Fałszywe repozytorium OpenAI na Hugging Face rozsiewało infostealera. Jak się chronić?
Złośliwe repozytorium podszywające się pod OpenAI trafiło na szczyt listy trendów Hugging Face i zostało pobrane 244 tysiące razy. Eksperci ostrzegają przed kampanią, która dostarcza malware kradnące dane logowania, portfele kryptowalut i sesje przeglądarek.
Na platformie Hugging Face, służącej do udostępniania modeli sztucznej inteligencji, odkryto złośliwe repozytorium podszywające się pod projekt OpenAI. Repozytorium o nazwie Open-OSS/privacy-filter przez krótki czas znajdowało się na pierwszym miejscu listy trendów i zostało pobrane 244 tysiące razy, zanim platforma zareagowała na zgłoszenia i usunęła je.
Jak działało złośliwe repozytorium?
Jak opisują badacze z HiddenLayer, repozytorium stosowało technikę typosquattingu – celowo zniekształcona nazwa miała imitować oficjalny projekt OpenAI Privacy Filter. Atakujący skopiowali opis oryginalnego modelu niemal dosłownie, a w repozytorium umieścili plik loader.py, który na pierwszy rzut oka zawierał nieszkodliwy kod związany z AI.
W rzeczywistości skrypt wyłączał weryfikację SSL, dekodował adres URL zakodowany w base64, a następnie pobierał i wykonywał ładunek JSON zawierający polecenie PowerShell. Polecenie to uruchamiało w niewidocznym oknie skrypt pobierający plik start.bat, który eskalował uprawnienia, ściągał końcowe złośliwe oprogramowanie i dodawał je do wyjątków Microsoft Defender, by uniknąć wykrycia.
Co kradnie malware i kogo dotyczy zagrożenie?
Końcowym ładunkiem jest infostealer napisany w języku Rust. Jak wynika z analizy HiddenLayer, malware celuje w:
- dane przeglądarek opartych na Chromium i Gecko – zapisane hasła, ciasteczka, klucze szyfrowania, tokeny sesji,
- tokeny Discorda, lokalne bazy danych i klucze główne,
- portfele kryptowalut i rozszerzenia do portfeli w przeglądarce,
- dane logowania do SSH, FTP i VPN, w tym konfiguracje FileZilli,
- lokalne pliki, ziarna portfeli, zrzuty ekranu i informacje o systemie.
Skradzione dane są kompresowane i wysyłane na serwer C2 (command-and-control) pod adresem recargapopular[.]com. Badacze podkreślają, że malware zawiera rozbudowane mechanizmy anty-analityczne – sprawdza, czy działa w maszynie wirtualnej, piaskownicy lub pod debuggerem, co utrudnia jego analizę.
Kto jest zagrożony i jak reagować?
Dokładna liczba ofiar nie jest znana. HiddenLayer zauważa, że 667 kont, które polubiły repozytorium, w większości wygląda na automatycznie wygenerowane, a liczba 244 tysięcy pobrań mogła zostać sztucznie zawyżona. Mimo to każda osoba, która pobrała pliki z tego repozytorium, powinna podjąć natychmiastowe działania.
Eksperci zalecają: sformatowanie dysku i ponowna instalacja systemu, zmiana wszystkich haseł przechowywanych w przeglądarce, unieważnienie tokenów sesji i ciasteczek, a także wymiana portfeli kryptowalut i fraz seed. W przypadku wykrycia infekcji warto również sprawdzić, czy malware nie zdążył wykraść danych logowania do firmowych systemów.
To nie pierwszy przypadek nadużycia platformy Hugging Face do dystrybucji złośliwego oprogramowania. Użytkownicy powinni zachować szczególną ostrożność przy pobieraniu modeli i skryptów, nawet jeśli repozytorium znajduje się wysoko w rankingach. Weryfikacja wydawcy, czytanie komentarzy i sprawdzanie daty publikacji to podstawowe nawyki, które mogą uchronić przed infekcją.
