Một botnet đã giấu máy chủ điều khiển của mình trong một bài thơ trên GitHub — và biến 3.400 máy chủ AI bị lộ thành proxy đào coin

Vào ngày 7 tháng 10 năm 2026, Black Lotus Labs của Lumen Technologies đã công bố nghiên cứu về một chiến dịch botnet vì động cơ tài chính mà họ theo dõi với tên gọi Canto Incognito, có phần mềm độc hại mà họ đặt tên là PoeLLM. Theo các nhà nghiên cứu, chiến dịch này đã xâm nhập hơn 3.400 máy chủ hướng Internet kể từ ít nhất tháng 4 năm 2026, tập trung ở Hoa Kỳ và Tây Âu — và các nạn nhân không phải là những máy ngẫu nhiên. Lumen cho biết chúng chủ yếu là các triển khai dễ bị tổn thương của LiteLLM và Ollama, cùng với hàng trăm máy chủ chạy trình chuyển đổi PDF Gotenberg và bộ công cụ phát triển Gitea, với các thiết bị Ivanti Sentry cũng nằm trong phạm vi. Sau khi bị lây nhiễm, những máy chủ đó bị khai thác để đào tiền mã hóa và được tái sử dụng làm máy quét và máy chủ khai thác — điều mà Ryan English của Black Lotus Labs, trong một cuộc phỏng vấn với CyberScoop, gọi là "một đội quân riêng gồm các proxy được hỗ trợ bởi AI." Báo cáo của cùng nhà cung cấp đó đã được chia sẻ với The Hacker News, tờ này đã đăng tải bản tường thuật của riêng mình cùng ngày.

Chi tiết khiến bản ghi này đáng đọc không phải là quy mô. Mà là thiết kế chỉ huy và điều khiển: không có tên miền nào được mã hóa cứng và cũng không có IP dự phòng trong malware. Địa chỉ của máy chủ C2 hiện tại được tính toán khi chạy từ bốn từ lấy ra từ một bài thơ được lưu trữ trong một kho GitHub công khai. Chỉnh sửa bài thơ, và toàn bộ botnet sẽ dịch chuyển.

Cái gì thực sự đã bị xâm phạm?

Các nạn nhân, theo báo cáo của Lumen, là các dịch vụ AI doanh nghiệp và dịch vụ dành cho nhà phát triển có thể truy cập được từ internet: các triển khai LiteLLM và Ollama, hàng trăm máy chủ chuyển đổi PDF Gotenberg, và Gitea. Các nhà nghiên cứu của Lumen đánh giá rằng chiến dịch này cũng đã tác động đến Ivanti Sentry. Các mục tiêu quét chính là cổng 3000 và 4000, lần lượt là cổng lắng nghe mặc định của Gotenberg và LiteLLM.

Hai lỗ hổng bảo mật có vai trò quan trọng đối với cách các máy bị xâm nhập, và báo cáo rất thận trọng về cả hai:

• Ivanti Sentry, CVE-2026-10520. Lumen cho biết các nhà nghiên cứu của họ lần đầu gặp cơ sở hạ tầng PoeLLM khi điều tra lỗ hổng này trong cổng di động an toàn của Ivanti. Đầu tháng 6 năm 2026, một nạn nhân Ivanti Sentry bị xâm phạm đã liên hệ với một máy chủ chuyên dụng tại 5.78.73[.]122 và ngay sau đó bắt đầu quét tìm các thiết bị dễ bị tổn thương khác. Đáng chú ý là cách nói dè dặt: danh sách những điểm chính của chính Lumen nói rằng chiến dịch có "khả năng nhắm mục tiêu vào Ivanti Sentry", trong khi phần thân của cùng báo cáo đó mô tả thiết bị này là một nạn nhân thực tế. Sự mâu thuẫn nội bộ đó nằm trong nguồn chính.

