Black Lotus Labs द्वारा ट्रैक किए गए एक अभियान में, कमज़ोर AI और डेवलपर सेवाएँ ऐसे मैलवेयर का प्रवेश-द्वार बन गईं जो क्रिप्टोकरेंसी माइन करता था और नए पीड़ितों की तलाश करता था। इसके कमांड-सर्वर का पता एक अप्रत्याशित स्रोत से मिलता था: GitHub पर रखी एक कविता।
एक कंपनी क्लाउड सर्वर पर AI सेवा तैनात करती है। उसका API सामान्य रूप से जवाब देता है और डेवलपर उसकी मदद से किसी एप्लिकेशन को भाषा मॉडलों से जोड़ सकते हैं। लेकिन इंटरनेट पर खुली यह सेवा कमज़ोर सॉफ़्टवेयर चला रही है। हमलावर उसे ढूँढ लेता है, पहुँच हासिल कर लेता है और मैलवेयर इंस्टॉल कर देता है।
AI सेवा शायद चलती रहे। इस बीच, समझौता हो चुकी मशीन क्रिप्टोकरेंसी माइन करने में संसाधन खर्च कर रही हो सकती है और इंटरनेट पर दूसरे कमज़ोर सर्वरों की तलाश कर रही हो सकती है।
यही जोखिम Canto Incognito नाम के अभियान में दिखता है, जिसकी जाँच Lumen की Black Lotus Labs ने की। शोधकर्ताओं के अनुसार अप्रैल में गतिविधि शुरू होने के बाद से उसके PoeLLM मैलवेयर ने 3,400 से अधिक सर्वरों को प्रभावित किया। लक्षित या प्रभावित इंस्टॉलेशनों में LiteLLM और Ollama जैसे AI इंफ्रास्ट्रक्चर सॉफ़्टवेयर के साथ Gotenberg और Gitea भी शामिल थे। यह संख्या शोधकर्ताओं द्वारा देखे गए सर्वरों की है, कंपनियों या लोगों की नहीं। [1]
यह जाँच आंशिक रूप से इसलिए उल्लेखनीय है कि संक्रमित कंप्यूटरों ने GitHub पर रखी एक कविता के शब्दों से हमलावर के कमांड-सर्वर का पता निकाला। लेकिन मूल समझौता किसी प्रॉम्प्ट से भाषा मॉडल को चकमा देने पर निर्भर नहीं था। इसमें कमज़ोर नेटवर्क सेवाएँ, दुर्भावनापूर्ण सॉफ़्टवेयर और कंप्यूटिंग संसाधनों का अनधिकृत उपयोग शामिल था।
AI सेवा भी आख़िर एक सर्वर है
सेल्फ-होस्टेड AI डिप्लॉयमेंट ऑपरेटिंग सिस्टम, कंटेनर, API गेटवे, ऑथेंटिकेशन सेवाओं और नेटवर्क इंफ्रास्ट्रक्चर पर चलते हैं। इन घटकों को वही नियंत्रण चाहिए जो अन्य प्रोडक्शन सॉफ़्टवेयर को चाहिए।
Ollama मॉडलों को लोकल या स्वयं-प्रबंधित सिस्टम पर चलाने की सुविधा देता है। LiteLLM अलग-अलग मॉडल प्रदाताओं के बीच API गेटवे का काम कर सकता है। इनमें से कोई भी उत्पाद अपने आप में दुर्भावनापूर्ण नहीं है। जोखिम तब पैदा होता है जब कमज़ोर संस्करण, ज़रूरत से ज़्यादा अनुमतियाँ या बेवजह खुले एंडपॉइंट किसी डिप्लॉयमेंट को पहुँच योग्य और एक्सप्लॉइट करने योग्य बना देते हैं।
PoeLLM ने Gotenberg को भी प्रभावित किया, जो डॉक्यूमेंट-कन्वर्ज़न सेवा है, और Gitea को भी, जो कोड-होस्टिंग प्लेटफ़ॉर्म है। ऑपरेटर केवल AI मॉडल सर्वरों के पीछे नहीं था। कोई भी कमज़ोर सिस्टम कंप्यूटिंग संसाधन और आगे के हमलों के लिए ठिकाना दे सकता था। [1]
