同チームが活動の追跡を始めたのは2026年4月です。被害機器の多くは、インターネットに公開された脆弱なLiteLLMやOllamaなどを動かしていたと推定しています。PDF変換ソフトGotenbergや開発用のGiteaを使うサーバーも被害に含まれました。
詩から指令先を読み取る仕組み
PoeLLMは、攻撃者がGitHubに置いた詩から4つの単語を読み取ります。プログラム内の対応表で数字に変換し、指令を受けるサーバーのIPアドレスを求める仕組みです。攻撃者は詩の単語を変えることで、感染した機器の接続先を更新できます。
指令先の更新
- 役割
- 接続先を変更
- 方法
- 詩の単語からIPアドレスを計算
暗号資産の採掘
- 役割
- 計算資源を使用
- 方法
- XMRigやIronを配備
感染の拡大
- 役割
- 新たな対象を探索
- 方法
- 感染済みサーバーを再利用
Black Lotus Labsのマルウェア解析と通信観測に基づく説明。
被害台数には原文内で不一致があります。要約は3,400台超とする一方、本文は約2,200台と記載しています。集計の違いを説明する記述は確認できず、台数を確定した被害規模として扱うことはできません。
Lumenは関連する指令サーバーとの通信を遮断したと説明しています。管理者には不審な接続の確認、外部公開の見直し、セキュリティ更新を勧めています。今回確認できたのは同チームの解析と観測結果で、全世界の被害総数や個別企業の情報流出まで示すものではありません。
出典
- Lumen Black Lotus Labs「Canto incognito: tracking the PoeLLM malware」2026-10-07公開。マルウェアの対象、詩による指令先変更、採掘と感染拡大、通信遮断、管理者への提案を支える。要約3,400台超と本文約2,200台の不一致も2026-10-13の原文で確認。
- Lumen「Network Security」公式掲載一覧一覧の公開日未表示。当該PoeLLM報告を2026-10-07付、Black Lotus Labs名義で掲載。報告の公開日を支える。2026-10-13原文確認。
出典の確認日 2026.10.13