一個殭屍網路將其命令伺服器藏在 GitHub 的一首詩中——並將 3,400 台暴露在外的 AI 伺服器變成挖礦代理

2026 年 10 月 7 日，Lumen Technologies 的 Black Lotus Labs 發布了一項研究，針對一個出於財務動機的殭屍網路活動，該活動被其追蹤為 Canto Incognito，並將其惡意軟體命名為 PoeLLM。根據研究人員表示，該活動自至少 2026 年 4 月以來已入侵超過 3,400 台對外連網的伺服器，主要集中在美國與西歐——而且受害者並非隨機機器。Lumen 表示，這些受害者主要是易受攻擊的 LiteLLM與Ollama部署，另有數百台伺服器執行 Gotenberg PDF 轉換器與 Gitea 開發工具組，Ivanti Sentry 設備也在受影響範圍內。一旦遭到感染，這些伺服器就被用來挖取加密貨幣，並被改作掃描器與漏洞利用伺服器——Black Lotus Labs 的 Ryan English 在接受 CyberScoop 採訪時稱之為「一支由 AI 驅動的代理所組成的私人軍隊」。同一份廠商報告也分享給了 The Hacker News，該媒體在同日發布了自己的報導。

讓這份紀錄值得一讀的細節不在於規模，而在於其命令與控制設計：惡意程式裡沒有硬編碼的網域，也沒有備援 IP。目前 C2 伺服器的位址是在執行階段，從一首詩中取出的四個詞計算出來的，而那首詩代管於一個公開的 GitHub 儲存庫。只要修改那首詩，整個殭屍網路就會跟著轉移。

實際上被洩露了什麼

根據 Lumen 的報告，受害者是可從網際網路觸及的企業 AI 與開發者服務：LiteLLM 和 Ollama 部署、數百台 Gotenberg PDF 轉換伺服器，以及 Gitea。Lumen 的研究人員評估，此次行動也波及 Ivanti Sentry。主要掃描目標是連接埠 3000 和 4000，分別是 Gotenberg 和 LiteLLM 的預設接聽連接埠。

有兩個漏洞對這些機器是如何被觸及至關重要，而報告對兩者都相當審慎：

• Ivanti Sentry，CVE-2026-10520。Lumen 表示，其研究人員是在調查 Ivanti 安全行動閘道的這項漏洞時，首次接觸到 PoeLLM 基礎設施。2026 年 6 月初，一名遭入侵的 Ivanti Sentry 受害者連線至 5.78.73[.]122 的一台專用伺服器，並在不久後開始掃描其他有漏洞的裝置。請留意這處保留語氣：Lumen 自家的重點摘要清單指出，該行動「可能以 Ivanti Sentry 為目標」，但同一份報告的內文卻將該設備描述為實際受害者。這項內部矛盾存在於原始資料中。

• LiteLLM，CVE-2026-42271。Lumen 檢視的其中一個 PoeLLM 樣本，鎖定了 LiteLLM 端點「/mcp-rest/test/connection」；Lumen 表示，這「很可能是」被識別為 CVE-2026-42271 的 LiteLLM 命令注入漏洞的「利用路徑」。CyberScoop 的報導將同一個進入點描述為 Ivanti Sentry 中最高嚴重性的缺陷，但未指名 CVE，也未涵蓋 LiteLLM 漏洞；The Hacker News 則兩個 CVE 都未指名。LiteLLM MCP 端點漏洞，就是本檔案在 2026 年稍早、這波活動被記錄之前所記載的那一個。

這批遭竊的存取權限為操作者換來的是運算資源與資料。Lumen 寫道：「暴露在外的 AI/LLM 服務之所以有價值，不僅在於軟體漏洞，也在於它們可能含有有用的資料，並執行於適合挖礦的強大硬體上。」English 向 CyberScoop 表示，該惡意程式還具備遠端程式碼執行功能，可能讓操作者濫用受害伺服器上執行的 AI 模型——這是就其能力而言，而非已觀察到的結果。

