در پدیده‌ای بی‌سابقه که محققان امنیت سایبری آن را «شعر مخاصم» (Adversarial Poetry) نامیده‌اند، مهاجمان سایبری با بهره‌گیری از خلاقیت‌های استگانوگرافیک و میزبانی محتوا در گیت‌هاب، موفق به آلوده‌سازی بیش از ۳۰۰۰ سرور در سطح جهان شده‌اند. این کمپین که با عنوان «Canto Incognito» شناخته می‌شود، از اشعار تولیدشده توسط هوش مصنوعی برای پنهان‌سازی آدرس سرورهای فرماندهی و کنترل (C2) استفاده می‌کند تا از شناسایی توسط سیستم‌های تشخیص نفوذ سنتی بگریزد.
معماری بدافزار PoeLLM و مکانیسم استخراج آدرس
بدافزار مورد بحث که توسط محققان Lumen’s Black Lotus Labs شناسایی شده، با نام PoeLLM شناخته می‌شود. هدف اصلی این بدافزار، سرویس‌های هوش مصنوعی و مدل‌های زبانی متصل به اینترنت نظیر LiteLLM و Ollama است که به دلیل پیکربندی‌های نادرست یا آسیب‌پذیری‌های امنیتی، در معرض دسترسی غیرمجاز قرار دارند. فرآیند نفوذ به این صورت است که پس از استقرار اولیه، بدافزار به مخزن گیت‌هاب هدف مراجعه کرده و شعری را که ظاهراً توسط هوش مصنوعی تولید شده است، دانلود می‌کند.
نکته فنی ظریف اینجاست: بدافزار یک دیکشنری سخت‌کد شده در حافظه خود دارد که کلمات خاصی را در متن شعر با مقادیر عددی متناظر جایگزین می‌کند. با ترکیب این اعداد، یک آدرس IPv4 تشکیل می‌شود که نقطه اتصال به سرور C2 مهاجم است. این روش به مهاجم اجازه می‌دهد بدون نیاز به تغییر در کد اصلی بدافزار (که باعث شناسایی توسط آنتی‌ویروس‌ها می‌شود)، تنها با ویرایش متن شعر در گیت‌هاب، زیرساخت فرماندهی خود را تغییر دهد.
چرا اشعار؟ تحلیل استراتژیک در برابر سیستم‌های IDS
استفاده از گیت‌هاب به عنوان منبع دریافت آدرس‌های C2 یک رویکرد هوشمندانه برای دور زدن فیلترهای امنیتی است. در بسیاری از محیط‌های سازمانی و دیتاسنترها، دسترسی به گیت‌هاب به دلیل ماهیت توسعه‌محور آن مجاز است. لذا، ترافیک خروجی بدافزار به سمت گیت‌هاب نه تنها مشکوک به نظر نمی‌رسد، بلکه به عنوان «ترافیک قانونی» طبقه‌بندی می‌شود. از سوی دیگر، تغییرات اعمال شده روی شعر (که تاکنون ۱۱ بار در مهر ۱۴۰۵ به‌روزرسانی شده است) تنها در سطح دیتای متن است و ساختار فایل بدافزار ثابت باقی می‌ماند.
پیامدهای عملیاتی و اهداف استخراج رمزنگاری
تحقیقات نشان می‌دهد که این کمپین صرفاً به دنبال سرقت داده نبوده، بلکه هدف اصلی آن استقرار ابزارهای استخراج ارز دیجیتال (XMRig) است. در واقع، سرورهای قربانی به بخشی از یک بات‌نت بزرگ تبدیل می‌شوند که منابع پردازشی و انرژی الکتریکی آن‌ها برای استخراج Monero استفاده می‌شود. علاوه بر این، PoeLLM به قابلیت اسکن شبکه مجهز است که به مهاجم اجازه می‌دهد به‌طور خودکار، سایر سرویس‌های آسیب‌پذیر را در شبکه شناسایی کرده و نفوذ خود را گسترش دهد.
مشخصات فنی و یافته‌های کلیدی
- نام بدافزار: PoeLLM
- روش اختفا: استگانوگرافی متن‌محور (Adversarial Poetry)
- سرویس‌های هدف: LiteLLM, Ollama و سایر سرویس‌های AI-facing
- هدف نهایی: استقرار ماینر XMRig و اسکن خودکار شبکه
- وضعیت توسعه: بیش از ۳۰۰۰ آلودگی تأیید شده تا مهر ۱۴۰۵
نتیجه‌گیری و توصیه‌های امنیتی
این رویداد نشان‌دهنده بلوغ روش‌های «فرماندهی و کنترل» در دنیای تهدیدات سایبری است. برای مقابله با چنین حملاتی، ادمین‌های شبکه باید نظارت دقیقی بر ترافیک خروجی سرورها داشته باشند. محدود کردن دسترسی مستقیم سرورها به اینترنت (استفاده از Egress Filtering)، به‌روزرسانی مداوم سرویس‌های LLM و استفاده از ابزارهای نظارتی برای شناسایی رفتارهای غیرعادی در لایه اپلیکیشن از جمله راهکارهای پیشگیرانه است. تغییرات مداوم در متغیرهای عملیاتی بدافزار نشان می‌دهد که امنیت ایستا (Static Security) دیگر پاسخگوی تهدیدات مدرن نیست.
