Вредоносная кампания на Hugging Face вернулась и майнит криптовалюту на GPU-серверах
Кампания с майнером и бэкдором, которая злоупотребляет моделями на Hugging Face, вернулась через несколько дней после блокировки. Исследователи Pluto Security нашли 31 вредоносный репозиторий, нацеленный на GPU-серверы с Xinference и GPUStack.
Главное в цифрах
- Найдено репозиториев: 31 в семи аккаунтах
- Загрузки главной модели: с 7354 до 28412 к 28 октября
- Заработок кошелька оператора: около $5000 в Pearl (PRL)
Исследователи Pluto Security нашли 31 вредоносный репозиторий в семи аккаунтах на Hugging Face. Они опубликованы двумя волнами, начиная с сентября. Модели выдают себя за небольшие тестовые чекпоинты Qwen2 и нацелены на серверы, где развёрнуты self-hosted инференс-серверы Xinference и GPUStack.
Самая популярная модель, MENXIANGYU/qwen2-tiny, не содержала никаких весов. Её код устанавливал майнер, замаскированный под системный процесс Linux, перезапускал его при остановке и удалял конкурирующие майнеры с машины. Некоторые версии также открывали реверс-шелл, дающий злоумышленнику прямой доступ к заражённому серверу.
Как работает атака
Кампания не использует отравленные веса или уязвимости pickle. Она злоупотребляет опцией Hugging Face trust_remote_code, которая позволяет модели поставлять собственный Python-код. Если пользователь включает эту опцию, код выполняется на его машине сразу при загрузке модели.
По данным Pluto, встроенные антивирусные проверки Hugging Face, а также инструменты Protect AI и JFrog ищут известное вредоносное ПО и небезопасные форматы моделей, но не анализируют, что делает Python-код модели. Вторая волна главной модели прошла проверку, при этом JFrog отметил, что полезная нагрузка была «не моделью машинного обучения».
Масштаб и доход
Загрузки главной модели выросли с 7354 на момент отчёта до 28412 к 28 октября. С учётом связанных моделей репозитории набрали более 32000 загрузок, но Pluto подчёркивает, что это число загрузок, а не подтверждённых заражений.
Hugging Face отключил доступ к модели MENXIANGYU/qwen2-tiny, однако почти идентичная копия, загруженная 25 октября новым аккаунтом htt0118, оставалась доступной. Кошелёк оператора получил около $5000 в криптовалюте Pearl (PRL). Pluto также зафиксировала, что девять машин, похоже относящихся к общему исследовательскому GPU-кластеру, начали майнить для оператора, а примерно через шесть минут перестали, что, по мнению исследователей, соответствует действиям администратора.
Pluto связывает кампанию с финансово мотивированным оператором, говорящим на китайском языке. Пользователям, которые загружали эти модели с включённым trust_remote_code, рекомендуется считать машину скомпрометированной, проверить её по индикаторам из отчёта Pluto и сменить все доступные ей учётные данные. Одно лишь удаление майнера не убирает бэкдоры.