同時也是查找表的詩

提到的 GitHub 帳號是「ejejejdfbbebe」，而該儲存庫是 nodejs.org 網站原始碼的分支，與 Node.js 本身顯然沒有關聯。在其中一個名為「dash.css」的檔案裡——這個檔名並不存在於原始儲存庫中——操作者放入了一首名為〈論連結的本質〉的兩節詩。Lumen 計算出自 2026 年 4 月 13 日首次提交以來，該檔案已被更新 11 次；CyberScoop 報導其措辭已被更改「至少十幾次」。

正如 Lumen 在 2026 年 9 月所捕捉到的，第一節寫道：「在驅動器寂靜的嗡鳴中，機器開始說話，二極體的每一次脈動，將光穿引過銅的血脈。我們教會黑暗承載意義，一個位元組接一個位元組——一種由閃電構成的語言，冷冽而潔淨。」第二節包含這一行：「在加密之牆的另一端，一道訊號找到了去路，遠方伺服器的滴答聲回應著。」

提取過程是機械式的。Lumen 所呼叫的函式extract_poem_phrase_field會從詩句中的固定位置取出三個詞組——「In the silent hum of 」與其後逗號之間的文字、「each pulse of 」與「 threading,」之間的文字，以及「Beyond the wall of 」與下一個逗號之間的文字。第四個詞則以不同方式還原：搜尋字串「of distant servers,」，往回走到前一個空白，檢查其前四個位元組是否拼出「the 」，然後取用其後的詞。接著，這四個詞會分別與編譯進二進位檔中的硬編碼字典比對，產生的四個數字再串接成一個 IPv4 位址。在 Lumen 於 2026 年 6 月 23 日還原的一個樣本中，「driver」對應到 92，「diode」對應到 119，「decryption」對應到 165，「string」對應到 74——得出 92.119.165[.]74。

因為在11次觀察到的修訂中，只有那四個關鍵字曾有所變動，而解碼模式從未改變，所以搬移這個殭屍網路只讓操作者對一個公開文字檔做了幾次編輯。English告訴CyberScoop：「這種詩歌手法最有趣的地方在於，用於C2通訊的IP位址在受害者的netflow之外是看不見的。」「對任何偶然看到它的人來說，這不過是GitHub上的一首詩。它沒有連結、沒有可下載的檔案、沒有容易被標記為惡意的加密文字，即使對先進模型而言也是如此。任何安全研究人員都沒有理由將這首詩識別為惡意——或知道隱藏其中的IP位址——除非他們能存取引用它的惡意軟體。」

Lumen 表示，它認為這首詩很可能是由 AI 寫成的，並將此標示為推論，而非發現。根據 English 向 The Hacker News 所述，其推理是：這首詩用任何語言都能成立，但該行為者自身的偏好似乎是義大利語。這是對寫作風格的判斷，而非將該文本鑑識歸因於某個模型。

惡意軟體一旦落地後會做什麼

Lumen 分析的酬載是一個以「libgcrypt」為名散布的 ELF 檔案，其 SHA-256 雜湊值為 6fab94577364beec314afae3b082dd680933f08a8349b9f35b92667e8231b501。根據 Lumen 的分析，它內含一個遠端 shell、Iron 與 XMRig 加密貨幣挖礦程式、HTTP 與 HTTPS 掃描能力，以及針對易受攻擊目標的漏洞利用部署。

受感染主機向數個 C2 連接埠之一發出信標回連——3778、5001、5002 或 9999——並被指示從 C2 伺服器上的連接埠 81 下載更多檔案（觀察到的路徑包括 /private/python3.6 和 /private/bins.sh）。挖礦收益會導向俄羅斯挖礦服務 Kryptex：Lumen 觀察到受害者連線至 5.180.174[.]162:8029 和 46.21.245[.]211:7029，該主機託管 edge-ru-07[.]kryptex[.]network。前 900 名受害者最常見的共同特徵，是在與初始 C2 接觸後，曾與該 Kryptex 端點接觸。

這個殭屍網路也會自我成長。遭入侵的伺服器被改造成掃描器與漏洞利用伺服器：漏洞利用伺服器會向新發現目標上暴露的服務傳送特製的 HTTP POST，指示其從 C2 下載惡意軟體。更近期，Lumen 發現有多組受害者鎖定 SSH 連接埠及其他登入入口，其解讀為可能正在試驗某種分散式暴力破解框架。Lumen 明確表示這尚不成熟且未經證實：許多目標是位於義大利的專用伺服器，研究人員評估該能力「可能仍處於早期開發階段」。

