黑客把C2藏进了一首诗

2026年4月以来，一个代号 PoeLLM 的挖矿僵尸网络悄悄吞下3400多台服务器。它没有炫技的0day，C2地址竟然藏在一首发布在 GitHub 上的诗里。同期，假 Zoom 安装包与 Star Blizzard 的新钓鱼战术也在各自迭代。三条线索指向同一个判断：攻击者正在把我们的信任链，整体改造成他们的基础设施。

🔍 一句诗，成了3400台服务器的"遥控器"

最优雅的C2，往往长得最无害。

从事后复盘看， PoeLLM 最让应急人员头疼的不是入侵本身，而是"打不死"。封禁了已知C2地址，失陷主机隔天又能恢复通信——直到有人注意到，恶意代码会去读取 GitHub 上的一首诗，并从诗中解析出C2服务器地址。

这解释了活动的持久性。数据层面，这是一次体量不小的战役：自2026年4月起活跃，累计攻陷超过3400台服务器，失陷主机主要运行 LiteLLM、Ollama、Gotenberg 与 Gitea——清一色是暴露在公网上的自托管AI与开发组件。攻击目的也很直白：部署加密货币挖矿程序，同时把主机纳入僵尸网络持续扩容。

攻击链条本身并不复杂，复杂的是"最后一公里"的C2设计：

产业逻辑在于：借道合法平台做C2不是新招，但"诗句"这种载体是明确的信号——攻击者在针对IOC（失陷指标）机制做对抗设计。任何静态黑名单对这种动态寻址都会失效，防御方只有两个选择：要么管住出站流量的行为基线，要么盯着进程链异常。这也预示着，单纯堆威胁情报订阅的防御时代，正在过去。

🤖 AI基建，新的无人看守机房

企业部署AI的速度，远远跑赢加固它的速度。

设想一个典型场景：某个业务团队周五用一行命令装好 Ollama 跑本地大模型，周一早上，推理接口已经带着默认配置裸奔在公网。没有认证、监听所有网卡——这在 LiteLLM 这类LLM代理网关、以及 Gotenberg、Gitea 这类自托管工具上同样常见。 PoeLLM 的受害者画像高度一致，不是巧合，而是这类组件的通病：部署门槛极低、默认配置宽松、又偏偏挂在算力最好的机器上。

对攻击者来说，这是一笔划算的买卖。GPU服务器既是挖矿的优质算力，又是僵尸网络的高带宽节点，一台机器双重变现。这也是为什么这场活动能扫到3400多台——攻击不需要精致，只需要规模化。

行业里私下流传的一个判断是：AI组件的公网暴露面，过去一年的扩张速度远超传统中间件，而安全投入的增速完全跟不上。历史在这里押韵——十年前未授权访问的 Redis、Hadoop 被批量挂矿，今天的 Ollama 和 LiteLLM 只是把同一剧本搬到了GPU上。区别在于价值密度更高：这些机器背后连着企业最核心的模型资产和数据。

因此可以推演，针对LLM基础设施的攻击不会停在挖矿。接下来的升级路径大概率是：从算力窃取，到通过LLM网关窃取上下文数据，再到对模型资产本身的勒索。挖矿，只是探路者。

🎣 诱饵换了：假Zoom与RedFlick

钓鱼攻击的核心资产，从来不是漏洞，而是信任。

macOS侧出现的新威胁 CloudSyncD 把这一点演绎得很清楚：它伪装成 Zoom 安装包，诱骗用户输入Mac密码，随后加载两阶段后门。选 Zoom 做外壳是精明的——视频会议软件是几乎所有职场人每天都要装、看到弹窗毫不设防的"信任品"。用户以为自己在装会议工具，实际把管理员凭据亲手交了出去。

另一个值得玩味的转向来自 Star Blizzard。这个针对乌克兰关联目标（NGO、智库、记者）的APT组织，放弃了曾大量使用的 ClickFix 手法，改用被称作"RedFlick"的新战术投递 CosmicPulse 后门。

手法演进的脉络大致是一条这样的线：

• ClickFix钓鱼兴起：诱导用户"自己动手"执行恶意命令，一度高效
• 被防御方广泛监测：EDR厂商将其特征化，成功率下滑
• Star Blizzard 转向 RedFlick：换一套交互逻辑，继续收割同类目标

APT放弃仍然"有效"的战术，通常说明两件事：老战术已被防御方看穿，以及目标人群已经被安全意识教育过一轮。攻击与防御的成本曲线，就这样互相推高。但对绝大多数普通企业而言，假安装包仍是性价比最高的入侵入口——毕竟不是每家公司都能识别一个以假乱真的 Zoom 安装器。

📊 三场战役，同一个剧本

把三个看似无关的攻击活动放在一起，模式就自己浮出来了。

如果按攻击者视角给这几类目标定位，格局会更清晰：

三场活动的共同点一目了然：没有一个依赖0day，全都在借用"可信外壳"—— GitHub 上的诗、 Zoom 的安装界面、看起来正常的钓鱼页面。这是攻击者经济学的胜利：让防御方最信任的资产，变成攻击面本身。对防御方的启示也很直接——信任链上的每一个环节，无论是代码托管平台、软件安装包还是邮件附件，都需要独立验证，而不是默认可信。

🛡️ 防御：三件先做先赢的事

安全不是买来的，是配置出来的。

落到一线实操，优先级并不复杂。第一，🧭 清点资产： Ollama、LiteLLM、Gitea 这些端口到底有多少暴露在公网，多数企业自己都答不上来。第二，🖥️ 盯住GPU主机：进程、网络连接、CPU基线，挖矿木马的痕迹并不难发现，难的是有人持续在看。第三，💻 macOS终端别再当"安全洼地"：管理员密码分级使用，安装来源强制校验。

据多位接近应急响应一线的人士观察，多数AI相关失陷事件根因排查到最后，都是一两个默认配置没改。这不好听，但这就是现实。

PoeLLM 把C2写进诗里，CloudSyncD 把后门塞进假 Zoom，Star Blizzard 用 RedFlick 换掉 ClickFix——三个故事，一个主题：攻击者正在系统性收割我们的信任链与配置债。可以预见，随着AI基建持续扩张，这类攻击只会更精准、更规模化。防御的答案不在新的厂商和产品里，而在最朴素的三件事上：收敛暴露面、管住出站行为、重新审视每一个"默认可信"。