• LiteLLM, CVE-2026-42271. Một mẫu PoeLLM mà Lumen đã kiểm tra nhắm vào endpoint LiteLLM "/mcp-rest/test/connection", mà Lumen nói rằng "rất có thể là đường khai thác" cho lỗ hổng chèn lệnh LiteLLM được nhận diện là CVE-2026-42271. Báo cáo của CyberScoop mô tả cùng điểm vào đó là một khiếm khuyết mức nghiêm trọng tối đa trong Ivanti Sentry mà không nêu tên CVE nào, và không đề cập đến lỗ hổng LiteLLM; The Hacker News không nêu tên CVE nào trong hai CVE đó. Lỗ hổng endpoint MCP của LiteLLM là lỗ hổng mà kho lưu trữ này đã ghi nhận trước đó trong năm 2026, trước khi chiến dịch này được ghi nhận.

Điều mà quyền truy cập bị đánh cắp mang lại cho kẻ vận hành là năng lực tính toán và dữ liệu. "Các dịch vụ AI/LLM bị phơi bày có giá trị không chỉ vì những lỗ hổng phần mềm, mà còn vì chúng có thể chứa dữ liệu hữu ích và chạy trên phần cứng mạnh mẽ phù hợp để đào coin," Lumen viết. English nói với CyberScoop rằng phần mềm độc hại này cũng có chức năng thực thi mã từ xa, thứ mà có thể cho phép kẻ vận hành lạm dụng các mô hình AI đang chạy trên máy chủ của nạn nhân — được nêu như một khả năng, chứ không phải một kết quả đã được quan sát.

Bài thơ cũng là một bảng tra cứu

Tài khoản GitHub được đề cập là "ejejejdfbbebe," và kho lưu trữ là một bản fork của mã nguồn trang web nodejs.org, dường như không có mối liên hệ rõ ràng nào với chính Node.js. Bên trong nó, trong một tệp có tên "dash.css" — một tên tệp không tồn tại trong kho lưu trữ gốc — đối tượng điều hành đã đặt một bài thơ hai khổ có tiêu đề "Về bản chất của sự kết nối." Lumen đếm được 11 lần cập nhật đối với nó kể từ lần commit đầu tiên vào ngày 13 tháng 4 năm 2026; CyberScoop đưa tin rằng câu chữ đã được thay đổi "ít nhất một tá lần."

Như Lumen ghi lại vào tháng 9 năm 2026, khổ thơ đầu đọc như sau: “Trong tiếng ngân âm thầm của trình điều khiển, những cỗ máy bắt đầu cất tiếng nói, từng nhịp xung của diode xâu ánh sáng qua những mạch đồng. Chúng ta đã dạy bóng tối mang ý nghĩa, từng byte một — một ngôn ngữ được dựng nên từ tia chớp, lạnh lẽo và tinh sạch.” Khổ thơ thứ hai có câu “Bên kia bức tường mã hóa, một tín hiệu tìm được lối đi, tiếng tích tắc của những máy chủ xa xăm đáp lại.”

Việc trích xuất mang tính máy móc. Một hàm mà Lumen gọi là extract_poem_phrase_field rút ra ba cụm từ từ những vị trí cố định trong bài thơ — đoạn văn bản nằm giữa "In the silent hum of " và dấu phẩy theo sau, giữa "each pulse of " và " threading,", và giữa "Beyond the wall of " và dấu phẩy tiếp theo. Từ thứ tư được khôi phục theo cách khác: bằng cách tìm chuỗi "of distant servers,", lùi về khoảng trắng trước đó, kiểm tra xem bốn byte đứng trước có tạo thành "the " hay không, rồi lấy từ đứng sau nó. Sau đó, từng từ trong bốn từ được đối chiếu với một từ điển mã hóa cứng đã được biên dịch vào tệp nhị phân, và bốn con số thu được được nối lại thành một địa chỉ IPv4. Trong một mẫu mà Lumen khôi phục được vào ngày 23 tháng 6 năm 2026, "driver" ánh xạ thành 92, "diode" thành 119, "decryption" thành 165 và "string" thành 74 — cho ra 92.119.165[.]74.

