Markdown பதிப்பு

AI-translated from English; not yet reviewed by a fluent editor.

# வெளிப்படையாகத் திறந்த AI சேவைகள் மற்றும் பிற கருவிகளையும் எட்டிய PoeLLM மால்வேர்

> ஏப்ரல் முதல் 3,400-க்கும் மேற்பட்ட பாதிக்கப்பட்ட சேவையகங்களை PoeLLM விசாரணையில் கண்டதாக Lumen கூறுகிறது. AI மற்றும் பிற கருவிகளில் வெளிப்படையாகத் திறந்த, பாதிக்கப்படக்கூடிய சேவைகளை ஆதாரங்கள் சுட்டுகின்றன; இயக்குநர்கள் செய்ய வேண்டிய குறிப்பிட்ட சோதனைகளையும் காட்டுகின்றன.

By BIG CHANGE Editorial

Published: 2026-10-11T08:55:09.294Z
Updated: 2026-10-11T08:55:09.294Z
Canonical: https://bigchange.ai/blog/poellm-malware-exposed-ai-services

![Charcoal illustration of a network cable entering a gateway on a steel shelf, with a second cable leading to a generic rack-mounted computer.](https://bigchange.ai/api/media/file/poellm-network-boundary-hero-v1.png)
A generic gateway and service host illustrate a network boundary operators can inspect. This is not a PoeLLM victim, observed deployment, field test or verified security outcome. AI-generated conceptual illustration by BIG CHANGE.

தாங்கள் PoeLLM என அழைக்கும் மால்வேர் 2026 ஏப்ரல் முதல் 3,400-க்கும் மேற்பட்ட சேவையகங்களைப் பாதித்துள்ளதாக Lumen Black Lotus Labs கூறுகிறது. பாதிக்கப்பட்ட கணினிகளை கிரிப்டோகரன்சி சுரங்கக் கருவிகளாகவும், சில நேரங்களில் மேலும் இலக்குகளைத் தேடும் ஸ்கேனர்களாகவும் அது மாற்றியது. ஆய்வாளர்கள் இந்த நடவடிக்கைக்கு Canto Incognito என்று பெயரிட்டனர். இணையத்தை நோக்கி திறந்திருந்த AI சேவைகளையும், PDF மாற்றியும், மேம்பாட்டு தளத்தையும் அது எட்டியது. இந்தக் கலவையிலிருந்து இயக்குநர்கள் பெற வேண்டிய பாடம்: AI என்ற பெயரைக் காட்டிலும் வெளிப்படையாகத் திறந்த சேவையும் அதன் அமைப்பும் முக்கியம்.

அக்டோபர் 7 அன்று Lumen தனது [PoeLLM விசாரணையை](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware) வெளியிட்டது; அக்காலத்திய [The Hacker News](https://thehackernews.com/2026/10/poellm-malware-infects-3400-servers-to.html) மற்றும் [The Register](https://www.theregister.com/security/2026/10/07/poetry-is-the-new-ai-security-threat-as-poellm-malware-infects-3k-servers/5301672) செய்திகளும் இதைக் குறிப்பிடுகின்றன. நடவடிக்கையின் GitHub களஞ்சியத்தில் முதல் commit ஏப்ரல் 13 அன்று நடந்ததாகவும், விரிவான தேடலும் பயன்படுத்தலும் மே மாதத்தில் தொடர்ந்ததாகவும் ஆய்வாளர்கள் கூறுகின்றனர். மொத்த எண்ணிக்கை Lumen விசாரணையில் அடையாளம் காணப்பட்ட சேவையகங்களைக் கணக்கிடுகிறது; குறிப்பிடப்பட்ட தயாரிப்புகளின் எல்லா நிறுவல்களையும் கணக்கிட்ட கணக்கெடுப்பு அல்ல. கவனிக்கப்பட்ட பாதிக்கப்பட்டவர்களில் பெரும்பாலோர் பாதிக்கப்படக்கூடிய, பொதுமக்களுக்கு வெளிப்படையாகத் திறந்த சேவைகளை இயக்கியதாகத் தெரிகிறது என்றும் அவர்கள் அமெரிக்கா மற்றும் மேற்கு ஐரோப்பாவில் குவிந்திருந்தனர் என்றும் நிறுவனம் கூறுகிறது.