LiteLLM गेटवे में एक दर्ज की गई कमज़ोरी
अभियान के संबंध में जाँची गई एक विशिष्ट कमज़ोरी CVE-2026-42271 थी। LiteLLM Model Context Protocol (MCP) को सपोर्ट करता है, जिसके ज़रिए AI एप्लिकेशन बाहरी टूल्स से संवाद कर सकते हैं। कुछ MCP कनेक्शन स्टैंडर्ड इनपुट और आउटपुट (stdio) का उपयोग करते हैं, जिसमें एक लोकल प्रोसेस लॉन्च करना पड़ सकता है।
कमज़ोर LiteLLM इम्प्लीमेंटेशन में दो टेस्ट एंडपॉइंट थे जो MCP सर्वर कॉन्फ़िगरेशन स्वीकार करते थे। उस कॉन्फ़िगरेशन में एक command, उसके आर्गुमेंट और एनवायरनमेंट वेरिएबल हो सकते थे। कुछ मामलों में गेटवे निर्दिष्ट कमांड को अपने होस्ट पर चला देता था। ये एंडपॉइंट वैध API key की जाँच करते थे, लेकिन एडमिनिस्ट्रेटर भूमिका की माँग नहीं करते थे। इसलिए कम विशेषाधिकार वाला प्रमाणित उपयोगकर्ता LiteLLM प्रोसेस की अनुमतियों के साथ कमांड निष्पादन करवा सकता था। [2]
यह टूल-इंटीग्रेशन फ़ीचर में ऑथराइज़ेशन की विफलता थी, किसी मॉडल द्वारा असुरक्षित टेक्स्ट बनाने का मामला नहीं। यदि वही key प्रशासनिक परिणामों वाले फ़ंक्शनों तक पहुँच सकती थी, तो गेटवे की API key अपर्याप्त सुरक्षा थी।
यह एडवाइज़री LiteLLM के संस्करण 1.74.2 से लेकर 1.83.7 से ठीक पहले तक कवर करती है। इसमें CVSS 4.0 स्कोर 8.7 (High) दर्ज है और 1.83.7 में फ़िक्स की पुष्टि की गई है। फ़िक्स किए गए एंडपॉइंट PROXY_ADMIN भूमिका माँगते हैं। एडवाइज़री उन वातावरणों के लिए, जो तुरंत अपग्रेड नहीं कर सकते, दोनों MCP टेस्ट एंडपॉइंट को गेटवे स्तर पर अस्थायी रूप से ब्लॉक करने का तरीका भी बताती है। [2]
Black Lotus Labs को एक मैलवेयर सैंपल में /mcp-rest/test/connection का एक्सप्लॉइट संदर्भ मिला और उसने इसे कुछ पीड़ितों के लिए संभावित एक्सप्लॉइटेशन मार्ग बताया। यह स्थापित नहीं किया गया कि हर PoeLLM संक्रमण में इसी CVE का उपयोग हुआ। अभियान में अन्य उत्पाद और एक्सपोज़र मार्ग भी मौजूद थे। [1]
पहुँच मिलने के बाद मैलवेयर ने क्या किया
Black Lotus Labs ने libgcrypt के नाम से पहचानी गई एक Linux एक्ज़ीक्यूटेबल की जाँच की। उसमें रिमोट-शेल क्षमताएँ, स्कैनिंग और एक्सप्लॉइट कार्यक्षमता, और XMRig तथा Iron सहित क्रिप्टोकरेंसी माइनर मौजूद थे। शोधकर्ताओं ने देखा कि संक्रमित होस्ट Kryptex माइनिंग इंफ्रास्ट्रक्चर से संवाद कर रहे थे। [1]
क्रिप्टोमाइनिंग हमलावरों को पीड़ित के कंप्यूटिंग संसाधन अपने लाभ के लिए इस्तेमाल करने देती है। इसका असर लगातार प्रोसेसर उपयोग, बढ़े हुए क्लाउड खर्च या सेवा की धीमी प्रतिक्रिया के रूप में दिख सकता है। यह पुष्टि नहीं हुई कि हर संक्रमित सर्वर में उच्च-स्तरीय AI GPU था, और जाँच यह नहीं दिखाती कि हर माइनर ने GPU क्षमता का उपयोग किया।
