在网络空间的某个角落，一段恶意软件正像解谜者一样，从一首诗中读取指令，寻找其幕后主人的位置。这听起来有些离奇，但却是一则关于网络攻击与加密货币挖矿的真实故事。
来自Lumen旗下Black Lotus Labs的网络安全研究人员发现了一种恶意软件，它能从GitHub上发布的一首诗中获取C2（命令与控制）服务器的位置信息。
该恶意软件通过查找诗中特定的单词，并将其解码为数字，从而得出C2服务器所在的IP地址，并接收下一步指令。Black Lotus将这种手法称为“对抗性诗歌”，并表示此前从未见过类似案例。
对抗性诗歌
攻击者似乎来自意大利（或至少活动基地在意大利），首先会搜寻存在漏洞的面向互联网的服务，例如LiteLLM或Ollama，然后植入一种名为PoeLLM的恶意软件。
该恶意软件随后会访问GitHub，寻找一首看似由AI生成的诗。以下是诗的内容：
在驱动器无声的嗡鸣中，机器开始低语，
每一次二极管的脉冲，让光线穿过铜制血管。
我们教黑暗携带意义，一个字节接一个字节——
一种由闪电构成的语言，寒冷而纯净。
越过加密的高墙，一个信号找到了去路，
远方服务器的滴答声在应答。
数据如水般流过有序思维的裂缝，
而在代码深处，世界仍在轨道上运行。
恶意软件会在这首诗中查找特定单词：driver（驱动器）、diode（二极管）、decryption（解密）、tick（滴答），并将它们对应到预设的数字（其“词典”为硬编码）。将这些数字组合后，就能得到C2服务器所在的IPv4地址。
随后，PoeLLM会连接该服务器，获取下一步操作指令。在大多数情况下，它会部署一个名为XMRig的加密货币挖矿程序，利用受害设备的电力、算力和网络连接来挖取门罗币（Monero），为这位“恶意诗人”牟利。
该恶意软件还可以作为扫描器运行，搜寻其他存在漏洞的系统，帮助攻击者将触角伸向更多设备。
更换“歌词”
如果攻击者需要迁移基础设施，只需修改GitHub上诗歌中的某些词语即可。这样一来，被感染的设备在获取更新版本的诗歌后，便能计算出新的C2地址，而无需对恶意软件本身进行更新。事实上，这种情况已经发生过多次。
据The Register报道，这首题为《On the Nature of Connection》（论连接的本质）的诗，自首次提交以来已被修改了11次，最近一次更新发生在2026年9月。
研究人员告诉The Register：“‘Canto Incognito’行动的独特之处在于，它同时针对多个与AI相关的服务进行攻击。”
“今年其他引人关注的攻击活动，例如LiteLLM供应链被攻陷事件，通常只针对单一服务，据公开资料显示，受影响用户约为2500名。而PoeLLM累计感染的3000多名受害者，表明攻击者同时利用了多个存在漏洞的服务。”
换句话说，这场“对抗性诗歌”行动迄今已取得相当“成功”的战果，已确认感染设备超过3000台。
Black Lotus Labs指出，PoeLLM恶意软件的开发者“在识别漏洞服务器、部署攻击程序以及招募受害设备以扩大行动规模方面表现得极为出色”。
“如果攻击者只专注于一两个漏洞，潜在受害者群体可能很快就会枯竭，但不断扩大的攻击范围让这个僵尸网络变得更大、更强，也更能获利。”
Q&A
Q1：PoeLLM恶意软件是如何通过诗歌获取服务器地址的？
A：PoeLLM会在GitHub上寻找一首AI生成的诗，查找其中特定的单词，并将这些单词对应到预设数字，组合后得出C2服务器的IPv4地址，从而接收下一步指令。
Q2：这种“对抗性诗歌”攻击手段有什么特别之处？
A：攻击者只需修改诗歌中的部分词语即可迁移服务器地址，被感染设备读取更新后的诗歌就能计算出新地址，无需对恶意软件本身进行更新，隐蔽性和灵活性都很强。
Q3：这次攻击已经造成了多大影响？
A：据Black Lotus Labs披露，该行动已确认感染超过3000台设备，主要用于部署加密货币挖矿程序XMRig挖取门罗币，并持续扫描更多存在漏洞的系统进行传播。