## முகவரிப் புத்தகமாகப் பயன்படுத்தப்பட்ட கவிதை

GitHub களஞ்சியத்திலுள்ள கவிதையிலிருந்து தேர்ந்தெடுத்த சொற்களை PoeLLM படித்து, மால்வேரில் பதிக்கப்பட்ட அகராதியைப் பயன்படுத்தி தற்போதைய கட்டளை-கட்டுப்பாட்டு முகவரியைக் கண்டறிகிறது. அந்தச் சொற்களைத் திருத்துவதன் மூலம் ஒவ்வொரு கணினியிலும் மால்வேரை மாற்றாமல் பாதிக்கப்பட்ட அமைப்புகளைப் புதிய சேவையகத்துக்கு இயக்குநர் திருப்பலாம். தொடக்க commitக்குப் பிறகு கவிதையில் 11 மாற்றங்களை Lumen கணக்கிட்டது. இயக்குநரின் கட்டமைப்பைக் கண்டுபிடிக்கவே கவிதை உதவியது; AI மாதிரியை வழிமுறைகளைப் பின்பற்ற ஏமாற்றவில்லை. செயற்பாட்டாளர் இத்தாலிய மொழி பேசுவதாக Lumen மதிப்பிடுவது இத்தாலிய மொழி ஆவணத் தடயங்களையும் வலைப் போக்குவரத்தையும் அடிப்படையாகக் கொண்டது. அது attribution மதிப்பீடு; அடையாளம் காணப்பட்ட நபரோ உறுதிப்படுத்தப்பட்ட இடமோ அல்ல.

மால்வேரில் XMRig, Iron சுரங்கக் கருவிகளும் Kryptex சுரங்கக் கட்டமைப்புக்கான இணைப்புகளும் இருப்பதாக ஆய்வாளர்கள் தெரிவிக்கின்றனர். பாதிக்கப்பட்ட கணினிகள் பிற வெளிப்படையாகத் திறந்த அமைப்புகளைத் தேடி தாக்குவதையும் அவர்கள் கண்டனர். தொடக்க கட்டளைச் சேவையகத்துடன் 1,000-க்கும் மேற்பட்ட கூடுதல் IP முகவரிகளைத் தங்கள் வலைத் தொலைஅளவீடு இணைத்ததாக Lumen கூறுகிறது. ஜூன் நடுப்பகுதி உச்சத்தில் கிட்டத்தட்ட 2,200 பாதிக்கப்பட்ட சேவையகங்களும் ஒரு நாளில் கிட்டத்தட்ட 800 செயலிலிருந்ததாகவும் அது விவரித்தது. அக்டோபர் தலைப்பு எண்ணிக்கையான 3,400-க்கும் மேற்பட்டது மொத்தச் சேர்க்கை; வெவ்வேறு நேரங்களில் இவை வெவ்வேறு அளவுகளைப் பதிவுசெய்கின்றன. பின்னர் அடையாளம் கண்ட கட்டளைச் சேவையகங்களுக்குச் செல்லும் மற்றும் அங்கிருந்து வரும் போக்குவரத்தை Lumen தடுத்தது. கவிதைக் களஞ்சியம் கிடைக்கவில்லை என்று The Hacker News பின்னர் தெரிவித்தது; ஆனால் அதுவே ஒவ்வொரு பாதிக்கப்பட்ட கணினியும் சுத்தம் செய்யப்பட்டதையோ செயற்பாட்டாளர் நிறுத்தியதையோ நிரூபிக்காது.

