PoeLLM: บอตเน็ตขุดคริปโตที่อ่านที่อยู่ C2 จาก "บทกวี" บน GitHub ไล่ยึดเซิร์ฟเวอร์ LiteLLM และ Ollama ที่เปิดออกอินเทอร์เน็ตกว่า 3,400 เครื่อง

ข่าวย้อนหลัง (catch-up): รายงานต้นทางเผยแพร่ราววันที่ 7 ต.ค. 2026 (ไฟล์ IOC ใน GitHub ของ Black Lotus Labs commit ล่าสุด 7 ต.ค.) เราพลาดไปในรอบนั้น แต่เนื่องจากกระทบนักพัฒนาที่ self-host LLM โดยตรง จึงสรุปไว้ที่นี่

ทีมวิจัย Black Lotus Labs ของ Lumen เผยแพร่รายงาน “Canto incognito: tracking the PoeLLM malware” ว่าด้วยมัลแวร์ชื่อ PoeLLM ที่ทำงานมาตั้งแต่อย่างน้อยเดือน เมษายน 2026 และไล่ยึดบริการ AI/LLM แบบ open-source ที่เปิดออกอินเทอร์เน็ต — เหยื่อส่วนใหญ่รัน LiteLLM และ Ollama ที่เหลือเป็น Gotenberg (ตัวแปลง PDF) และ Gitea และอาจรวมถึง Ivanti Sentry ด้วย รายงานระบุว่ามีเครื่องที่ติดแล้ว กว่า 3,400 เครื่อง และช่วงพีคมีเครื่องที่ active เกิน 800 เครื่องต่อวัน ส่วนใหญ่อยู่ในสหรัฐฯ และยุโรปตะวันตก

จุดที่ทำให้ข่าวนี้ไวรัลคือวิธีซ่อน command-and-control: มัลแวร์ไม่ได้ hard-code IP ของ C2 แต่ไปอ่านบทกวีที่ฝากไว้ใน GitHub แล้วแปลงคำบางคำในบทกวีเป็นตัวเลข IP เมื่อผู้โจมตีย้าย C2 ก็แค่แก้คำในกลอน เครื่องเหยื่อทุกเครื่องจะคำนวณที่อยู่ใหม่ได้เอง

บทกวีที่เป็นสมุดที่อยู่ของบอตเน็ต

บทกวีชื่อ On the Nature of Connection ถูกซ่อนอยู่ในไฟล์ dash.css ของ repo ที่ fork มาจากซอร์สเว็บ nodejs.org (ไม่เกี่ยวกับ Node.js จริง) commit แรกคือวันที่ 13 เม.ย. 2026 และถูกแก้แล้ว 11 ครั้ง — ทุกครั้งชี้ไป C2 ตัวใหม่

ตรรกะในมัลแวร์ดึงคำ 4 คำจากตำแหน่งตายตัว เช่นคำหลัง “In the silent hum of” หรือคำหลัง “each pulse of” แล้วเทียบกับพจนานุกรมที่ฝังไว้ในไบนารี ตัวอย่างในรายงาน: คำว่า driver = 92, diode = 119, decryption = 165, string = 74 → ได้ IP 92.119.165.74 รายงานบอกว่าตลอด 11 รอบ ผู้โจมตีเปลี่ยนแค่ 4 คำนี้ โครงกลอนไม่เปลี่ยนเลย

C2 หลายตัวเป็นเราเตอร์ที่ถูกเจาะ (หน้า admin ของ Boa web server ที่มีช่องโหว่) แทนที่จะเช่าเซิร์ฟเวอร์เอง Black Lotus Labs ประเมินด้วยความมั่นใจระดับกลางว่าผู้อยู่เบื้องหลังพูดภาษาอิตาลี เพราะพบคอมเมนต์ภาษาอิตาลีในโค้ด และเซิร์ฟเวอร์ admin ที่ geolocate ไปอิตาลี

เข้าทางไหน: endpoint ทดสอบ MCP ของ LiteLLM

ผู้โจมตีสแกนพอร์ต 3000 และ 4000 เป็นหลัก ซึ่งเป็นพอร์ตเริ่มต้นของ Gotenberg และ LiteLLM ตามลำดับ จากตัวอย่างมัลแวร์ที่วิเคราะห์ endpoint ของ LiteLLM ที่ถูกยิงคือ /mcp-rest/test/connection ซึ่งตรงกับ CVE-2026-42271 (GHSA-v4p8-mg3p-g94g):

• กระทบ LiteLLM 1.74.2 ถึงก่อน 1.83.7 — endpoint สำหรับ “ทดลองเชื่อม MCP server ก่อนบันทึก” รับ config แบบ stdio มาทั้งก้อน รวม command, args, env แล้ว spawn คำสั่งนั้นเป็น subprocess บนเครื่อง proxy ทันที
• ต้องมี proxy API key ที่ใช้ได้ แต่ไม่มีการเช็ก role — key ระดับ internal-user สิทธิ์ต่ำก็รันคำสั่งบนโฮสต์ได้
• CVSS 3.1 = 8.8, แพตช์ใน 1.83.7 (advisory ออก 25 เม.ย. 2026) และ CISA เพิ่มเข้า Known Exploited Vulnerabilities เมื่อ 8 มิ.ย.

