Beveiligingsbedrijf Pluto Security heeft op Hugging Face 31 kwaadaardige modellen gevonden, verdeeld over zeven accounts, die servers met zware GPU’s omzetten in cryptominers. De modellen deden zich voor als kleine testversies van Qwen2 en verschenen in twee golven sinds september. Pluto ontdekte de campagne via een eigen testaccount waarvan achtergebleven backupbestanden naar de hoofdaccounts van de aanvaller verwezen.
Doelwit waren GPU-hosts die zelfgehoste inferentieservers draaien, zoals Xinference en GPUStack. De aanvallers misbruikten de instelling trust_remote_code, waarmee een model eigen Python-code meelevert die automatisch draait zodra iemand het model laadt. Er was dus geen sprake van vergiftigde modelgewichten of een pickle-exploit: de code zelf was het probleem. Het meest gedownloade model, qwen2-tiny van account MENXIANGYU, bevatte helemaal geen echt taalmodel. In plaats daarvan installeerde het een cryptominer die zich voordeed als een gewoon Linux-systeemproces, zichzelf herstartte als iemand hem stopte en concurrerende miners van de machine verwijderde. Sommige versies openden ook een reverse shell, waarmee de aanvaller direct bij de server kon.
Het vlaggenschipmodel ging van 7.354 downloads bij de eerste melding naar 28.412 op 28 oktober. Meegeteld met gelinkte modellen kwam de hele campagne boven de 32.000 downloads uit, al benadrukt Pluto dat dit downloadcijfers zijn en geen bevestigde infecties.
Na de melding van Pluto verwijderden Hugging Face en het Chinese ModelScope de eerste golf accounts. Binnen enkele dagen stonden er onder nieuwe accounts al negentien nieuwe kwaadaardige repositories online, en acht dagen na de melding waren die nog altijd niet weggehaald. Uren na die eerste melding publiceerde de aanvaller zelfs een model met een script dat uit een container kan ontsnappen om de onderliggende server over te nemen. Hugging Face had het hoofdmodel inmiddels offline gehaald, maar een vrijwel identieke kopie van 25 oktober, geüpload door het nieuwere account htt0118, stond nog online. BleepingComputer bevestigde dat die dezelfde miner en reverse shell bevatte.
Hugging Face scant uploads met antivirus en de partnertools van Protect AI en JFrog, maar die zoeken vooral naar bekende malware en onveilige modelformaten, niet naar wat de meegeleverde Python-code daadwerkelijk doet. Daardoor kwam het vlaggenschipmodel van de tweede golf gewoon schoon uit de scans, ondanks de 28.412 downloads. Volgens Pluto ontving de hoofdportemonnee van de operator ongeveer 5.000 dollar in de cryptomunt Pearl (PRL) en bleef die actief op miningpools, ook nadat de repositories al verwijderd waren. Het bedrijf schrijft de campagne toe aan een financieel gemotiveerde, Chinees sprekende operator, op basis van Chinese code-commentaren, command-and-controlservers bij Alibaba Cloud en activiteit die past bij avonduren in China.
Wie zelfgehoste modellen draait en ooit trust_remote_code heeft aangezet voor een model uit deze campagne, moet die machine als gecompromitteerd beschouwen. Het verwijderen van de miner alleen is niet genoeg: eventuele backdoors en reverse shells blijven dan actief. Controleer logs op onbekende processen en uitgaand verkeer naar onbekende adressen, en roteer alle inloggegevens die op die machine bereikbaar waren. Voor bedrijven die experimenteren met open-source AI-modellen is dit een goede reden om trust_remote_code standaard uit te zetten en nieuwe modellen alleen in een geïsoleerde omgeving te testen.
Bron: BleepingComputer
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.