루멘의 보안 연구팀 블랙 로터스 랩스는 2026년 4월부터 진행된 칸토 인코그니토 공격 캠페인을 분석했습니다. PoeLLM은 깃허브에 게시된 시에서 특정 단어 4개를 추출해 명령 및 제어(C2) 서버의 IPv4 주소로 변환합니다. 공격자는 시를 11차례 수정해 감염된 서버가 새로운 제어 서버에 연결되도록 했습니다.
"연결의 본질에 대하여"라는 제목의 이 시는 지난 4월에 처음 유포되었으며, 새 버전이 나올 때마다 새로운 C2 서버를 가리킵니다. 악성코드는 특정 단어를 추출하여 IPv4 주소로 변환하는 방식으로 새 주소를 해독할 수 있습니다. 루멘은 보고 시점 기준으로 "악성코드 제작자가 시를 해독하는 데 사용한 패턴은 변경하지 않았다"고 밝혔습니다. 연구원들은 시를 활용한 것은 "중요한 메시지를 숨기는 데 완벽한 수단"이기 때문에 난독화에 도움이 되었을 가능성이 높습니다.
주요 공격 대상은 LiteLLM과 Gotenberg였으며, Ollama와 Gitea도 포함됐습니다. 인터넷에 노출된 서비스의 취약점을 악용하는 방식으로, LiteLLM에서는 인증 권한 검사 없이 서버에서 명령을 실행할 수 있는 CVE-2026-42271 취약점이 유력한 침입 경로로 분석됐습니다. 해당 취약점은 4월에 수정됐으며, LiteLLM 1.83.7 이상에서 해결됐습니다.
감염된 서버에는 XMRig와 Iron 채굴 프로그램이 설치되며, 다른 서버를 탐색하고 공격하는 용도로도 사용됩니다. 초기 피해 서버 900대에서는 러시아 암호화폐 채굴 서비스에 접속한 흔적이 발견됐습니다. 루멘의 보고서 발표 당시 제어 서버 12대 중 3대가 여전히 활성 상태였으며, 루멘은 PoeLLM 제어 서버로 향하는 트래픽을 차단했습니다.
출처) 암호화폐 채굴 악성코드 PoeLLM, 시를 이용해 서버 3,400대 이상 공격 - 웹 / 앱 / AI - 기글하드웨어 : https://gigglehd.com/gg/?mid=soft&document_srl=19288494