서버가 있는 브라질 라우터였으며 CVE-2018-21027 및 CVE-2018-21028에 취약했다 — 하지만 Lumen은 그 결함들이 진입 경로였다는 직접적인 증거를 찾지 못했다. 첫 GitHub 커밋 후 약 한 시간 뒤, 그 C2는 이탈리아의 57.131.5[.]211:80 서버에 접속했는데, 이 서버는 2026년 2월에 등록된 malwarescan[.]xyz 도메인을 호스팅하고 있었다. Lumen은 해당 도메인의 API 엔드포인트로 향하는 다른 주목할 만한 트래픽은 보지 못했다고 밝혔으며, 해당 도메인이 PoeLLM 운영자 소유일 수 있다고 평가한다. 5월 개정에서는 C2를 120.224.114[.]212로 옮겼는데, 이 주소는 중국에 위치한 것으로 확인되었고 브라질 호스트와 마찬가지로 라우터 관리자 페이지가 있는 취약한 Boa 웹 서버를 실행하고 있었다. 모두 합쳐 Lumen은 12개의 C2 IP 주소를 식별했으며, 발행 시점에 3개가 여전히 활성 상태였다 — 92.119.164.50(2026년 7월 23일 최초 확인), 103.249.201.108(2026년 8월 13일 최초 확인) 및 178.128.14.204(2026년 6월 16일 최초 확인).

루멘(Lumen)은 또한 이탈리아에 있는 의심되는 관리 서버 185.119.19[.]171을 지목하는데, 이 서버는 이전에 Prometheus 및 Uptime Kuma 모니터링 대시보드를 호스팅했으며 여러 C2가 여기에 접속했습니다. 보고서는 이 귀속을 중간 정도의 확신으로 명시합니다.

규모 면에서, 1차 출처에는 명백히 서로 맞아떨어지지 않는 두 수치가 있으며, 둘 다 언급할 가치가 있다. Lumen의 핵심 요점에서는 PoeLLM이 "3,400대 이상의 피해 서버에 영향을 미쳤다"고 말한다. 같은 보고서의 본문 단락은 이 캠페인이 "거의 2,200대의 피해 서버에 영향을 미쳤다"고 말하며, Lumen은 6월 중순의 작전 정점을 거의 2,200대의 영향을 받은 서버가 관련되고 하루에 거의 800대가 활성 상태였던 것으로 별도로 설명한다. Hacker News는 이 수치들을 누적 총계(3,400대 이상)에 6월 중순 정점(거의 2,200대, 하루 거의 800대)을 더한 것으로 해석한다. 두 Lumen 수치 중 어느 것이 누적 피해자 수인지는 보고서 자체에서 명확히 밝혀지지 않는다.

확립됨, 평가됨, 그리고 아직 알 수 없음

이 기록에서는 세 가지 종류의 주장을 구분할 가치가 있다. 아카이브의 신뢰도 등급은 문서화를 포괄하는 것이지, 그 안의 모든 추론을 포괄하는 것은 아니기 때문이다.

• 악성코드 자체에서 확인된 사항: 시 기반 C2 메커니즘, 추출 함수와 사전, 페이로드의 기능(원격 셸, Iron 및 XMRig 마이너, 스캐닝, 익스플로잇 배포), C2 IP 목록, 비컨 포트, Kryptex 엔드포인트입니다. 이는 아티팩트 분석과 넷플로우에서 비롯된 것이며, 보고서의 대부분을 차지합니다.

• 명시된 신뢰 수준에서 평가:이탈리아어를 사용하는 위협 행위자로의 귀속은 멀웨어 내 이탈리아어 댓글과 해당 행위자의 GitHub 페이지, 그리고 이탈리아를 가리키는 netflow 지표에 근거하여 중간 정도의 신뢰도로 평가됩니다. 봇넷의 관리 인터페이스인 이탈리아 서버 185.119.19[.]171 역시 중간 정도의 신뢰도로 평가됩니다. LiteLLM 엔드포인트는 "유력한" 익스플로잇 경로로 봅니다. 해당 시가 아마도 AI가 작성했을 것이라는 주장은 기술적 발견이 아니라 언어 선호도에서 나온 추론입니다.

• 미확인 또는 미확정 사항: 캠페인을 운영하는 인원 수(알 수 없음), 다른 그룹이나 캠페인과 연계되어 있는지 여부(관찰된 바 없음), Ivanti Sentry 어플라이언스가 악용된 진입점이었는지 아니면 우발적인 것이었는지(핵심 요약에서는 유보적으로 표현되고, 본문에서는 피해자로 설명됨), 그리고 분산형 무차별 대입 공격 능력이 얼마나 성숙했는지. Lumen은 스캐닝과 암호화폐 채굴 외에 운영자가 달성한 성과에 대해서는 아직 조사 중이라고 밝혔다.

독립적인 교차 검증은 해당 보도에 대해서는 존재하지만, 그 배후의 텔레메트리에 대해서는 존재하지 않는다. CyberScoop과 The Hacker News는 모두 2026년 10월 7일 각자의 보도를 게재했으며, Black Lotus Labs와의 독립적인 인터뷰를 포함했다. 그리고 그 세부 사항 — 3,400개 이상이라는 수치, 시 메커니즘, 이탈리아어 귀속, Kryptex 링크 — 은 벤더 보고서와 일치한다. 그러나 둘 모두 동일한 1차 연구로 거슬러 올라간다. 2026년 10월 10일 현재, 어떤 제2의 연구 기관이나 규제 기관도 PoeLLM에 대한 독립적인 분석을 발표하지 않았으므로, 여기에 있는 어떤 내용도 Lumen 이외의 주체에 의해 재현된 것으로 해석되어서는 안 된다.