Vì chỉ có bốn từ khóa từng thay đổi qua 11 bản sửa đổi được quan sát, còn mẫu giải mã thì không bao giờ thay đổi, nên việc di chuyển botnet chỉ khiến kẻ vận hành tốn một vài chỉnh sửa đối với một tệp văn bản công khai. "Điểm thú vị nhất của cách tiếp cận bằng bài thơ là địa chỉ IP dùng cho liên lạc C2 là vô hình bên ngoài netflow của nạn nhân," English nói với CyberScoop. "Với bất kỳ ai bắt gặp nó, đây chỉ đơn giản là một bài thơ trên GitHub. Nó không có liên kết, không có tệp để tải xuống, không có văn bản mã hóa dễ bị gắn cờ là độc hại, ngay cả bởi các mô hình tiên tiến. Sẽ không có lý do nào để bất kỳ nhà nghiên cứu bảo mật nào xác định bài thơ này là độc hại — hoặc biết về địa chỉ IP ẩn bên trong nó — trừ khi họ có quyền truy cập vào phần mềm độc hại tham chiếu đến nó."

Lumen nói rằng họ tin bài thơ có lẽ do một AI viết, và gọi đó là suy luận, không phải phát hiện. Lý lẽ, trong lời của English với The Hacker News: bài thơ hẳn sẽ hiệu quả trong bất kỳ ngôn ngữ nào, nhưng sở thích của tác nhân dường như là tiếng Ý. Đó là một đánh giá về phong cách viết, không phải quy kết pháp chứng văn bản cho một mô hình.

Malware làm gì sau khi đã xâm nhập

Payload mà Lumen phân tích là một tệp ELF được phân phối dưới tên "libgcrypt," với mã băm SHA-256 6fab94577364beec314afae3b082dd680933f08a8349b9f35b92667e8231b501. Theo phân tích của Lumen, nó đi kèm một shell từ xa, các trình đào tiền mã hóa Iron và XMRig, khả năng quét HTTP và HTTPS, và triển khai khai thác lỗ hổng nhắm vào các mục tiêu dễ bị tổn thương.

Các máy chủ bị nhiễm gửi tín hiệu beacon về một trong số các cổng C2 — 3778, 5001, 5002 hoặc 9999 — và được chỉ thị tải xuống thêm tệp từ cổng 81 trên máy chủ C2 (các đường dẫn quan sát được gồm /private/python3.6 và /private/bins.sh). Các khoản chi trả khai thác được chuyển đến dịch vụ khai thác tiền mã hóa Nga Kryptex: Lumen quan sát thấy nạn nhân kết nối với 5.180.174[.]162:8029 và 46.21.245[.]211:7029, vốn lưu trữ edge-ru-07[.]kryptex[.]network. Đặc điểm chung phổ biến nhất của 900 nạn nhân đầu tiên, sau khi kết nối với C2 ban đầu, là kết nối với endpoint Kryptex đó.

Botnet cũng tự mở rộng. Các máy chủ bị xâm phạm đã được biến thành máy quét và máy chủ khai thác lỗ hổng: một máy chủ khai thác gửi một HTTP POST được tạo để tấn công một dịch vụ bị phơi bày trên mục tiêu mới được tìm thấy, chỉ thị nó tải phần mềm độc hại từ C2. Gần đây hơn, Lumen đã thấy các nhóm nạn nhân nhắm mục tiêu vào cổng SSH và các cổng đăng nhập khác, điều mà họ hiểu là có thể là thử nghiệm với một khuôn khổ brute-force phân tán. Lumen nói rõ rằng đó là chưa trưởng thành và chưa được chứng minh: nhiều mục tiêu là máy chủ riêng ở Ý, và các nhà nghiên cứu đánh giá khả năng này "có thể đang trong giai đoạn phát triển ban đầu".

