Lumen Black Lotus Labs는 PoeLLM이라고 부르는 악성코드가 2026년 4월 이후 서버 3,400대 이상에 영향을 미쳐, 침해된 기기를 암호화폐 채굴기로 만들었고 일부는 추가 대상을 찾는 스캐너로도 사용했다고 밝혔다. 연구진은 이 캠페인을 Canto Incognito라고 명명했다. 인터넷에 공개된 AI 서비스뿐 아니라 PDF 변환기와 개발 플랫폼에도 도달했다. 운영자가 이 조합에서 얻을 교훈은 AI라는 이름표보다 노출된 서비스와 그 설정이 더 중요하다는 점이다.

Lumen은 당시 보도한 PoeLLM 조사를 10월 7일 공개했다. The Hacker News와 The Register의 동시대 보도에 따르면 그렇다. 연구진은 캠페인의 GitHub 저장소 첫 커밋을 4월 13일로 보고, 더 광범위한 스캔과 악용은 5월에 이어졌다고 밝혔다. 총계는 Lumen 조사에서 식별한 서버 수이며, 언급된 제품의 모든 배포 현황을 전수 조사한 결과가 아니다. 회사는 관찰된 피해자의 대부분이 취약하고 공개적으로 노출된 서비스를 실행한 것으로 보이며, 피해가 미국과 서유럽에 집중됐다고 밝혔다.

주소록으로 쓰인 시

PoeLLM은 GitHub 저장소의 시에서 특정 단어를 읽고 악성코드에 내장된 사전을 사용해 현재 명령·제어 주소를 알아낸다. 단어를 바꾸면 운영자는 각 호스트의 악성코드를 변경하지 않고도 감염된 시스템을 새 서버로 향하게 할 수 있다. Lumen은 최초 커밋 이후 시의 단어가 11차례 바뀐 것을 집계했다. 이 시는 운영자의 인프라를 찾는 수단이었다. AI 모델을 속여 지시를 따르게 한 것은 아니다. 행위자가 이탈리아어를 쓴다는 Lumen의 평가는 이탈리아어 흔적과 네트워크 트래픽에 근거한다. 이는 귀속 판단일 뿐, 특정 인물의 신원이나 확인된 위치를 뜻하지 않는다.

연구진은 악성코드에서 XMRig 및 Iron 채굴기와 Kryptex 채굴 인프라 연결을 확인했다고 보고했다. 감염된 호스트가 다른 노출 시스템을 스캔하고 공격을 수행하는 모습도 관찰했다. Lumen은 네트워크 원격측정에서 추가 IP 주소 1,000개 이상을 초기 명령 서버와 연결했다고 밝혔다. 6월 중순 정점에는 피해 서버가 거의 2,200대였고 하루 동안 약 800대가 활성 상태였다고 설명했다. 10월의 3,400대 이상이라는 수치는 누적치다. 이 수치들은 서로 다른 시점의 서로 다른 측정값이다. Lumen은 이후 식별한 명령 서버로 오가는 트래픽을 차단했다. The Hacker News는 나중에 시 저장소가 이용 불가능해졌다고 보도했지만, 그 사실만으로 모든 감염 호스트가 정리됐거나 행위자가 활동을 멈췄다고 입증되지는 않는다.

AI 헤드라인 이면의 노출 문제

Lumen은 피해 IP에서 관찰된 AI 관련 서비스로 LiteLLM과 Ollama를, 그 외 Gotenberg와 Gitea를 언급했다. 보고서는 조사 중 침해된 Ivanti Sentry 장치도 설명하지만, 해당 제품이 더 광범위하게 표적이 됐다는 점은 가능성으로 다룬다. 제품별 피해자 수, 완전한 버전 목록, 노출된 모든 Ollama 또는 LiteLLM 인스턴스가 취약했다는 증거는 제공하지 않는다. IP 주소의 서비스 배너는 시스템 식별에 도움을 줄 수 있지만, 모든 호스트의 정확한 침입 경로를 그 자체로 증명하지는 않는다.

LiteLLM의 한 경로는 버전 정보가 더 구체적이다. Lumen은 CVE-2026-42271과 관련된 테스트 엔드포인트를 참조하는 악성코드 샘플을 발견했다. 공개 권고문은 LiteLLM 1.74.2부터 1.83.7 이전까지를 영향받는 버전으로, 1.83.7을 패치된 버전으로 명시한다. 테스트 엔드포인트에는 유효한 프록시 API 키가 필요했지만 필요한 역할 검사가 없었다고 설명한다. 이 조건이 중요하다. 권고문은 인증된 명령 실행을 설명하고, Lumen은 샘플에서 특정 엔드포인트가 사용됐을 가능성을 설명한다. 어느 문서도 이 취약점이 모든 PoeLLM 감염을 설명한다고 입증하지 않는다.

Gotenberg는 다른 구체적인 노출 문제를 보여준다. 설치 안내서는 PDF 변환 서비스를 방화벽 뒤에 두라고 안내한다. 공개된 Docker 포트가 외부에서 접근될 수 있다고 경고하며 서비스를 localhost에 바인딩하는 방법도 보여준다. 설정 참고 문서에는 선택 가능한 기본 인증과 OIDC가 설명돼 있으며, 나열된 설정에서는 둘 다 기본적으로 꺼져 있다. 운영자는 어떤 설정에 의존하기 전에 실제 실행 버전과 배포 방식을 확인해야 한다.

The big change

보고된 PoeLLM 규모는 보조 도구의 인터넷 노출 여부를 AI 팀이 즉시 목록으로 확인해야 할 문제로 만든다. 운영자는 접근 가능하고 취약한 서비스를 찾았으며 감염 호스트를 재사용해 더 많은 대상을 검색했기 때문에 캠페인이 여러 제품 범주에 걸쳤다. 시는 명령 서버 변경을 쉽게 했지만, 문서가 설명하는 운영자 대응은 일반적이다. 노출 서비스를 찾고 버전과 접근 제어를 확인하며 침해 흔적을 점검하는 것이다. Lumen의 원격측정은 캠페인 설명을 뒷받침하지만, 확인된 데이터 탈취나 언급된 모든 제품 배포의 침해를 입증하지는 않는다.

운영자를 위한 범위가 정해진 점검

  1. 임시 배포를 포함해 인터넷에서 접근할 수 있는 LiteLLM, Ollama, Gotenberg, Gitea 인스턴스를 목록화한다. 실제 수신 대기 주소, 방화벽 및 게이트웨이 규칙, 공용 인터넷에서 접근해야 하는지를 확인한다.
  2. LiteLLM은 설치 버전과 활성화한 엔드포인트를 CVE-2026-42271 권고문과 비교한다. 영향받는 설치를 업데이트하고 유효한 프록시 키를 누가 보유했는지 검토한다. 즉시 업데이트할 수 없다면 영향받는 테스트 엔드포인트를 게이트웨이에서 차단하는 방법도 권고문에 나와 있다.
  3. Gotenberg는 설치 지침의 권고대로 신뢰할 수 있는 네트워크 안에 둔다. 통제된 접근이 필요한 배포에서는 설정 문서에서 관련 인증 옵션을 검토한다.
  4. 네트워크와 호스트 로그를 Lumen이 공개한 지표와 비교하고 예상치 못한 채굴 활동, 외부로 나가는 명령 트래픽 또는 스캔을 조사한다. 지표가 일치하면 사고 검토가 필요하다. 일치 항목이 없다고 호스트가 안전하다는 뜻은 아니다.

출처 및 추가 읽을거리