अभियान ने समझौता किए गए सिस्टमों का उपयोग अतिरिक्त पीड़ितों की तलाश के लिए भी किया। पहले से संक्रमित मशीनें स्कैनर और एक्सप्लॉइट सर्वर बन गईं, जिससे ऑपरेटर की पहुँच बढ़ी और कुछ गतिविधि दूसरे संगठनों के इंफ्रास्ट्रक्चर के पीछे छिपी रही। शोधकर्ताओं ने SSH और अन्य लॉगिन सेवाओं पर वितरित हमलों के संभावित प्रयोग देखे, लेकिन उस क्षमता को पूरी तरह स्थापित नहीं बताया। [1]
एक कविता जो मैलवेयर को उसके कमांड-सर्वर तक ले गई
मैलवेयर को आम तौर पर एक कमांड-एंड-कंट्रोल सर्वर (C2) चाहिए, जहाँ से उसका ऑपरेटर निर्देश भेज सके या अतिरिक्त फ़ाइलें रख सके। यदि मैलवेयर में एक स्थायी सर्वर पता एम्बेड हो, तो डिफेंडर उस गंतव्य को ब्लॉक कर सकते हैं।
PoeLLM ने पता खोजने का एक बदलने वाला तरीका अपनाया। मैलवेयर ने GitHub रिपॉज़िटरी में dash.css नाम की फ़ाइल से टेक्स्ट लिया, जो Node.js वेबसाइट सोर्स के फ़ोर्क जैसी दिखती थी। उस फ़ाइल में On the Nature of Connection शीर्षक की एक कविता थी। यह दुर्भावनापूर्ण फ़ाइल वैध Node.js प्रोजेक्ट का हिस्सा नहीं थी। [1]
मैलवेयर ने कविता की निश्चित स्थितियों से चार चुने हुए शब्द या वाक्यांश निकाले। उसकी आंतरिक डिक्शनरी ने इन चयनों को संख्याओं से जोड़ा, जिन्हें IPv4 पते के चार घटकों के रूप में मिलाया गया। जब ऑपरेटर ये शब्द बदलता, तो संक्रमित सिस्टम नया मैलवेयर बाइनरी लिए बिना अलग C2 पता निकाल सकता था।
Black Lotus Labs ने कविता के 11 संशोधन दर्ज किए और अभियान के दौरान उपयोग हुए 12 C2 पते पहचाने। [1]
यह साधारण मैलवेयर कोड द्वारा किया गया डेटा एन्कोडिंग था, प्रॉम्प्ट-इंजेक्शन तकनीक नहीं। बदलता हुआ टेक्स्ट GitHub पर होस्ट था, और सार्वजनिक प्रमाण यह नहीं दिखाते कि GitHub स्वयं समझौते का शिकार हुआ। यह तकनीक स्थायी पते पर आधारित ब्लॉकिंग को कम टिकाऊ बनाती है, लेकिन ट्रैफ़िक को मॉनिटरिंग से अदृश्य नहीं बनाती।
Accessible text alternative for this figure
चार चरण। चरण 1, LiteLLM जैसी एक्सपोज़्ड सेवा या कोई अन्य कमज़ोर AI या डेवलपर टूल। चरण 2, समझौता हो चुका होस्ट, जहाँ मैलवेयर चलता है, क्रिप्टोकरेंसी माइन करता है और स्कैन करता है। चरण 3, आगे की गतिविधि: क्रिप्टोमाइनिंग और नए लक्ष्यों की तलाश।
चरण 4, कमांड-सर्वर की गतिशील खोज: मैलवेयर GitHub पर रखी कविता लाता है और चुने हुए शब्दों को IP पते में बदलता है, जिससे समझौता हो चुके होस्ट को अपने कमांड-सर्वर का स्थान मिलता है। यह योजना-चित्र व्याख्यात्मक है, किसी एक पीड़ित के संक्रमण का हूबहू पुनःप्रदर्शन नहीं। शुरुआती एक्सप्लॉइट अलग-अलग होस्ट पर अलग थे।
स्टैंडर्ड सिक्योरिटी मॉनिटरिंग क्यों मायने रखती है