Dòng thời gian, và hai con số không khớp

C2 đầu tiên được giải mã của chiến dịch là 191.37.28[.]160, một router Brazil có máy chủ web Boa bị lộ trên cổng 2222, vốn dễ bị khai thác bởi CVE-2018-21027 và CVE-2018-21028 — dù Lumen không tìm thấy bằng chứng trực tiếp cho thấy những lỗ hổng đó chính là đường xâm nhập. Khoảng một giờ sau commit đầu tiên trên GitHub, C2 đó đã liên hệ với một máy chủ ở Ý tại 57.131.5[.]211:80 đang lưu trữ tên miền malwarescan[.]xyz, vốn được đăng ký vào tháng 2 năm 2026. Lumen cho biết họ không thấy lưu lượng đáng chú ý nào khác đến điểm cuối API của tên miền đó và đánh giá rằng tên miền này có thể thuộc sở hữu của kẻ vận hành PoeLLM. Một bản chỉnh sửa vào tháng 5 đã chuyển C2 sang 120.224.114[.]212, được định vị ở Trung Quốc và, giống như máy chủ Brazil, đang chạy máy chủ web Boa dễ bị tổn thương với một trang quản trị router. Tổng cộng, Lumen đã xác định được 12 địa chỉ IP C2; ba địa chỉ vẫn còn hoạt động tại thời điểm công bố — 92.119.164.50 (lần đầu thấy ngày 23 tháng 7 năm 2026), 103.249.201.108 (lần đầu thấy ngày 13 tháng 8 năm 2026) và 178.128.14.204 (lần đầu thấy ngày 16 tháng 6 năm 2026).

Lumen cũng nêu tên một máy chủ quản lý bị nghi ngờ: 185.119.19[.]171 ở Ý, trước đây lưu trữ các bảng điều khiển giám sát Prometheus và Uptime Kuma, mà một số C2 đã liên hệ tới. Báo cáo nêu quy kết này với độ tin cậy trung bình.

Về quy mô, nguồn chính chứa hai con số dường như không khớp rõ ràng với nhau, và cả hai đều đáng được nêu ra. Các điểm chính của Lumen nói rằng PoeLLM "đã ảnh hưởng đến hơn 3.400 máy chủ nạn nhân." Một đoạn thân bài trong cùng báo cáo nói rằng chiến dịch "đã ảnh hưởng đến gần 2.200 máy chủ nạn nhân", và Lumen mô tả riêng giai đoạn đỉnh điểm của hoạt động vào giữa tháng Sáu là liên quan đến gần 2.200 máy chủ bị ảnh hưởng với gần 800 máy chủ hoạt động mỗi ngày. The Hacker News hiểu các con số này là tổng lũy kế (hơn 3.400) cộng với đỉnh điểm giữa tháng Sáu (gần 2.200, gần 800 mỗi ngày). Con số nào trong hai con số của Lumen là tổng số nạn nhân lũy kế thì không được nêu rõ trong chính báo cáo.

Đã được thiết lập, đã được đánh giá và vẫn chưa được biết đến

Đáng để phân tách ba loại khẳng định trong bản ghi này, vì mức độ tin cậy của kho lưu trữ bao quát phần tài liệu, chứ không phải mọi suy luận bên trong nó.

• Được xác định từ chính mã độc: cơ chế C2 dựa trên bài thơ, hàm trích xuất và từ điển, các khả năng của payload (shell từ xa, trình đào Iron và XMRig, quét, triển khai khai thác), danh sách IP C2, cổng beacon, và các endpoint Kryptex. Những thông tin này đến từ phân tích dấu vết và netflow, và chúng là phần lớn của báo cáo.

• Được đánh giá ở mức độ tin cậy đã nêu: việc quy kết cho một tác nhân đe dọa nói tiếng Ý, với độ tin cậy trung bình, dựa trên các bình luận bằng tiếng Ý trong malware và trên các trang GitHub của tác nhân cùng các chỉ báo netflow trỏ đến Ý. Máy chủ Ý 185.119.19[.]171 là giao diện quản trị của botnet, cũng với độ tin cậy trung bình. Điểm cuối LiteLLM là đường khai thác "có khả năng". Tuyên bố rằng bài thơ có lẽ do AI viết — một suy luận từ sở thích ngôn ngữ, không phải là một phát hiện kỹ thuật.