時間軸，以及那兩個不相符的數字

該行動首個解碼的 C2 是 191.37.28[.]160，這是一台巴西路由器，在連接埠 2222 上有一個暴露的 Boa 網頁伺服器，且存在 CVE-2018-21027 和 CVE-2018-21028 漏洞——儘管 Lumen 未發現直接證據顯示這些漏洞是入侵途徑。在首次 GitHub 提交後大約一小時，該 C2 連接到義大利的一台伺服器，位於 57.131.5[.]211:80，託管著網域 malwarescan[.]xyz，該網域於 2026 年 2 月註冊。Lumen 表示，它未觀察到對該網域 API 端點的其他顯著流量，並評估該網域可能由 PoeLLM 操作者擁有。5 月的一次修訂將 C2 移至 120.224.114[.]212，地理位置在中國，且與巴西主機一樣，執行著一個帶有路由器管理頁面的易受攻擊 Boa 網頁伺服器。Lumen 總共識別出 12 個 C2 IP 位址；在發布時有三個仍處於活躍狀態——92.119.164.50（首次出現於 2026 年 7 月 23 日）、103.249.201.108（首次出現於 2026 年 8 月 13 日）和 178.128.14.204（首次出現於 2026 年 6 月 16 日）。

Lumen 同時點名了一部疑似管理伺服器：位於義大利的 185.119.19[.]171，該伺服器先前託管 Prometheus 與 Uptime Kuma 監控儀表板，並有多個 C2 與其連線。報告以中度信心陳述這項歸因。

就規模而言，主要來源包含兩個顯然無法相互吻合的數字，而這兩個數字都值得說明。Lumen 的重點摘要指出，PoeLLM「已影響超過 3,400 部受害伺服器」。同一份報告的正文段落則說，這場行動「已影響近 2,200 部受害伺服器」，而 Lumen 另外描述六月中旬的行動高峰涉及近 2,200 部受影響伺服器，每天有近 800 部處於活躍狀態。The Hacker News 將這些數字解讀為累計總數（3,400 多部）加上六月中旬高峰（近 2,200 部，每天近 800 部）。這兩個 Lumen 數字中，哪一個是累計受害數量，報告本身並未明確說明。

已確立、已評估，以及仍未知

在這份紀錄中，值得區分三種主張，因為檔案庫的可信度等級涵蓋的是文件記載，而非其中的每一項推論。

• 從惡意軟體本身確認：以詩句為基礎的 C2 機制、擷取函式與字典、酬載的能力（遠端 shell、Iron 與 XMRig 挖礦程式、掃描、漏洞利用部署）、C2 IP 清單、信標連接埠，以及 Kryptex 端點。這些來自跡證分析與 netflow，且它們構成報告的大部分。

• 以明確陳述的信心水準評估：將攻擊歸因於一名說義大利語的威脅行為者，信心程度為中等，依據是惡意程式中的義大利語註解、該行為者的 GitHub 頁面，以及指向義大利的 NetFlow 指標。義大利伺服器 185.119.19[.]171 為該殭屍網路的管理介面，同樣為中等信心。LiteLLM 端點是「可能」的利用途徑。至於那首詩很可能是 AI 撰寫的說法——這是從語言偏好所做的推論，並非技術發現。

• 未解或未經證實：有多少人操作這項活動（未知）、它是否與任何其他團體或活動有關聯（未觀察到）、Ivanti Sentry 設備是被利用的進入點還是偶然涉及（在重點摘要中語帶保留，在正文中則被描述為受害者），以及分散式暴力破解能力的成熟度如何。Lumen 表示，該操作者在掃描與加密貨幣挖礦之外的成果仍在調查中。

該報導有獨立佐證，但其背後的遙測數據則無。CyberScoop 與 The Hacker News 均於 2026 年 10 月 7 日發表了各自的報導，並獨立採訪了 Black Lotus Labs，而其細節——3,400 多這個數字、詩歌機制、義大利語歸因、Kryptex 連結——與該供應商報告相符。然而，兩者都源自同一份原始研究。截至 2026 年 10 月 10 日，尚無第二家研究機構或監管機構發表對 PoeLLM 的獨立分析，因此這裡的任何內容都不應被解讀為由 Lumen 以外的第三方所重現。

