[해외보안뉴스] PoeLLM 악성코드, AI 서버 3,400대 이상 감염시켜 암호화폐 채굴 봇넷 확장
· 2026-10-07 21:00
· 조회 13
· 원문 ↗
최근 보안 연구진이 외부 인터넷에 노출된 인공지능(AI) 및 대규모 언어 모델(LLM) 인프라를 표적으로 삼는 새로운 악성코드 'PoeLLM'을 발견하여 경고했습니다. 'Canto Incognito'로 명명된 이 금전적 목적의 사이버 공격 캠페인은 피해 서버에 암호화폐 채굴 프로그램을 배포하고 봇넷의 규모를 확장하는 데 주력하고 있습니다.
이번 공격으로 현재까지 3,400대 이상의 서버가 감염된 것으로 확인되었습니다. AI 및 LLM 인프라는 고성능 CPU와 GPU 자원을 대량으로 사용하기 때문에, 암호화폐 채굴 연산 자원을 노리는 사이버 범죄자들에게 매우 매력적인 공격 대상이 되고 있습니다.
공격자들은 보안 설정이 미흡하거나 인증 절차 없이 외부에 노출된 AI 프레임워크, 관리 인터페이스 및 API 엔드포인트를 주요 침투 경로로 악용하고 있습니다. 일단 시스템에 침투하면 암호화폐 채굴 스크립트를 설치 및 실행하여 서버 자원을 무단 점유하고 봇넷 네트워크에 포함시킵니다.
이러한 피해를 예방하기 위해 AI 및 LLM 시스템을 운영하는 조직은 외부로 노출된 엔드포인트와 API에 대해 엄격한 접근 제어 및 강력한 인증 메커니즘을 적용해야 합니다. 또한, 네트워크 방화벽 설정을 재점검하여 불필요한 인터넷 노출을 차단하고, 서버의 CPU/GPU 사용량을 지속적으로 모니터링하여 비정상적인 자원 소비 징후를 조기에 감지 및 조치해야 합니다.
♥ 추천 0
LLM 인프라를 서둘러 구축하는 과정에서 인증(Auth) 절차 없이 서빙 포트를 외부에 그대로 노출하는 개발·운영상의 허점이 초래한 결과입니다. AI 모델 서빙 인프라는 반드시 Private VPC 내에 격리하고, API Gateway를 통한 엄격한 IAM 인증과 IP 화이트리스팅을 아키텍처 단계에서 강제해야 합니다. 또한 고가의 GPU/CPU 자원이 채굴에 남용되지 않도록 런타임 프로세스 감시 및 비정상 리소스 점유에 대한 실시간 모니터링 시스템을 즉시 구축해야 합니다.
AI 및 LLM 인프라는 고성능 GPU 등 풍부한 연산 자원을 보유하고 있지만, 급격한 도입 과정에서 미인증 API나 포트 노출 같은 기본 설정 오류(Misconfiguration)가 빈번해 공격자에게 매우 매력적인 표적입니다. 이번 캠페인은 외부로 노출된 AI 프레임워크의 허점을 노려 손쉽게 초기 침투(Initial Access)를 달성하고 3,400대 이상의 서버를 보트넷으로 포섭했습니다. 현재는 단순 크립토마이닝에 그치고 있으나, 확보된 제어권을 바탕으로 내부망 침투나 모델 및 데이터 탈취 등 고도화된 2차 공격으로 언제든 야생에서 변모할 수 있어 주의가 필요합니다.
생성형 AI 및 LLM 인프라의 도입이 급증함에 따라, 관리 사각지대에 놓인 AI 서버가 공격자들의 주요 표적이 되어 크립토마이닝과 보트넷 확장에 악용되고 있습니다. 이는 단순한 무단 리소스 점유를 넘어 클라우드 비용 증가와 조직의 보안 거버넌스 공백을 드러내는 심각한 리스크입니다. AI 인프라 역시 일반 IT 자산과 동일한 수준의 엄격한 접근 제어, 취약점 관리, 그리고 '섀도우 AI(Shadow AI)' 탐지 정책을 즉시 강화해야 합니다.