• Còn bỏ ngỏ hoặc chưa xác nhận:có bao nhiêu người điều hành chiến dịch (không rõ), liệu nó có liên kết với bất kỳ nhóm hay chiến dịch nào khác không (không quan sát thấy), liệu thiết bị Ivanti Sentry là điểm xâm nhập bị khai thác hay chỉ là sự việc ngẫu nhiên (được nêu một cách dè dặt trong các điểm chính, được mô tả là nạn nhân trong phần thân bài), và năng lực brute-force phân tán đã trưởng thành đến mức nào. Lumen cho biết những thành tựu của kẻ vận hành ngoài việc quét và đào tiền mã hóa vẫn đang được điều tra.

Có sự chứng thực độc lập cho bài đưa tin, nhưng không phải cho dữ liệu đo từ xa phía sau nó. CyberScoop và The Hacker News đều đã đăng tải bài viết riêng của mình vào ngày 7 tháng 10 năm 2026, với các cuộc phỏng vấn độc lập với Black Lotus Labs, và các chi tiết của họ — con số hơn 3.400, cơ chế bài thơ, quy kết bằng tiếng Ý, liên kết Kryptex — khớp với báo cáo của nhà cung cấp. Tuy nhiên, cả hai đều bắt nguồn từ cùng một nghiên cứu chính. Tính đến ngày 10 tháng 10 năm 2026, chưa có tổ chức nghiên cứu hay cơ quan quản lý thứ hai nào công bố phân tích độc lập về PoeLLM, nên không có nội dung nào ở đây nên được hiểu là đã được tái tạo bởi một bên nào khác ngoài Lumen.

Điều gì đã thay đổi sau khi tiết lộ?

Phản ứng có hậu quả lớn nhất không đến từ một bản vá. Kho lưu trữ GitHub chứa bài thơ “không còn truy cập được”, một diễn biến mà Lumen nói “phá vỡ hoàn toàn chiến dịch”. English nói với The Hacker News: “Chúng tôi nghĩ đó là repo duy nhất của đối tượng, và nó đã bị gián đoạn hoàn toàn.” Lumen đã thông báo cho GitHub, và đơn vị này đã null-route các máy chủ C2 trước đó và đang hoạt động của đối tượng, một thay đổi mà English nói đã có hiệu lực vào đầu đêm thứ Ba trước khi công bố. Nguyên nhân khiến kho lưu trữ bị gỡ vẫn chưa được xác nhận — English nói với The Hacker News rằng “có thể họ đã gắn cờ nó vì lạm dụng, hoặc đối tượng đã dẹp tiệm và im hơi lặng tiếng trên nền tảng đó.” Bởi vì C2 được dẫn xuất thay vì được mã hóa cứng, việc xóa bảng tra cứu sẽ loại bỏ khả năng botnet tìm thấy hạ tầng của chính nó.

Lumen cho biết họ đã chặn tất cả lưu lượng đến và đi từ các máy chủ C2 của PoeLLM trong quá trình điều tra và rằng khách hàng Lumen Defender đã được bảo vệ khỏi các máy chủ đó kể từ khi phát hiện. Hướng dẫn đã công bố của họ dành cho các chuyên gia phòng thủ là các biện pháp vệ sinh thông thường được áp dụng cho một tập hợp mục tiêu bất thường: kiểm tra nhật ký mạng dựa trên các chỉ báo xâm nhập mà họ đã công bố trên kho lưu trữ GitHub của riêng mình, kiểm toán phơi nhiễm bên ngoài sau khi cài đặt các công cụ mã nguồn mở, hạn chế cổng dịch vụ càng nhiều càng tốt, giữ cho bộ định tuyến, tường lửa và thiết bị IoT được vá và khởi động lại, và đưa các dịch vụ AI vào trong quản lý bề mặt tấn công. Nó cũng chỉ ra hướng dẫn cài đặt Gotenberg, vốn đã cảnh báo người dùng không nên phơi nhiễm dịch vụ ra internet — một cảnh báo mà hàng trăm máy chủ Gotenberg bị xâm phạm rõ ràng đã có trước đó.