## AI தலைப்புக்குப் பின்னுள்ள வெளிப்பாட்டு பிரச்சினை

பாதிக்கப்பட்ட IPகளில் கவனிக்கப்பட்ட AI தொடர்பான சேவைகளாக LiteLLM, Ollama ஆகியவற்றையும், கூடவே Gotenberg, Gitea ஆகியவற்றையும் Lumen குறிப்பிடுகிறது. விசாரணையின்போது ஒரு Ivanti Sentry சாதனம் பாதிக்கப்பட்டதையும் அறிக்கை விவரிக்கிறது; அந்தத் தயாரிப்பு பரவலாக இலக்காக்கப்பட்டிருக்கலாம் என்பதை மட்டும் சாத்தியமாகக் கருதுகிறது. தயாரிப்பு வாரியான பாதிக்கப்பட்டோர் எண்ணிக்கை, முழுமையான பதிப்புப் பட்டியல், வெளிப்படையாகத் திறந்த ஒவ்வொரு Ollama அல்லது LiteLLM நிகழ்வும் பாதிக்கப்படக்கூடியது என்பதற்கான சான்று ஆகியவற்றை அது தரவில்லை. IP முகவரியிலுள்ள சேவை banner ஒரு அமைப்பை அடையாளம் காண உதவலாம்; ஒவ்வொரு கணினியிலும் துல்லியமான நுழைவுப் பாதையை அது தனியாக நிரூபிக்காது.

LiteLLM பாதைகளில் ஒன்றுக்கு பதிப்பு விவரம் தெளிவாக உள்ளது. [CVE-2026-42271](https://github.com/advisories/GHSA-v4p8-mg3p-g94g) உடன் தொடர்புடைய சோதனை endpointஐச் சுட்டும் மால்வேர் மாதிரியை Lumen கண்டது. வெளியிடப்பட்ட ஆலோசனை LiteLLM 1.74.2 முதல் 1.83.7க்கு முந்தைய பதிப்புகளைப் பாதிக்கப்பட்டவை என்றும், 1.83.7 சரிசெய்யப்பட்ட பதிப்பு என்றும் குறிப்பிடுகிறது. சோதனை endpointsக்கு செல்லுபடியாகும் proxy API key தேவைப்பட்டாலும் அவசியமான role check இல்லை என்கிறது. இந்த நிபந்தனை முக்கியம்: ஆலோசனை அங்கீகரிக்கப்பட்ட கட்டளை இயக்கத்தை விவரிக்கிறது; மாதிரியில் ஒரு endpoint பயன்படுத்தப்பட்டிருக்கலாம் என Lumen கூறுகிறது. இந்தக் குறைபாடு ஒவ்வொரு PoeLLM தொற்றையும் விளக்குகிறது என்று எந்த ஆவணமும் நிரூபிக்கவில்லை.

Gotenberg வேறொரு உறுதியான வெளிப்பாட்டு பிரச்சினையைக் காட்டுகிறது. அதன் [நிறுவல் வழிகாட்டி](https://gotenberg.dev/docs/getting-started/installation) PDF மாற்றுச் சேவையை firewallக்குப் பின்னால் வைக்கச் சொல்கிறது. வெளியிடப்பட்ட Docker ports வெளியில் இருந்து எட்டப்படலாம் என்றும் எச்சரித்து, சேவையை localhostக்கு bind செய்வதைக் காட்டுகிறது. அதன் [அமைப்பு குறிப்பு](https://gotenberg.dev/docs/configuration) விருப்பமான basic authentication, OIDC ஆகியவற்றை ஆவணப்படுத்துகிறது; பட்டியலிட்ட அமைப்புகளில் இரண்டும் இயல்பாக முடக்கப்பட்டுள்ளன. எந்த அமைப்பையும் நம்புவதற்கு முன், உண்மையில் இயக்கும் பதிப்பையும் நிறுவல் முறையையும் இயக்குநர்கள் சரிபார்க்க வேண்டும்.

