Злоумышленники вернули на Hugging Face модели с майнерами и бэкдорами

Злоумышленники вернули на Hugging Face вредоносные модели через несколько дней после удаления их репозиториев. Pluto Security обнаружила 31 такой репозиторий в семи аккаунтах; приманки выдавали за небольшие тестовые модели Qwen2.

Самый популярный репозиторий MENXIANGYU/qwen2-tiny к 28 октября набрал 28 412 скачиваний, хотя настоящей модели в нём вообще не было. По данным исследователей, проверки Hugging Face не обнаружили угроз. Скачивания не означают подтверждённые заражения.

Атака рассчитана на GPU-серверы с самостоятельно развёрнутыми системами запуска моделей, такими как Xinference и GPUStack. Она требует включённого параметра trust_remote_code, который разрешает выполнять Python-код из репозитория при загрузке модели. Код устанавливает майнер, а некоторые версии также дают злоумышленнику удалённый доступ к серверу. В отдельной модели, опубликованной после повторной жалобы исследователей, появился скрипт, способный выйти из контейнера и захватить сервер.

Hugging Face закрыла доступ к самому популярному репозиторию, но его почти идентичная копия в аккаунте htt0118 оставалась доступна 29 октября. BleepingComputer подтвердило, что копия содержит тот же майнер и бэкдор.

Pluto рекомендует считать машину скомпрометированной, если на ней загружали эти модели с включённым trust_remote_code. Её следует проверить по индикаторам из отчёта исследователей и сменить все учётные данные, к которым она имела доступ. Простая остановка майнера не удаляет бэкдоры.