09/10/2026 · VietTechies · Biên tập
Theo nghiên cứu từ Black Lotus Labs, chiến dịch đào tiền mã hóa có tên Canto Incognito đã lây nhiễm hơn 3.400 máy chủ thông qua việc khai thác các dịch vụ trí tuệ nhân tạo và công cụ lập trình lộ trên internet. Mã độc đứng sau đợt tấn công này mang tên PoeLLM. Nó xâm nhập các máy tính kết nối mạng, cài đặt phần mềm đào tiền mã hóa và lợi dụng chính các hệ thống bị chiếm quyền điều khiển để quét tìm mục tiêu tiếp theo.
Các hệ thống mục tiêu và lỗ hổng bảo mật
Chiến dịch này bắt đầu hoạt động từ tháng 4 năm 2026, trong đó phần lớn nạn nhân nằm tại Mỹ và Tây Âu. Các nhà nghiên cứu ghi nhận rằng những hệ thống bị xâm nhập thường tự lưu trữ các tiện ích AI mã nguồn mở như LiteLLM và Ollama, cùng với bộ công cụ phát triển phần mềm Gitea và công cụ chuyển đổi tệp PDF Gotenberg. Kẻ tấn công nhắm vào các cổng dịch vụ mặc định và lợi dụng những điểm yếu đã biết, chẳng hạn như lỗ hổng bảo mật tiêm lệnh (command injection) CVE-2026-42271 trong LiteLLM, để khởi động quá trình tải mã độc.
Che giấu máy chủ điều khiển thông qua GitHub
Để xác định vị trí máy chủ điều khiển (C2) mà không cần ghi cứng địa chỉ IP cố định, PoeLLM truy cập vào một kho lưu trữ GitHub công khai do kẻ tấn công quản lý. Mã độc sẽ tải về tệp có tên dash.css chứa bài thơ mang tiêu đề "On the Nature of Connection". Bằng cách trích xuất bốn từ cụ thể tại các vị trí cố định trong bài thơ rồi đối chiếu với từ điển tích hợp sẵn, mã độc tính ra địa chỉ IPv4 dạng số của máy chủ C2 đang hoạt động. Trong khoảng thời gian từ tháng 4 đến tháng 6 năm 2026, kẻ tấn công đã cập nhật nội dung bài thơ 11 lần để điều hướng các máy bị lây nhiễm sang những địa chỉ máy chủ mới.
Phân phối mã độc và sự gia tăng thủ đoạn của mạng botnet
Ngay khi xâm nhập thành công, PoeLLM cài đặt các phần mềm đào tiền mã hóa XMRig và Iron, đồng thời chuyển toàn bộ doanh thu thu được về bể đào Kryptex. Các máy chủ bị nhiễm cũng nhận được tính năng điều khiển shell từ xa tương tác và các công cụ tự động quét mạng nhằm phát hiện, khai thác cổng kết nối sơ hở trên những thiết bị khác. Black Lotus Labs gần đây đã quan sát thấy một số nút bị chiếm quyền điều khiển thực hiện hành vi tấn công dò mật khẩu (brute-force) qua cổng SSH, dấu hiệu cho thấy kẻ đứng sau đang thử nghiệm các đợt tấn công đăng nhập diện rộng. Tổ chức an ninh mạng này hiện đã triển khai các biện pháp chặn lưu lượng mạng đến những địa chỉ IP máy chủ C2 đã biết của PoeLLM.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.
Nguồn: Cryptomining botnet hides C2 addresses in GitHub poem, infects over 3,400 servers