यह अभियान दिखाता है कि सिक्योरिटी टीमों को सेवाओं तक पहुँच कैसे होती है और समझौते के बाद सर्वर क्या करता है, दोनों की जाँच करनी चाहिए।
बेवजह सार्वजनिक AI गेटवे हमले की सतह बढ़ाता है। कोई कमज़ोर प्रशासनिक या इंटीग्रेशन एंडपॉइंट विशेषाधिकार की सीमा पार करने दे सकता है। व्यापक ऑपरेटिंग-सिस्टम अनुमतियों के साथ चल रही प्रोसेस नुकसान बढ़ा देती है। यदि आउटगोइंग ट्रैफ़िक की निगरानी नहीं हो रही, तो सर्वर किसी के ध्यान देने से पहले C2 या माइनिंग इंफ्रास्ट्रक्चर से संपर्क कर सकता है या दूसरे होस्ट को प्रोब कर सकता है।
क्रिप्टोमाइनिंग असामान्य संसाधन उपयोग पैदा कर सकती है, लेकिन अकेला ऊँचा CPU या GPU लोड कुछ सिद्ध नहीं करता, क्योंकि वैध इन्फ़रेंस भी महँगा हो सकता है। जाँचकर्ताओं को प्रोसेस के प्रमाण, नेटवर्क रिकॉर्ड, एक्सेस लॉग और वर्तमान IOC चाहिए।
| नियंत्रण | व्यावहारिक जाँच | यह किस चीज़ को संबोधित करने में मदद करता है |
|---|---|---|
| बाहरी एक्सपोज़र | AI गेटवे, मॉडल सर्वर और सहायक सेवाओं की सूची बनाएँ और गैर-ज़रूरी सार्वजनिक पहुँच हटाएँ | इंटरनेट स्कैनिंग और शुरुआती पहुँच |
| पैच प्रबंधन | प्रभावित उत्पादों और संस्करणों को वर्तमान एडवाइज़री से मिलाकर देखें | ज्ञात एक्सप्लॉइट होने योग्य सॉफ़्टवेयर खामियाँ |
| ऑथराइज़ेशन | विशेषाधिकार वाले प्रशासन और टूल-निष्पादन एंडपॉइंट सीमित करें | ख़तरनाक कार्यों तक कम विशेषाधिकार वाली पहुँच |
| रनटाइम आइसोलेशन | न्यूनतम विशेषाधिकार वाले उपयोगकर्ता, सीमित कंटेनर और सीमित दायरे के क्रेडेंशियल इस्तेमाल करें | होस्ट-स्तर पर सफल निष्पादन का प्रभाव |
| इग्रेस मॉनिटरिंग | अप्रत्याशित गंतव्यों, स्कैनिंग और माइनिंग-पूल कनेक्शनों की जाँच करें | समझौते के बाद की गतिविधि |
| प्रोसेस मॉनिटरिंग | अस्पष्टीकृत एक्ज़ीक्यूटेबल और लगातार कंप्यूट गतिविधि की जाँच करें | मैलवेयर और संसाधनों का दुरुपयोग |
| घटना के बाद रिकवरी | प्रमाण सुरक्षित रखें, प्रभावित वर्कलोड अलग करें और विश्वसनीय स्रोतों से दोबारा बनाएँ | नियंत्रण और उन्मूलन |
जो संगठन प्रभावित LiteLLM संस्करण चला रहे हैं, उनके लिए सबसे सीधा कदम है 1.83.7 या बाद के फ़िक्स किए गए संस्करण पर अपडेट करना, यह सत्यापित करना कि कमज़ोर एंडपॉइंट उचित रूप से प्रतिबंधित हैं, और जाँच करना कि सिस्टम में समझौते के संकेत हैं या नहीं। नेटवर्क ब्लॉक एक अस्थायी उपाय है, पैच और जाँच का विकल्प नहीं। [2]
Black Lotus Labs ने ऐतिहासिक C2 संकेतक और अपने वर्तमान थ्रेट-इंटेलिजेंस संसाधनों के लिंक प्रकाशित किए। टीमों को उपलब्ध नवीनतम संकेतकों का उपयोग करना चाहिए, लेकिन ऐतिहासिक IP पतों की सूची को संपूर्ण नहीं मानना चाहिए, क्योंकि अभियान को गंतव्य बदलते रहने के लिए बनाया गया था। [1]