Không có gì trong hồ sơ cho thấy một giải pháp kỹ thuật cho chính mô hình lưu lượng: bài thơ không phải là một lỗ hổng trong GitHub, Node.js, LiteLLM hay Ollama. Nó là một tệp văn bản công khai mà ý nghĩa duy nhất của nó nằm bên trong một tệp nhị phân mà rất ít người có.

Tại sao đây là bản ghi sự cố AI

Kho lưu trữ ghi đây là một sự cố có sự tham gia của AI đã được xác nhận, được gắn thẻ INFRA và WEAPON, mức độ nghiêm trọng cao, với thiệt hại thực tế đã được ghi nhận — và thiệt hại là cụ thể chứ không phải suy đoán: hàng nghìn máy chủ hướng internet bị đánh cắp năng lực tính toán và bị tái sử dụng quyền truy cập, trong một chiến dịch mà Lumen mô tả là nhằm mục đích tài chính chứ không nhắm vào chính các mô hình. Yếu tố AI nằm ở việc lựa chọn mục tiêu. Các máy chủ chạy cổng kết nối LLM và môi trường chạy mô hình cục bộ thường được tự lưu trữ, thường xuyên phơi lộ ra internet, thường được cài đặt mà không qua chu kỳ vá lỗi, và nằm trên phần cứng có hiệu suất đào cao. Cách diễn giải của chính Lumen là hạ tầng AI đang trở thành mục tiêu hấp dẫn chính vì sự kết hợp đó — các dịch vụ bị phơi lộ với lỗ hổng đã biết, dữ liệu hữu ích cùng phần cứng nhanh và ngốn điện.

Khía cạnh vũ khí chính là thiết kế C2, và nó có thể khái quát hóa vượt ra ngoài chiến dịch này. Một tên miền hoặc IP được mã hóa cứng có thể bị chặn, bị sinkhole, hoặc bị dùng để tạo dấu vân tay cho phần mềm độc hại. Một địa chỉ được suy ra mà dấu vết duy nhất chỉ là một tài liệu công khai trông vô hại thì không thể, trừ khi một nhà phân tích sở hữu tệp nhị phân. Điểm mà English nêu với CyberScoop — rằng nhiều C2 của chiến dịch chưa từng xuất hiện trên các công cụ bảo mật do cộng đồng cung cấp — chính là thước đo cho thấy điều đó đã hiệu quả đến mức nào.

Vì việc gây gián đoạn chỉ dựa vào một kho duy nhất thay vì một lỗ hổng đã được vá, trạng thái của chiến dịch sau ngày 7 tháng 10 là thực sự không chắc chắn chứ không phải đã khép lại: Lumen nói rằng việc mất kho đó “hoàn toàn phá vỡ” chiến dịch, và nói riêng rằng ba máy chủ C2 vẫn còn hoạt động tại thời điểm công bố. Lumen công bố các chỉ báo xâm nhập của riêng mình trên một kho GitHub của riêng mình, và mức độ nghiêm trọng, mức xếp hạng độ tin cậy và thiệt hại được ghi nhận của hồ sơ là của kho lưu trữ, không phải của nhà cung cấp.

Đây là một bản ghi. Phần còn lại của nó — những tiết lộ khác, mức độ nghiêm trọng và cấp độ tin cậy của chúng, và những gì các bên phòng thủ thực sự đã làm với chúng — kho lưu trữ sự cố AI lập chỉ mục từng mục đối chiếu với các nguồn chính của nó, để một chiến dịch như thế này có thể được đọc cùng với những sự cố xảy ra trước đó thay vì đọc riêng lẻ.