揭露後有什麼改變

最具影響力的回應並非來自修補程式。用來暫存那首詩的 GitHub 儲存庫「已無法再存取」，Lumen 表示，這項發展「徹底打亂了這場行動」。English 向 The Hacker News 表示：「我們認為那是他唯一的儲存庫，而它已被徹底破壞。」Lumen 曾通知 GitHub，而 GitHub 已將該行為者先前與目前使用中的 C2 伺服器撤銷路由（null-route），English 表示這項變更在文章發表前的那個週二夜晚早段生效。該儲存庫被移除的原因尚未獲得證實——English 向 The Hacker News 表示，「可能是他們將它標記為濫用，或是該行為者收攤、在那個平台上銷聲匿跡。」由於 C2 是推導而來而非硬編碼，移除查詢表就等於移除了該殭屍網路尋找自身基礎架構的能力。

Lumen 表示，在調查期間它封鎖了所有往來 PoeLLM C2 伺服器的流量，而 Lumen Defender 客戶從發現這些伺服器起就持續受到保護。該公司向防禦者發布的指引，是把例行性衛生措施套用在一組不尋常的目標上：將網路日誌與其公布在自家 GitHub 儲存庫上的入侵指標相互比對、在安裝開源工具後稽核外部曝露情況、盡可能限制服務連接埠、讓路由器、防火牆與 IoT 裝置保持修補並重新開機，以及將 AI 服務納入攻擊面管理。它同時指向 Gotenberg 安裝指南，該指南早已警告使用者不要將該服務曝露於網際網路上——數百台遭入侵的 Gotenberg 伺服器顯然早於這項警告。

記錄中沒有任何內容顯示能針對這個流量模式本身進行技術修補：那首詩並不是 GitHub、Node.js、LiteLLM 或 Ollama 中的漏洞。它是一個公開的文字檔，其唯一意義只存在於一個極少人擁有的二進位檔案裡。

為什麼這是一筆 AI 事故紀錄

檔案庫將此歸檔為一起已確認涉及 AI 的事件，標記為 INFRA 與 WEAPON，嚴重性高，並記錄了實際損害——而這項損害是具體的，而非推測性的：數千台面向網際網路的伺服器，其運算資源遭竊取，存取權限遭重新利用；Lumen 將這場行動描述為出於財務動機，而非針對模型本身。其中的 AI 要素在於目標選擇。執行 LLM 閘道與本機模型執行環境的伺服器屬於自行託管，經常暴露於網際網路，往往在沒有修補週期的情況下安裝，且搭載的硬體能有效率地挖礦。Lumen 自身的說法是，AI 基礎設施正逐漸成為具吸引力的目標，正是因為這種組合——帶有已知漏洞的暴露服務、有用的資料，以及快速且耗電的硬體。

武器化的關鍵在於 C2 設計，而且這種做法可推廣到這場行動之外。寫死的網域或 IP 可以被封鎖、被導入黑洞（sinkhole），或被用來對惡意軟體建立指紋。但一個衍生位址若唯一留下的痕跡只是一份看似無害的公開文件，就無法這麼做——除非分析師手上有該二進位檔。English 向 CyberScoop 指出的重點——該行動的許多 C2 從未出現在群眾外包的安全工具上——正可衡量這招有多成功。

因為中斷是基於單一存儲庫，而不是基於已修補的漏洞，所以該活動在10月7日之後的狀態確實不確定，而非已結束：Lumen表示該存儲庫的丟失「完全破壞」了它，並另外表示在發布時有三個C2伺服器仍處於活躍狀態。Lumen在其自己的GitHub存儲庫上發布了自己的入侵指標，而記錄的嚴重性、置信度等級和記錄的危害是檔案庫的，而不是供應商的。

這只是其中一筆紀錄。其餘部分——其他揭露事項、它們的嚴重程度與可信度評級，以及防禦方實際對它們採取了什麼行動——AI 事件檔案庫會將每一筆紀錄對照其原始來源編入索引，因此像這樣的攻擊行動可以與先前發生的事件並讀，而不是孤立看待。