### The big change

PoeLLM பற்றிய அளவு மதிப்பீடு, துணைக் கருவிகள் இணையத்தில் வெளிப்படையாக உள்ளனவா என்பதை AI குழுக்கள் உடனடியாகப் பட்டியலிட வேண்டிய கேள்வியாக்குகிறது. எட்டக்கூடிய பாதிக்கப்படக்கூடிய சேவைகளை இயக்குநர் தேடியதாலும், மேலும் இலக்குகளைத் தேட பாதிக்கப்பட்ட கணினிகளை மீண்டும் பயன்படுத்தியதாலும் பல தயாரிப்பு வகைகளுக்கு நடவடிக்கை விரிந்தது. கவிதை கட்டளைச் சேவையகத்தை மாற்றுவதை எளிதாக்கியது; ஆனால் ஆவணப்படுத்திய இயக்குநர் பதில் வழக்கமானதே: வெளிப்படையாக உள்ள சேவையைக் கண்டறிந்து, அதன் பதிப்பு மற்றும் அணுகல் கட்டுப்பாடுகளை உறுதிப்படுத்தி, பாதிப்பு அறிகுறிகளைத் தேடுங்கள். Lumen தொலைஅளவீடு நடவடிக்கை விவரத்தை ஆதரிக்கிறது; உறுதிப்படுத்தப்பட்ட தரவு திருட்டையோ குறிப்பிடப்பட்ட தயாரிப்புகளின் எல்லா நிறுவல்களிலும் பாதிப்பையோ நிரூபிக்கவில்லை.

## இயக்குநர்களுக்கான வரையறுக்கப்பட்ட சோதனை

1. தற்காலிக நிறுவல்களையும் சேர்த்து, இணையத்திலிருந்து எட்டக்கூடிய LiteLLM, Ollama, Gotenberg, Gitea நிகழ்வுகளைப் பட்டியலிடுங்கள். உண்மையான listening address, firewall மற்றும் gateway விதிகள், பொதுஇணைய அணுகல் தேவையா என்பதைச் சரிபாருங்கள்.
2. LiteLLMக்கு நிறுவிய பதிப்பு, செயல்படுத்திய endpoints ஆகியவற்றை [CVE-2026-42271 ஆலோசனை](https://github.com/advisories/GHSA-v4p8-mg3p-g94g)யுடன் ஒப்பிடுங்கள். பாதிக்கப்பட்ட நிறுவல்களைப் புதுப்பித்து செல்லுபடியாகும் proxy keys யாரிடம் உள்ளன என்று பாருங்கள்; உடனடிப் புதுப்பிப்பு முடியாவிட்டால் பாதிக்கப்பட்ட சோதனை endpointsஐ gatewayயில் தடுக்கவும் ஆலோசனை குறிப்பிடுகிறது.
3. அதன் [நிறுவல் வழிகாட்டி](https://gotenberg.dev/docs/getting-started/installation) பரிந்துரைப்பது போல் Gotenbergஐ நம்பகமான வலையமைப்புக்குள் வைத்திருங்கள். கட்டுப்படுத்தப்பட்ட அணுகல் தேவைப்படும் நிறுவல்களில் அமைப்பு ஆவணத்தின் தொடர்புடைய authentication விருப்பங்களைப் பாருங்கள்.
4. வலை மற்றும் கணினி பதிவுகளை [Lumen வெளியிட்ட குறியீடுகளுடன்](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware) ஒப்பிட்டு எதிர்பாராத சுரங்கச் செயல்பாடு, வெளியேறும் கட்டளைப் போக்குவரத்து அல்லது scanningஐ விசாரியுங்கள். குறியீடு பொருந்தினால் சம்பவ ஆய்வு தேவை; பொருந்தாதது கணினி சுத்தமானது என்பதை உறுதிப்படுத்தாது.

