كشفت تقارير حديثة عن حملة تعدين عملات مشفرة واسعة النطاق تستهدف خدمات الذكاء الاصطناعي المكشوفة على الإنترنت. تستخدم هذه الحملة برمجية خبيثة تُعرف باسم PoeLLM، وقد نجحت في اختراق أكثر من 3400 خادم منذ شهر أبريل على الأقل، مع تسجيل ذروة نشاط وصلت إلى 800 نظام مصاب في يوم واحد.
تُحوّل برمجية PoeLLM الخوادم المخترقة إلى أدوات مسح وإطلاق استغلالات، مستفيدة من قلة التكوين الأمني والتعرض للإنترنت في العديد من تطبيقات الذكاء الاصطناعي والتعلم الآلي (AI/LLM) التي غالبًا ما تعمل على مجموعات معالجات رسومية (GPU) قوية، مما يجعلها أهدافًا جذابة لتعدين العملات المشفرة.
طريقة عمل PoeLLM الفريدة
تتميز برمجية PoeLLM، وهي ملف ELF يحمل اسم libgcrypt، بأسلوب غير معتاد لاسترداد عناوين خوادم القيادة والتحكم (C2). تعتمد البرمجية على استخلاص كلمات رئيسية من قصيدة بعنوان «On the Nature of Connection» موجودة في ملف dash.css ضمن مستودع GitHub يبدو أنه نسخة معدلة من Node.js.
تقوم البرمجية بعد ذلك بتحويل هذه الكلمات إلى أرقام باستخدام قاموس ثابت، لتوليد عنوان IPv4 يطابق خادم C2. لتغيير عنوان C2، يقوم المشغل ببساطة بتعديل القصيدة، وقد تم تعديلها 11 مرة حتى الآن، مما يدل على مرونة الهجوم. تتضمن وظائف البرمجية قشرة عن بعد، وبرامج تعدين العملات المشفرة XMRig وIron، وقدرات مسح HTTP/S، ونشر الاستغلالات. وقد وُجد أن الضحايا يتواصلون مع خدمة Kryptex الروسية لتعدين العملات المشفرة.
الأهداف ونقاط الضعف المستغلة
استهدفت العمليات أنظمة في الولايات المتحدة وأوروبا الغربية، حيث يدير العديد من الضحايا أدوات AI مكشوفة مثل LiteLLM وOllama، ومحول Gotenberg PDF، ومجموعة أدوات التطوير Gitea. كما تم الكشف عن مؤشرات استهداف لـ Ivanti Sentry.
تستغل البرمجية الثغرة الأمنية CVE-2026-42271، التي تؤثر على نقاط نهاية خادم اختبار MCP في LiteLLM. وقد أكد باحثو Horizon.ai أنه يمكن ربط هذه الثغرة بثغرة أخرى، CVE-2026-48710، لتنفيذ تعليمات برمجية عن بعد (RCE) دون مصادقة. بمجرد اختراق الخادم، يصبح نقطة انطلاق لنشر البرمجية الخبيثة بشكل أكبر، وذلك باستخدام المسح على المنافذ 3000 و4000 المرتبطة بـ Gotenberg وLiteLLM.
ما الذي يعنيه هذا للمطورين؟
تؤكد هذه الحملة على أهمية تأمين خوادم وتطبيقات الذكاء الاصطناعي بشكل خاص. يجب على المطورين ومسؤولي الأنظمة التركيز على تقليل التعرض للإنترنت للأصول الحيوية، وتطبيق أحدث التحديثات الأمنية بانتظام، وتقييد الوصول الخارجي إلى عناوين IP الموثوقة فقط.
نرى أن التحقق من تكوينات الخوادم التي تشغل أدوات AI مثل LiteLLM وOllama، بالإضافة إلى مراقبة سجلات الشبكة بحثًا عن أي اتصالات مشبوهة بمؤشرات الاختراق (IoCs) التي تشاركها مختبرات Black Lotus، أمر بالغ الأهمية لحماية الأنظمة من مثل هذه الهجمات المعقدة.
المصدر: bleepingcomputer.com