کمپین بدافزار Hugging Face برای ربودن پردازنده‌های گرافیکی برای استخراج کریپتو بازمی‌گردد

یک کمپین رمزنگاری و درپشتی که از مخازن مدل Hugging Face سوء استفاده می‌کند، چند روز پس از حذف دوباره بازگشت.

محبوب ترین مدل مخرب آن بیش از 28000 بار دانلود شده است.

به طور جداگانه، محققان یک کیت استارت جعلی Solana را در GitHub، به صورت زنده از اواخر سال 2025، نشان دادند که برای فریب عوامل کدنویسی هوش مصنوعی برای نصب یک تروجان دسترسی از راه دور قرار دارد.

محققان Pluto Security 31 مخزن مخرب را در هفت حساب کاربری Hugging Face پیدا کردند که از سپتامبر در دو موج منتشر شده است.

این مدل ها به عنوان ایست های بازرسی کوچک Qwen2 ظاهر می شوند. آنها میزبان های GPU را هدف قرار می دهند که سرورهای استنتاج خود میزبانی شده مانند Xinference و GPUStack را اجرا می کنند.

با مدل‌های پیوندی گنجانده شده، مخازن بیش از 32000 دانلود دارند. پلوتون خاطرنشان می کند که این تعداد بارگیری ها را محاسبه می کند، نه عفونت های تایید شده.

به جای استفاده از وزنه های مسموم یا سوء استفاده از ترشی، این کمپین از گزینه Hugging Face، trust_remote_code سوء استفاده می کند، که به مدل اجازه می دهد کد پایتون خود را ارسال کند. وقتی کاربر آن را فعال می کند، به محض بارگیری مدل، آن کد روی دستگاه او اجرا می شود.

مدلی که بیشترین دانلود را داشت، MENXIANGYU/qwen2-tiny، اصلا مدل واقعی نداشت. کد آن بی سر و صدا یک ماینر ارز دیجیتال را نصب می کند که به عنوان یک فرآیند سیستم لینوکس پنهان شده است، در صورت کشته شدن آن را دوباره راه اندازی می کند و ماینرهای رقیب را از دستگاه حذف می کند.

برخی از نسخه ها نیز پوسته معکوس را باز می کنند و به مهاجم دسترسی مستقیم به سرور آلوده را می دهد.

پلوتو این کمپین را از طریق یک حساب آزمایشی پیدا کرد که فایل های پشتیبان باقی مانده آن به حساب های اصلی مهاجم اشاره می کرد. موج اول را به Hugging Face و China's ModelScope گزارش کرد و هر دو اکانت ها را حذف کردند.

موج دوم 19 مخزن طی چند روز تحت حساب های جدید ظاهر شد.

ساعاتی پس از گزارش پلوتو، اپراتور مدل دیگری را با اسکریپتی منتشر کرد که می تواند از یک ظرف خارج شود و سرور زیر آن را تحت کنترل خود درآورد.

پلوتو می گوید که مخازن موج دوم هشت روز پس از گزارش آنها هنوز زنده بودند. تعداد دانلودهای مدل پرچمدار از 7354 در زمان گزارش به 28412 تا 28 اکتبر افزایش یافت.

در زمان نگارش، Hugging Face دسترسی به آن مدل را غیرفعال کرده است. یک کپی تقریبا یکسان که در 25 اکتبر توسط یک حساب جدیدتر، htt0118 آپلود شد، هنوز زنده است و BleepingComputer تأیید کرد که حاوی همان ماینر و پوسته معکوس است:

Hugging Face آپلودها را با آنتی ویروس و ابزارهای شریک Protect AI و JFrog اسکن می کند. پلوتو می‌گوید که اینها به دنبال بدافزارهای شناخته‌شده و قالب‌های مدل ناامن هستند، نه آنچه که کد پایتون یک مدل واقعا انجام می‌دهد.

محققان گفتند: «پرچمدار موج دوم در حالی که 28412 بار دانلود را جمع آوری کرد، اسکن شد.

