挖矿木马用“诗歌”隐藏控制服务器地址：Canto Incognito已感染超3400台服务器
网络安全研究人员近日披露了一轮代号 “Canto Incognito”（隐秘诗章）的挖矿木马攻击行动。自今年4月起被持续追踪以来，已有 超过3400台服务器 中招，而这款恶意软件隐藏命令与控制（C2）服务器地址的手法极为罕见——它把地址藏进了托管在内容平台上的“诗篇”之中。
另类的隐蔽手法
与传统挖矿木马直接把 C2 地址硬编码进代码不同，这款名为 PoeLLM 的恶意软件另辟蹊径。研究人员发现，攻击者将新的服务器地址编码进托管在不同内容平台上的诗歌文本中，木马通过抓取并解析这些“诗篇”来动态获得最新的指挥与控制地址。
这种手法的精妙之处在于它的“正常”：诗歌文本在内容平台上大量存在，被收录、被浏览都十分自然，很难触发基于已知恶意域名的告警。对于安全团队而言，这大大增加了封堵难度，因为威胁指挥链随时可能“诗意地”转移。
借助生成式AI来加码
更值得注意的是，攻击者还引入了生成式人工智能（AIGC） 技术来制造这些隐藏载体。自动化生成的诗歌不仅产量高、风格多变，而且几乎可以无限量地推送新地址，让挖矿木马的 C2 基础设施保持高度弹性与难追踪性。这也再次证明，AI 工具正在被网络犯罪者快速武器化，成为一种新的攻击加速器。
对被感染服务器的影响
一旦服务器被 PoeLLM 感染，攻击者即可将其纳入挖矿僵尸网络，利用受害主机的 CPU/GPU 算力持续挖掘加密货币，不仅造成电费与算力资源被非法占用，还可能带来数据泄露、横向渗透等二次风险。对于 IDC 机房、云服务器与自建机房的运维方而言，这轮木马尤其需要警惕。
防御建议
针对此类隐蔽型挖矿木马，安全专家建议运维人员：
- 及时为操作系统与应用打上安全补丁，收缩暴露面。
- 部署行为分析与异常流量检测，关注非预期的高CPU/GPU占用。
- 加强外呼连接的管控与白名单策略，阻断可疑的 C2 通信。
- 定期审计已安装的软件与计划任务，移除可疑进程与持久化项。
小结
“Canto Incognito”用诗歌承载恶意指令，堪称攻击手法的一次“文艺化”创新，也折射出网络犯罪与生成式AI结合的新趋势。面对日益狡诈、越来越善于伪装的高级威胁，安全防护不能只停留在签名比对与已知特征，更需要在行为分析、AI对抗与纵深防御层面持续投入，才能有效守护企业与云上的每一台服务器。
本文内容基于公开网络资讯整理