शोध हमें क्या नहीं बता सकता
3,400 से अधिक की संख्या रिपोर्ट के मुख्य निष्कर्षों में शोधकर्ताओं द्वारा बताई गई प्रभावित सर्वरों की गिनती है। रिपोर्ट का मुख्य भाग लगभग 2,200 पीड़ित सर्वरों का उल्लेख करता है और दोनों गिनतियों का मिलान नहीं करता, इसलिए उन्हें जोड़ा नहीं जाना चाहिए। कोई भी संख्या प्रभावित संगठनों या अंतिम उपयोगकर्ताओं की गिनती स्थापित नहीं करती। [1]
सार्वजनिक निष्कर्ष हर पीड़ित के लिए पुष्ट एक्सप्लॉइटेशन श्रृंखला की पहचान नहीं करते। वे यह भी स्थापित नहीं करते कि हर प्रभावित सर्वर से जानकारी चुराई गई। Black Lotus Labs ने भाषाई संकेतों और इंफ्रास्ट्रक्चर अवलोकनों के आधार पर एक संभावित इतालवी-भाषी ऑपरेटर का आकलन किया, लेकिन ऑपरेटर की पहचान या राष्ट्रीयता स्थापित नहीं की। [1]
AI डिप्लॉयमेंट के लिए व्यापक सबक
PoeLLM इसलिए अलग दिखता है कि उसने अपना बदलता कमांड-सर्वर पता एक कविता के भीतर छिपाया। जिन कमज़ोरियों का उसने फ़ायदा उठाया, वे कहीं ज़्यादा जानी-पहचानी हैं: एक्सपोज़्ड एप्लिकेशन, कमज़ोर फ़ीचर और प्रोडक्शन सेवाओं के आसपास अपर्याप्त सुरक्षा सीमाएँ।
अपने इंफ्रास्ट्रक्चर पर मॉडल चलाने से संगठन को इस पर अधिक नियंत्रण मिलता है कि उसके वर्कलोड कहाँ निष्पादित होते हैं। इसी के साथ आसपास के सॉफ़्टवेयर और नेटवर्क वातावरण को सुरक्षित रखने की ज़िम्मेदारी भी संगठन पर आ जाती है।
किसी सर्वर के समझौते के लिए मॉडल को चकमा देना ज़रूरी नहीं है। AI इंफ्रास्ट्रक्चर को AI-विशिष्ट सुरक्षा उपायों के साथ-साथ सामान्य प्रोडक्शन सुरक्षा भी चाहिए, जैसे सीमित पहुँच, सही ऑथराइज़ेशन, समय पर पैचिंग, निगरानी में रखा गया आउटबाउंड ट्रैफ़िक और परखी हुई रिकवरी।
संदर्भ और आगे पढ़ने के लिए
एडवाइज़री और Lumen रिपोर्ट को 14 October 2026 को खोलकर जाँचा गया। इंडिकेटर सूचियाँ बदलती रहती हैं, इसलिए प्रकाशित वर्तमान संकेतकों का उपयोग करें और ऐतिहासिक सूची को संपूर्ण न मानें।
- Black Lotus Labs: Canto incognito: tracking the PoeLLM malware. Lumen, 2026. प्राथमिक अभियान जाँच, टेलीमेट्री, मैलवेयर विश्लेषण और इंडिकेटर्स ऑफ़ कम्प्रोमाइज़।
- GitHub Security Advisory GHSA-v4p8-mg3p-g94g and CVE-2026-42271. अप्रैल 2026 में प्रकाशित, जून 2026 में अपडेट। LiteLLM का दायरा, संस्करण, गंभीरता, पैच और वर्कअराउंड।
- Gotenberg: Installation guidance. आधिकारिक डिप्लॉयमेंट और एक्सपोज़र मार्गदर्शन।
- Black Lotus Labs: Public threat-intelligence repositories. अतिरिक्त अभियान संकेतक, जिनमें PoeLLM इंडिकेटर फ़ाइल शामिल है। रिलीज़ के समय सत्यापित करें।