공개 이후 무엇이 바뀌었나요

가장 중대한 대응은 패치에서 나오지 않았다. 해당 시를 호스팅하던 GitHub 저장소는 "더 이상 접근할 수 없다"는 상태이며, Lumen은 이러한 전개가 "캠페인을 완전히 무력화한다"고 말한다. 잉글리시는 The Hacker News에 "우리는 그것이 그의 유일한 저장소였고, 완전히 무력화되었다고 생각한다"고 말했다. Lumen은 GitHub에 통보했고, 행위자의 이전 및 활성 C2 서버를 널 라우팅했다. 잉글리시는 이 변경이 발행 전 화요일 밤 이른 시각에 효력을 발휘했다고 말했다. 저장소 삭제 원인은 확인되지 않았다. 잉글리시는 The Hacker News에 "그들이 그것을 어뷰즈로 신고했거나, 행위자가 작업을 접고 그 플랫폼에서 잠적했을 수 있다"고 말했다. C2는 하드코딩된 것이 아니라 파생된 것이었기 때문에, 조회 테이블을 제거하면 봇넷이 자체 인프라를 찾을 수 있는 능력이 사라진다.

Lumen은 조사 중 PoeLLM C2 서버와 주고받는 모든 트래픽을 차단했으며, Lumen Defender 고객은 해당 서버가 발견된 시점부터 보호받았다고 밝혔다. 방어자를 위해 공개한 지침은 이례적인 대상 집합에 적용한 일상적인 보안 위생 조치다. 자체 GitHub 저장소에 공개한 침해 지표와 네트워크 로그를 대조하고, 오픈소스 도구를 설치한 후 외부 노출을 감사하고, 서비스 포트를 가능한 한 제한하고, 라우터, 방화벽, IoT 기기를 최신 패치 상태로 유지하고 재부팅하며, AI 서비스를 공격 표면 관리 범위 안에 포함시키는 것이다. 또한 이미 사용자에게 해당 서비스를 인터넷에 노출하지 말라고 경고하는 Gotenberg 설치 가이드를 가리킨다. 이는 수백 대의 침해된 Gotenberg 서버가 분명히 그 경고보다 먼저 존재했음을 보여준다.

기록상 그 트래픽 패턴 자체에 대한 기술적 해결책을 시사하는 것은 없다: 그 시는 GitHub, Node.js, LiteLLM 또는 Ollama의 취약점이 아니었다. 그것은 공개된 텍스트 파일이었고, 그 유일한 의미는 극소수만 가지고 있던 바이너리 안에만 존재했다.

이것이 AI 사고 기록인 이유

아카이브는 이를 AI 연루가 확인된 사건으로 기록하며, INFRA 및 WEAPON 태그가 붙고 심각도는 높으며 실제 피해가 기록된다 — 그리고 그 피해는 추측이 아니라 구체적이다: 수천 대의 인터넷 노출 서버의 컴퓨팅 자원이 도난당하고 접근 권한이 다른 용도로 전용된 캠페인으로, Lumen은 이를 모델 자체를 겨냥한 것이 아니라 금전적 동기에서 비롯된 것으로 설명한다. AI 요소는 표적 선택이다. LLM 게이트웨이와 로컬 모델 런타임을 실행하는 서버는 자체 호스팅되며, 흔히 인터넷에 노출되고, 패치 주기 없이 설치되는 경우가 많으며, 효율적으로 채굴할 수 있는 하드웨어 위에 있다. Lumen의 설명은 AI 인프라가 바로 그 조합 — 알려진 취약점이 있는 노출된 서비스, 유용한 데이터, 그리고 빠르고 전력 소모가 큰 하드웨어 — 때문에 매력적인 표적이 되고 있다는 것이다.

무기적 측면의 핵심은 C2 설계이며, 이는 이 캠페인을 넘어 일반화된다. 하드코딩된 도메인이나 IP는 차단되거나 싱크홀 처리되거나 멀웨어를 핑거프린팅하는 데 사용될 수 있다. 유일한 아티팩트가 무해해 보이는 공개 문서인 파생 주소는 분석가가 바이너리를 가지고 있지 않은 한 그럴 수 없다. English가 CyberScoop에 한 지적, 즉 이 캠페인의 C2 중 다수가 크라우드소싱 보안 도구에 전혀 나타나지 않았다는 점은 그것이 얼마나 잘 통했는지를 보여주는 척도다.

중단이 {{1}}패치된 결함이 아니라{{/1}} 단일 지점에 달려 있기 때문에, 10월 7일 이후 캠페인의 상태는 종결된 것이 아니라 진정으로 불확실하다: Lumen은 저장소 손실이 캠페인을 "완전히 중단시킨다"고 말하며, 별도로 발행 당시 세 개의 C2 서버가 여전히 활성 상태였다고 말한다. Lumen은 자체 침해 지표를 자체 저장소에 공개하며, 그 기록의 심각도, 신뢰도 등급, 기록된 피해는 벤더의 것이 아니라 아카이브의 것이다.

이것은 하나의 기록입니다. 나머지 — 다른 공개 사례들, 그 심각도와 신뢰도 등급, 그리고 방어자들이 실제로 그에 대해 취한 조치 — 은 AI 인시던트 아카이브가 각각의 기록을 1차 출처와 대조해 색인하므로, 이와 같은 캠페인을 고립된 사례로 보는 대신 그 이전에 있었던 인시던트들과 나란히 읽을 수 있습니다.