Fake OpenAI repository on Hugging Face pushes infostealer malware

同プラットフォームのトレンドリストに掲載された悪質なHugging Faceリポジトリが、OpenAIの “Privacy Filter “プロジェクトになりすまし、情報を盗むマルウェアをWindowsユーザーに配信していた。

このリポジトリはHugging Faceで一時1位になり、244,000のダウンロードを記録しましたが、プラットフォームが報告を受けて削除しました。

Hugging Faceプラットフォームは、開発者や研究者がAIモデル、データセット、機械学習（ML）ツールを共有することを可能にする。モデルは、ウェイトファイル、コンフィギュレーション、コードで構成される、プラットフォーム上でホストされる事前訓練されたAIシステムである。

AIとMLモデルを攻撃から保護することに重点を置いているHiddenLayer社の研究者は、5月7日にOpen-OSS/privacy-filterという悪意のあるリポジトリに気づいた後、このキャンペーンを発見した。

「このリポジトリは、OpenAIの正規のPrivacy Filterリリースをtyposquattし、そのモデルカードをほぼそのままコピーし、Windowsマシン上でinfostealerマルウェアをフェッチして実行するloader.pyファイルを出荷していました」と研究者は説明する。

Instructions from the malicious repository
悪意のあるリポジトリからの指示
Source：HiddenLayer

loader.py」Pythonスクリプトには、無害に見えるように偽のAI関連コードが含まれていましたが、バックグラウンドでSSL認証を無効にし、外部リソースを指すbase64 URLをデコードし、PowerShellコマンドを含むJSONペイロードをフェッチして実行しました。

このコマンドは不可視のウィンドウで実行され、特権昇格を実行するバッチファイル（start.bat）をダウンロードし、最終的なペイロード（sefirah）をダウンロードし、Microsoft Defenderの除外対象に追加して実行します。

最終的なペイロードは、以下の機密データをターゲットとするRustベースのインフォステーラーです：

  • ChromiumおよびGeckoベースのブラウザのブラウザデータ（例：クッキー、保存されたパスワード、暗号化キー、ブラウジングデータ、セッショントークン）
  • Discord トークン、ローカル・データベース、マスター・キー
  • 暗号通貨ウォレットとウォレットブラウザ拡張機能
  • FileZillaを含むSSH、FTP、VPNの認証情報および設定ファイル
  • 機密性の高いローカルファイルとウォレットのシード/キー
  • システム情報
  • マルチモニターのスクリーンショット

盗まれたデータは圧縮され、recargapopular[.]comのコマンド＆コントロール（C2）サーバーに流出します。

HiddenLayerは、仮想マシン、サンドボックス、デバッガ、解析ツールのチェックを含む、このマルウェアの広範なアンチ解析機能を強調しており、これらはすべて解析システムを回避することを目的としています。

このインシデントの正確な被害者数は不明であり、研究者は、Hugging Faceの悪意のあるリポジトリに「いいね！」を押した667のアカウントの大部分は自動生成されたようだと指摘している。さらに、244,000のダウンロード数は人為的に膨れ上がった可能性がある。

これらを調査することで、研究者は同じ悪意のあるローダーのインフラストラクチャを使用した他のリポジトリを発見しました。HiddenLayerの研究者は、WinOS 4.0インプラントを配布するnpm typosquattingキャンペーンとの重複にも気づきました。

悪意のあるリポジトリからファイルをダウンロードしたユーザーには、マシンを再イメージし、保存されているすべての認証情報をローテーションし、暗号通貨ウォレットとシードフレーズを交換し、ブラウザのセッションとトークンを無効にすることが推奨されます。

このプラットフォームのセキュリティ対策にもかかわらず、脅威行為者は過去にHugging Faceを悪用して悪意のあるモデルをホストしています。