حذر باحثون في مجال الأمن السيبراني من ظهور عائلة جديدة من البرمجيات الخبيثة تستهدف البنية التحتية المكشوفة للذكاء الاصطناعي والنماذج اللغوية الكبيرة (LLMs)، في حملة واسعة النطاق تهدف إلى استغلال القدرات الحاسوبية لهذه الأنظمة لتعدين العملات المشفرة بشكل غير مشروع، مع توسيع شبكة روبوتية خبيثة تضم آلاف الخوادم المصابة حول العالم.
وأطلقت شركة Lumen Black Lotus Labs على الحملة اسم Canto Incognito، فيما أُطلق على البرمجية الخبيثة المستخدمة اسم PoeLLM، وهي تسمية تعكس إحدى أكثر التقنيات ابتكارًا وغرابة التي استخدمها المهاجمون لإخفاء البنية التشغيلية للهجوم.
وبحسب التحليلات الأمنية، تمكنت الحملة منذ انطلاقها في أبريل 2026 من إصابة ما يزيد على 3400 خادم، مع تركز ملحوظ للضحايا داخل الولايات المتحدة ودول أوروبا الغربية، الأمر الذي يؤكد تنامي اهتمام المهاجمين بالبنية التحتية الخاصة بالذكاء الاصطناعي باعتبارها هدفًا عالي القيمة من الناحيتين التقنية والاقتصادية.
استغلال قدرات الذكاء الاصطناعي لتعدين العملات الرقمية
تشير التحقيقات إلى أن الهدف الرئيسي للمهاجمين يتمثل في استغلال الموارد الحاسوبية الضخمة التي تتمتع بها خوادم الذكاء الاصطناعي، والتي غالبًا ما تعتمد على معالجات ورسوميات متقدمة ذات قدرات معالجة عالية.
وتقوم البرمجية الخبيثة بعد اختراق الأنظمة المستهدفة بتثبيت أدوات تعدين للعملات المشفرة، من بينها XMRig وIron Miner، ثم ربط الأجهزة المصابة بخدمة التعدين الروسية Kryptex، بما يسمح للمهاجمين بتحقيق أرباح مالية مستمرة على حساب موارد الضحايا.
ولا تقتصر العملية على التعدين فقط، إذ يتم تحويل الأنظمة المصابة إلى عناصر نشطة داخل شبكة روبوتية موسعة، بحيث تستخدم لاحقًا لاكتشاف ضحايا جدد وشن مزيد من عمليات الاختراق.
ويعكس هذا النهج تطورًا ملحوظًا في حملات التعدين الخبيث الحديثة، حيث لم تعد الأجهزة المخترقة مجرد مصدر للقوة الحاسوبية، بل أصبحت أدوات هجومية تسهم في نشر العدوى وتوسيع نطاق الشبكة الإجرامية.
قصيدة شعرية على GitHub تخفي خوادم التحكم والسيطرة
ما يميز برمجية PoeLLM عن الكثير من التهديدات التقليدية هو أسلوبها غير المعتاد في إخفاء عنوان خادم القيادة والتحكم (C2).
فبدلًا من تخزين العناوين داخل الشيفرة البرمجية أو الاعتماد على خدمات DNS التقليدية، قام منفذو الحملة بإنشاء مستودع على منصة GitHub ونشر قصيدة شعرية بداخله.
وتقوم البرمجية عند التشغيل بقراءة كلمات محددة من القصيدة واستخلاص مفتاح رياضي منها لاشتقاق عنوان خادم التحكم المطلوب الاتصال به.
وكلما أنشأ المهاجمون خادم قيادة جديدًا، يكتفون بتعديل عدد محدود من الكلمات داخل القصيدة، لتتمكن البرمجية من استخراج العنوان المحدث دون الحاجة إلى تحديث بنيتها البرمجية أو إعادة نشر نسخة جديدة.
ويمثل هذا الأسلوب محاولة متقدمة للتهرب من أدوات التحليل والرصد الأمني، نظرًا لأن البيانات المرتبطة بالبنية التحتية للهجوم لا تظهر بصورة مباشرة داخل العينات البرمجية نفسها.