เมื่อเจาะได้ มัลแวร์ (ไฟล์ชื่อหลอกว่า libgcrypt) จะติดตั้ง remote shell, ตัวขุด XMRig และ Iron ที่ต่อไปยัง pool ของ Kryptex และเปลี่ยนเครื่องเหยื่อเป็นตัวสแกนและยิง exploit หาเหยื่อรายต่อไป ช่วงหลังยังเห็นเครื่องในบอตเน็ตเริ่มยิง brute-force SSH และหน้า login อื่น ๆ ด้วย

ข้อสังเกต: รายงานไม่ได้ระบุว่าเครื่อง Ollama ถูกเจาะด้วยช่องโหว่ไหน บอกเพียงว่าข้อมูล banner/พอร์ตของ IP เหยื่อแสดงว่ารัน Ollama และในเนื้อรายงานเองยังมีตัวเลขสองชุด — ส่วนสรุปบอก “กว่า 3,400 เครื่อง” ขณะที่ย่อหน้าหนึ่งยังเขียน “เกือบ 2,200 เครื่อง” (ตัวเลขช่วงพีคกลางเดือนมิ.ย.) ข่าวบางสำนักจึงอ้างคนละตัวเลข

ต้องทำอะไรตอนนี้

• LiteLLM: อัปเกรดเป็น ≥ 1.83.7 ทันที ถ้ายังต่ำกว่านั้นและเคยเปิดพอร์ต 4000 ออกนอก ให้ถือว่าอาจโดนแล้ว — เช็ก process แปลก ๆ, ไฟล์ libgcrypt ที่ไม่ใช่ของระบบ, CPU/GPU ที่พุ่งค้าง และ rotate key ทุกตัว (รวม key ของ provider ที่ proxy ถืออยู่)
• Ollama / Gotenberg / Gitea: อย่าเปิดสู่อินเทอร์เน็ตตรง ๆ ให้อยู่หลัง reverse proxy ที่มี auth, VPN หรือ Tailscale
• เทียบ IOC: Black Lotus Labs เผยแพร่รายชื่อ IP ของ C2 ทั้งหมดใน GitHub (blacklotuslabs/IOCs) ให้เช็กกับ log ของ firewall/netflow
• ตรวจ exposure ทุกครั้งที่ติดตั้งเครื่องมือ AI ใหม่ — Lumen ชี้ว่าเอกสารติดตั้งของ Gotenberg เตือนชัดแล้วว่าห้ามเปิดออกเน็ต แต่ก็ยังมีเหยื่อหลายร้อยเครื่อง

มุมมอง AI Curator

เรื่องบทกวีเป็นลูกเล่นที่ทำให้ข่าวนี้ติดหู แต่บทเรียนจริงน่าเบื่อกว่านั้นมาก: ช่องโหว่นี้มีแพตช์มาตั้งแต่ปลายเม.ย. และ CISA ขึ้นบัญชี “ถูกใช้โจมตีจริง” ตั้งแต่ต้นมิ.ย. แต่บอตเน็ตยังโตต่อจนถึงต้นต.ค. แปลว่า AI gateway ที่ทีมต่าง ๆ ตั้งขึ้นมาแบบเร่งด่วนในปีนี้จำนวนมากไม่อยู่ในรอบ patch ของใครเลย — มันถูกมองเป็นของเล่นของทีม dev ไม่ใช่โครงสร้างพื้นฐาน production

ประเด็นที่น่ากังวลกว่าการขุดคริปโตคือ LiteLLM โดยธรรมชาติเป็นที่รวม API key ของ OpenAI, Anthropic, Bedrock และอื่น ๆ ไว้ที่เดียว คนที่รันคำสั่งบนเครื่อง proxy ได้ก็อ่าน env ได้ ค่า GPU ที่ถูกขโมยไปขุดเหรียญอาจเป็นความเสียหายที่น้อยที่สุด เมื่อเทียบกับบิล API ที่จะตามมาจากการ “LLM-jacking” และอีกจุดที่ควรสังเกตคือรูนี้มาจากฟีเจอร์ MCP แบบ stdio ซึ่งออกแบบมาให้ spawn process — ทุกเครื่องมือที่เพิ่มปุ่ม “ทดลองเชื่อม MCP server” ผ่าน web API กำลังเปิดประตูแบบเดียวกัน ถ้าไม่จำกัดสิทธิ์ให้เฉพาะ admin

สำหรับทีมไทยและ SEA ที่นิยมตั้ง LiteLLM หรือ Ollama บน VPS ราคาถูกหรือเครื่อง GPU ในออฟฟิศแล้ว port-forward ออกไปให้ทีมใช้ ข้อนี้ตรงตัวมาก รายงานบอกว่าเหยื่อกระจุกในสหรัฐฯ และยุโรป แต่นั่นสะท้อนว่าเครื่องมือถูกใช้ที่ไหนมากกว่า ไม่ได้แปลว่าภูมิภาคเราปลอดภัย คำแนะนำง่ายที่สุดคือ: AI gateway ทุกตัวควรอยู่หลัง VPN หรือ zero-trust proxy ตั้งแต่วันแรก และควรถูกนับรวมใน asset inventory เหมือนฐานข้อมูล ไม่ใช่เหมือนสคริปต์ทดลอง

---

แหล่งข่าว

• Lumen Black Lotus Labs — Canto incognito: tracking the PoeLLM malware
• GitHub blacklotuslabs/IOCs — PoeLLM_IOCs.txt
• GitHub Advisory — GHSA-v4p8-mg3p-g94g (CVE-2026-42271, LiteLLM)
• Help Net Security — Cryptomining botnet hides C2 addresses in GitHub poem