محققان امنیتی در آزمایشگاه بلک‌لوتوس (Black Lotus Labs) متعلق به شرکت Lumen، پرده از یک کمپین مخرب پیچیده تحت عنوان «Canto Incognito» برداشته‌اند که از بهار ۱۴۰۵ آغاز شده و بیش از ۳۴۰۰ سرور را در سراسر جهان هدف قرار داده است. این بدافزار با نام PoeLLM، با بهره‌گیری از متدولوژی خلاقانه‌ای در لایه کنترل و فرمان (C2)، از اشعار موجود در مخازن گیت‌هاب برای مسیریابی سرورهای آلوده استفاده می‌کند.
مکانیسم عملکرد بدافزار PoeLLM و مهندسی معکوس شعر
بدافزار PoeLLM از تکنیک‌های مبهم‌سازی (Obfuscation) برای مخفی نگه داشتن آدرس‌های سرور فرمان و کنترل (C2) خود استفاده می‌کند. این بدافزار در یک پیاده‌سازی غیرمتعارف، آدرس‌های IP نسخه ۴ را در قالب کلمات کلیدی درون یک شعر دو بندی با عنوان «On the Nature of Connection» جاسازی کرده است. با تغییر یا به‌روزرسانی این کلمات در گیت‌هاب، مهاجمان می‌توانند سرورهای آلوده را به صورت پویا به سمت زیرساخت‌های جدید هدایت کنند. تا به امروز، این محتوا ۱۱ بار تغییر یافته است تا از شناسایی توسط سیستم‌های امنیتی مبتنی بر امضا (Signature-based detection) فرار کند.
اهداف اصلی و آسیب‌پذیری‌های زیرساخت‌های هوش مصنوعی
تحلیل‌های فنی نشان می‌دهد که مهاجمان عمدتاً به دنبال نفوذ به سرویس‌های مدرن و متن‌باز در حوزه هوش مصنوعی هستند که به دلیل افزایش تقاضا، اغلب با تنظیمات پیش‌فرض ناامن در محیط‌های عملیاتی مستقر می‌شوند. ابزارهای هدف قرار گرفته شامل موارد زیر است:
- LiteLLM: یک پروکسی سرور برای مدیریت APIهای مدل‌های زبانی که به دلیل نقص در احراز هویت (CVE-2026-42271) در معرض آسیب جدی قرار گرفته است.
- Ollama: پلتفرم محبوب اجرای مدل‌های متن‌باز که اگرچه به‌صورت پیش‌فرض نباید روی اینترنت قرار بگیرد، اما استقرار نادرست آن در محیط‌های ابری باعث شده است مهاجمان به منابع GPU دسترسی پیدا کنند.
- Gotenberg: یک API مبتنی بر داکر برای تبدیل اسناد که مستندات رسمی آن اکیداً توصیه کرده‌اند در معرض اینترنت عمومی قرار نگیرد.
- Gitea: پلتفرم مدیریت کد که به دلیل میزبانی دارایی‌های ارزشمند، هدف جذابی برای مهاجمان است.
تحلیل فنی زیرساخت حملات
مشخصات فنی کمپین Canto Incognito
- هدف اصلی: استخراج رمزارز با استفاده از XMRig و Iron.
- زیرساخت استخراج: اتصال به سرویس Kryptex.
- روش اکسپلویت: اجرای دستورات از طریق Endpointهای آسیب‌پذیر بدون بررسی سطح دسترسی (Role Check).
- تأثیرات جانبی: تبدیل سرورهای آلوده به نودهای اسکنر و اکسپلویت برای گسترش آلودگی به قربانیان جدید.
- تاریخ شروع رصد: فروردین ۱۴۰۵.
استراتژی‌های دفاعی و توصیه‌های امنیتی
با توجه به اینکه حمله با سوءاستفاده از سرویس‌های در معرض اینترنت (Exposed Services) صورت می‌گیرد، مدیران زیرساخت باید بلافاصله نسبت به اجرای پروتکل‌های امنیتی اقدام کنند. بررسی لاگ‌های اتصال برای شناسایی ارتباط با دامنه یا IPهای مشکوک مرتبط با PoeLLM ضروری است. همچنین، ارتقای بسته‌های نرم‌افزاری به آخرین نسخه‌های پایدار نظیر LiteLLM 1.83.7 یا Ivanti Sentry R10.7.1 برای بستن منافذ امنیتی شناسایی شده الزامی است. محدود کردن دسترسی پورت‌ها و استفاده از فایروال‌های لایه اپلیکیشن (WAF) برای محافظت از سرویس‌های LLM در برابر اسکن‌های خودکار نیز از اولویت‌های دفاعی محسوب می‌شود.