خوادم الذكاء الاصطناعي في مقدمة الأهداف
أظهرت البيانات أن المهاجمين ركزوا بشكل خاص على الخدمات المؤسسية المكشوفة للإنترنت، وخاصة تلك المرتبطة بتطبيقات الذكاء الاصطناعي وإدارة النماذج اللغوية.
ومن بين أبرز الأهداف التي رصدتها الشركة الأمنية منصات LiteLLM وGotenberg، إلى جانب أنظمة Gitea وأجهزة Ivanti Sentry المتصلة بالشبكات العامة.
ويرى الباحثون أن اختيار هذه الأهداف لم يكن عشوائيًا، بل جاء نتيجة امتلاكها موارد حوسبية كبيرة يمكن استغلالها في عمليات التعدين، فضلًا عن احتوائها على بيانات قد تكون ذات قيمة استخباراتية للمهاجمين.
كما كشفت المؤشرات أن الحملة شهدت ذروة نشاطها خلال منتصف يونيو 2026، حيث بلغ عدد الخوادم المتضررة آنذاك نحو 2200 خادم، مع تسجيل قرابة 800 خادم نشط يوميًا ضمن الشبكة الخبيثة.
تحويل الضحايا إلى أدوات هجوم ونشر العدوى
تعتمد PoeLLM على استراتيجية توسع ذاتية تجعل من كل ضحية محتملة أداة لاختراق ضحايا آخرين.
فبعد السيطرة على الخادم المستهدف، يجري توظيفه للبحث عبر الإنترنت عن أنظمة مشابهة تعاني من نقاط ضعف أو منافذ مكشوفة.
وعند العثور على هدف جديد، يقوم الخادم المصاب بإرسال طلبات HTTP مهيأة خصيصًا لإجبار النظام المستهدف على تنزيل البرمجية الخبيثة مباشرة من خادم التحكم والسيطرة.
ويمنح هذا الأسلوب المهاجمين قدرة على توسيع نطاق الهجوم بصورة تلقائية، دون الحاجة إلى إدارة كل عملية اختراق بشكل منفصل.
كما رصد الباحثون مؤشرات إضافية توحي بأن منفذي الحملة يجرون تجارب على تنفيذ هجمات تخمين كلمات المرور الموزعة ضد خدمات SSH وبوابات تسجيل الدخول المختلفة، وإن كان مستوى نضج هذه القدرات الهجومية لا يزال غير واضح حتى الآن.
دلائل تشير إلى مهاجمين ناطقين بالإيطالية
اعتمدت شركة Lumen في عملية الإسناد على مجموعة من الأدلة الفنية والتحليلية التي تشير، بدرجة ثقة متوسطة، إلى أن منفذي الحملة يتحدثون اللغة الإيطالية.
واستند هذا التقييم إلى وجود آثار لغوية داخل بعض مكونات البنية الهجومية، إلى جانب أنماط اتصال وتحليل تدفقات الشبكات المرتبطة بالحملة.
ويبدو أن الهدف النهائي للمجموعة يتمثل في استغلال الثغرات المعروفة داخل الخدمات المكشوفة على الإنترنت، ثم ضم الأنظمة المخترقة إلى شبكة تعدين مركزية وتحويل جزء منها إلى منصات استكشاف واختراق لاجتذاب مزيد من الضحايا.
وتحذر الأوساط الأمنية من أن البنية التحتية الخاصة بالذكاء الاصطناعي أصبحت تمثل هدفًا متزايد الجاذبية للمجرمين السيبرانيين، ليس فقط بسبب الثغرات المحتملة في البرمجيات المستخدمة، بل أيضًا لأن هذه الأنظمة غالبًا ما تحتوي على بيانات حساسة وتعمل فوق تجهيزات حاسوبية عالية الأداء يمكن استغلالها لتحقيق عوائد مالية كبيرة من عمليات التعدين غير المشروع.
