Майнинговая кампания на Hugging Face вернулась через несколько дней после блокировки

Кампания по скрытому майнингу и установке бэкдоров, использующая репозитории моделей Hugging Face, возобновилась всего через несколько дней после блокировки. Самую популярную вредоносную модель скачали более 28 000 раз.

Код выполняется до загрузки модели

Исследователи Pluto Security обнаружили 31 вредоносный репозиторий в семи аккаунтах Hugging Face. Они публиковались двумя волнами начиная с сентября. Модели выдают себя за небольшие тестовые чекпойнты Qwen2 и нацелены на GPU-серверы с самостоятельно развёрнутыми системами инференса, такими как Xinference и GPUStack. С учётом связанных моделей репозитории набрали более 32 000 загрузок. В Pluto уточняют, что речь идёт именно о загрузках, а не о подтверждённых заражениях.

Злоумышленники не прибегают к отравленным весам или эксплойтам pickle. Вместо этого они используют штатную опцию trust_remote_code, которая позволяет модели поставлять собственный код на Python. Если пользователь её включает, этот код запускается сразу при загрузке модели.

Самая скачиваемая модель, MENXIANGYU/qwen2-tiny, вообще не содержала модели. Её код незаметно устанавливает криптомайнер, замаскированный под системный процесс Linux, перезапускает его после завершения и удаляет с машины конкурирующие майнеры. Некоторые версии также открывают обратную оболочку, которая даёт атакующему прямой доступ к серверу.

Возвращение после блокировки

Кампанию удалось обнаружить через тестовый аккаунт: оставленные в нём файлы резервных копий указывали на основные аккаунты злоумышленника. Pluto сообщила о первой волне Hugging Face и китайской платформе ModelScope, и обе удалили аккаунты. Однако уже через несколько дней под новыми именами появилась вторая волна из 19 репозиториев. Спустя считаные часы после нового отчёта оператор опубликовал ещё одну модель со скриптом, способным выйти за пределы контейнера и захватить хост-сервер.

По данным Pluto, репозитории второй волны оставались доступны через восемь дней после жалобы. Число загрузок флагманской модели выросло с 7354 на момент отчёта до 28 412 к 28 октября. Hugging Face в итоге закрыла доступ к ней, но почти идентичная копия htt0118/qwen2-tiny, загруженная 25 октября, на момент публикации всё ещё была доступна. BleepingComputer подтвердил, что она содержит тот же майнер и обратную оболочку.

Чистые проверки, реальные выплаты

Hugging Face проверяет загрузки антивирусом и инструментами партнёров, Protect AI и JFrog. По словам Pluto, они ищут известное вредоносное ПО и небезопасные форматы моделей, но не анализируют, что на самом деле делает Python-код. Флагман второй волны проходил проверку как чистый, хотя JFrog отмечала, что файл с нагрузкой «не является моделью машинного обучения».

Основной кошелёк оператора получил около 5000 долларов в криптовалюте Pearl (PRL). Во время наблюдения девять машин, по всей видимости принадлежащих общему исследовательскому GPU-кластеру, одновременно начали майнить для злоумышленника. Примерно через шесть минут они отключились, что, по мнению Pluto, похоже на действия администратора, завершившего задачи.

Pluto приписывает кампанию финансово мотивированному китайскоязычному оператору. Об этом говорят комментарии в коде на упрощённом китайском, управляющие серверы в Alibaba Cloud и время активности, приходящееся на позднюю ночь по китайскому времени. Всем, кто загружал эти модели с включённой опцией trust_remote_code, рекомендуется считать машину скомпрометированной и сверить её с индикаторами из отчёта. Также следует сменить все учётные данные, к которым она имела доступ. Одного завершения майнера недостаточно: бэкдоры при этом остаются.

Поддельный набор для Solana

В отдельном отчёте Air Security описывает репозиторий SolanaUpdateTools/solana-starter-kit на GitHub. По данным компании, он оказывается первым результатом, когда ИИ-агенты для программирования ищут стартовый набор для Solana. Репозиторий создан в ноябре 2025 года и набрал 286 звёзд. Единственный файл в нём — README, который обещает полноценный шаблон приложения. Этот файл предлагает вставить в командную строку однострочник PowerShell. Команда собирает из фрагментов адрес на домене developer-update[.]app и выполняет загруженный оттуда скрипт в памяти. Агент, выполняющий инструкции из README, может запустить эту команду так, что разработчик её даже не увидит.

Скрипт устанавливает легитимный инструмент удалённого доступа NetSupport Manager, настроенный на скрытое подключение к серверу злоумышленника при каждом входе в систему. Затем он показывает фальшивую ошибку с просьбой «повторить попытку через 72 часа», которую агент вполне может передать пользователю как рядовой сбой. Air связывает схему с известным оператором NetSupport RAT. При проверке адрес нагрузки возвращал ошибку 404, но сам репозиторий на момент публикации оставался доступен.

Источник: Bleeping Computer