### மூலங்களும் மேலும் வாசிப்பும்

- [Lumen Black Lotus Labs: Canto Incognito](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware) முதன்மையான மால்வேர் பகுப்பாய்வு, தொலைஅளவீட்டு மூலம், குறியீட்டுப் பட்டியல். மேலுள்ள எண்ணிக்கைகள், கவனிக்கப்பட்ட நடத்தை, செயற்பாட்டாளர் மதிப்பீடு ஆகியவை Lumen ஆய்வாளர்களுக்குச் சுட்டப்படுகின்றன.
- [The Hacker News செய்தியும் புதுப்பிப்பும்](https://thehackernews.com/2026/10/poellm-malware-infects-3400-servers-to.html) அக்டோபர் 7 வெளியீட்டை உறுதிசெய்து, Lumen பொறியாளரின் கருத்துகள் வழியாகப் பின்னர் களஞ்சியம் முடங்கியதைத் தெரிவிக்கின்றன. களஞ்சியம் அகற்றப்பட்டது ஒரு நேரத்திற்குரிய கவனிப்பு.
- [அக்டோபர் 7 The Register செய்தி](https://www.theregister.com/security/2026/10/07/poetry-is-the-new-ai-security-threat-as-poellm-malware-infects-3k-servers/5301672) அக்கால வெளியீட்டு நேரத்தையும் ஆய்வாளர் நேர்காணல்களையும் தருகிறது. கவிதையை “adversarial poetry” என்று அழைத்ததை இந்தத் தாக்குதலில் LLM jailbreak நடந்ததற்கான சான்றாகக் கருதக் கூடாது.
- [LiteLLM CVE-2026-42271 ஆலோசனை](https://github.com/advisories/GHSA-v4p8-mg3p-g94g) பாதிக்கப்பட்ட, சரிசெய்யப்பட்ட பதிப்புகள், அங்கீகார நிபந்தனை மற்றும் விற்பனையாளர் மாற்றுவழியைத் தெரிவிக்கிறது.[Gotenberg நிறுவல்](https://gotenberg.dev/docs/getting-started/installation) மற்றும் [அமைப்பு](https://gotenberg.dev/docs/configuration) பக்கங்கள் வெளிப்பாட்டு எச்சரிக்கை மற்றும் அணுகல் அமைப்புகளை ஆவணப்படுத்துகின்றன.

## Sources

- [Lumen Black Lotus Labs: Canto Incognito: PoeLLM மால்வேரைக் கண்காணித்தல்](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware) — முதன்மை நடவடிக்கை ஆய்வு, தொலைஅளவீடு, குறியீடுகள்; எண்ணிக்கை, செயற்பாட்டாளர் மதிப்பீடு, கண்டறிதல்கள் Lumenக்கு சுட்டப்படுகின்றன.
- [The Hacker News: PoeLLM மால்வேர் 3,400-க்கும் மேற்பட்ட சேவையகங்களைப் பாதித்தது](https://thehackernews.com/2026/10/poellm-malware-infects-3400-servers-to.html) — அக்காலச் செய்தி மற்றும் GitHub களஞ்சியக் கிடைப்புத் தொடர்பான பின்னர் புதுப்பிப்பு; எண்ணிக்கைகள் Lumenஐச் சார்ந்தவை.
- [The Register: AI பாதுகாப்புக்கு கவிதை புதிய அச்சுறுத்தல்](https://www.theregister.com/security/2026/10/07/poetry-is-the-new-ai-security-threat-as-poellm-malware-infects-3k-servers/5301672) — அக்கால நேரவரிசை, Lumen நேர்காணல்கள்; “adversarial poetry” சித்தரிப்பு prompt-injection கண்டறிதலாக ஏற்கப்படவில்லை.
- [LiteLLM ஆலோசனை GHSA-v4p8-mg3p-g94g / CVE-2026-42271](https://github.com/advisories/GHSA-v4p8-mg3p-g94g) — பாதிக்கப்பட்ட வரம்பு, அங்கீகார நிபந்தனை மற்றும் தணிப்பு.
- [Gotenberg நிறுவல்](https://gotenberg.dev/docs/getting-started/installation) — பொது வெளிப்பாட்டுக்கு எதிரான அதிகாரப்பூர்வ எச்சரிக்கை மற்றும் localhost binding வழிகாட்டுதல்.
- [Gotenberg அமைப்பு](https://gotenberg.dev/docs/configuration) — அதிகாரப்பூர்வ அங்கீகார விருப்பங்களின் இயல்புநிலை மதிப்புகள்; கவனிக்கப்பட்ட பாதிக்கப்பட்டவர்களின் அமைப்புகள் குறித்து கூற்று இல்லை.