در حالی که محققان تماشا می کردند، 9 دستگاه که به نظر می رسد متعلق به یک خوشه GPU تحقیقاتی مشترک هستند، به یکباره استخراج را برای اپراتور آغاز کردند.

آن‌ها حدود شش دقیقه بعد پیاده شدند، که پلوتون می‌گوید برای مدیری که کار را می‌کشد مناسب است.

پلوتون این کمپین را به یک اپراتور چینی زبان با انگیزه مالی نسبت می دهد. به نظرات کد چینی ساده شده، سرورهای فرمان و کنترل در Alibaba Cloud و زمان‌های فعالیتی که در اواخر شب در چین می‌افتد اشاره می‌کند.

هرکسی که این مدل‌ها را با فعال کردن trust_remote_code بارگیری کرده است، باید دستگاه را به‌عنوان در معرض خطر تلقی کند، آن را با شاخص‌های گزارش پلوتون بررسی کند و هر اعتباری را که می‌تواند به آن برسد بچرخاند. کشتن ماینر به تنهایی درهای پشتی را از بین نمی برد.

در گزارش جداگانه‌ای، Air Security یک مخزن GitHub، SolanaUpdateTools/solana-Starter-Kit را توصیف می‌کند، که می‌گوید هنگامی که عوامل کدنویسی هوش مصنوعی به دنبال کیت استارتر Solana می‌گردند، به عنوان بهترین نتیجه قرار می‌گیرد.

عاملی که مخزن را انتخاب می کند و README آن را دنبال می کند می تواند دستور مهاجم را بدون اینکه توسعه دهنده آن را ببیند اجرا کند.

این مخزن در نوامبر 2025 ایجاد شد و دارای 286 ستاره است. README آن یک الگوی کامل برنامه Solana را وعده می دهد، اما هیچ کدام از آن کدها وجود ندارد و README تنها فایل موجود در مخزن است:

تنها مرحله "نصب" README به کاربران می گوید که یک خط PowerShell را در یک خط فرمان قرار دهند. فرمان فقط ویندوز یک URL را در برنامه developer-update[.] از قطعات جمع می کند، سپس یک اسکریپت را از آن در حافظه واکشی و اجرا می کند.

BleepingComputer محموله بایگانی شده را از ماشین Wayback در اینترنت آرشیو به دست آورد و یافته های Air را تایید کرد.

بارگذاری، NetSupport Manager را نصب می‌کند، یک ابزار دسترسی از راه دور قانونی، که برای اتصال به maxwintodaybtc[.]com پیکربندی شده است و در هر ورود به سیستم، کنترل مخفی دستگاه را به مهاجم می‌دهد.

سپس اسکریپت یک خطای جعلی را نشان می‌دهد که می‌گوید «عملکرد برنامه‌نویس به‌دلیل بارگیری موقتا متوقف شده است» و «72 ساعت دیگر دوباره امتحان کنید» که یک عامل به راحتی می‌تواند به‌عنوان یک مشکل معمول سرور ارسال کند.

Air این راه‌اندازی را به یک اپراتور RAT شناخته‌شده NetSupport که توسط eSentire ردیابی می‌شد و به کمپین قبلی که معامله‌گران رمزارز را با ابزارهای جعلی TradingView «سیگنال AI» جذب می‌کرد، مرتبط کرد.

وقتی Air چک کرد URL محموله یک 404 برگرداند. در زمان نگارش، مخزن هنوز در GitHub فعال بود.

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

خط لوله انتشار LiteLLM برای توزیع بدافزار دزد اطلاعات هک شد

OVHcloud CLI به صورت پشتی در GitHub منتشر می شود تا اسرار توسعه دهندگان را بدزدد

بدافزار PoeLLM سرورهای AI در معرض حملات رمزنگاری را آلوده می کند

اقدامات GitHub با بارگیری Mini Shai-Hulud که هنوز فعال است دوباره فعال شد

مخازن جعلی LastPass Authenticator GitHub، اطلاعات جدید Rapuncel را تحت فشار قرار می دهد.