PoeLLMが公開AIサーバーを暗号資産マイニングと攻撃基盤へ転用か

詩のキーワードから指令先を取得

報告によると、PoeLLMはGitHub上のファイルに掲載された詩のキーワードから、指令サーバー（C2、command-and-control）のアドレスを取得するマルウェアである。
Black Lotus Labsは、このボットネットが3,400台超のサーバーを侵害し、その多くでLiteLLMやOllamaなど公開状態のツールが稼働していたとする。
研究者は、遠隔シェル、暗号資産マイニング、スキャン、エクスプロイト配布の機能を挙げている。

影響を受けたサーバー数を直接比較できる過去の値や、現在の活動状況の基準値は、今回確認できた情報だけでは分からない。

報告された活動では、侵害したサーバーが暗号資産マイニングだけでなく、スキャンや他のシステムへの拡散を試みる用途にも使われているとされる。

この活動は、侵害サーバーを暗号資産マイニングに使うだけでなく、追加標的の探索や攻撃にも再利用していると報告されている。
詩の文言を使ってC2アドレスを取得する手法も、研究者が指摘した特異な点である。