یک کمپین بدافزاری و ایجاد دسترسی‌های غیرمجاز (Backdoor) که از مخازن مدل در پلتفرم Hugging Face سوءاستفاده می‌کند، تنها چند روز پس از مسدود شدن، دوباره فعال شده است. تحقیقات انجام شده توسط Pluto Security نشان می‌دهد که این حملات با هدف قرار دادن میزبان‌های GPU که از سرورهای استنتاج (Inference Servers) مانند Xinference و GPUStack استفاده می‌کنند، انجام می‌شود.
برخلاف روش‌های سنتی که از وزن‌های مسموم (Poisoned Weights) یا اکسپلویت‌های Pickle استفاده می‌کنند، این کمپین از قابلیت trust_remote_code در Hugging Face سوءاستفاده می‌کند. این ویژگی به مدل اجازه می‌دهد تا کد پایتون (Python) خود را همراه داشته باشد؛ در نتیجه، زمانی که کاربر این قابلیت را فعال می‌کند، کد مخرب بلافاصله پس از بارگذاری مدل، روی سیستم اجرا می‌شود.
جزئیات فنی و رفتار بدافزار
- استخراج رمزارز: محبوب‌ترین مدل مخرب که بیش از ۲۸,۰۰۰ بار دانلود شده، کدی را اجرا می‌کند که یک استخراج‌کننده رمزارز (Cryptominer) را به صورت یک فرآیند سیستمی در لینوکس نصب می‌کند. این بدافزار در صورت بسته شدن، دوباره اجرا شده و سایر استخراج‌کننده‌های موجود در سیستم را حذف می‌کند.
- ایجاد دسترسی (Reverse Shell): برخی نسخه‌ها یک Reverse Shell باز می‌کنند که به مهاجم اجازه می‌دهد دسترسی مستقیم به سرور سرایت (Infection) یافته را داشته باشد.
- تکنیک فرار از کانتینر: نسخه‌های جدیدتر حاوی اسکریپت‌هایی هستند که می‌توانند از کانتینر خارج شده و کنترل کامل سرور میزبان را به دست بگیرند.
تحلیل‌ها نشان می‌دهد که این عملیات توسط یک عامل تهدید (Threat Actor) با انگیزه‌های مالی و با زبان چینی هدایت می‌شود. شواهد موجود شامل کامنت‌های کد به زبان چینی ساده، استفاده از سرورهای فرماندهی و کنترل (C2) در Alibaba Cloud و زمان فعالیت مهاجمان با منطقه زمانی چین مطابقت دارد.
هشدار امنیتی برای مدیران SOC و CISO
هر کاربری که این مدل‌ها را با فعال بودن گزینه trust_remote_code بارگذاری کرده است، باید سیستم خود را کاملاً آلوده فرض کند. صرفاً بستن فرآیند استخراج‌کننده رمزارز کافی نیست، زیرا دسترسی‌های پشتی (Backdoors) همچنان فعال می‌مانند. توصیه می‌شود تمامی اعتبارنامه‌ها (Credentials) در سیستم‌های تحت تأثیر تغییر یافته و سیستم‌ها بر اساس شاخص‌های آلودگی (IoCs) بازرسی شوند.
در گزارش‌های جداگانه، شناسایی یک مخزن جعلی در GitHub نیز گزارش شده که با هدف فریب دادن عوامل کدنویسی هوش مصنوعی (AI Coding Agents) برای نصب یک تروجان دسترسی از راه دور (RAT) طراحی شده است.
