Pluto Security Mengungkap Kampanye Penambangan Kripto Load/Mine di Hugging Face

Tim riset Pluto Security menerbitkan laporan Load/Mine-nya pada 29 Oktober 2026, mengungkap kampanye penambangan kripto dan pintu belakang yang disebarkan melalui repositori model Hugging Face berbahaya. Laporan itu mencatat 31 repositori berbahaya di tujuh akun Hugging Face, ditambah satu cermin di ModelScope, dengan 29.818 unduhan kampanye tercatat, atau 32.376 jika 13 repositori terkait disertakan. Pluto menyatakan bahwa angka tersebut mengukur unduhan, bukan infeksi yang terkonfirmasi atau korban unik.

Laporan yang ditulis Shaked Chen, Eitan Chassid, dan Yotam Perkal itu menyebutkan bahwa kampanye tersebut kembali dalam hitungan hari setelah penindakan awal: 19 repositori gelombang kedua mencatat lebih dari 29.000 unduhan dan masih aktif delapan hari setelah Pluto melaporkannya. Menurut laporan itu, dompet pembayaran gelombang pertama menerima sekitar 2.276 PRL, senilai kira-kira $5.000, dari hasil penambangan on-chain.

Cara Kode Berbahaya Dieksekusi

Kampanye ini memanfaatkan perilaku pemuatan Transformers yang telah terdokumentasi, bukan bobot model yang telah diracuni. Memuat repositori dengan trust_remote_code=True mengimpor kode Python repositori tersebut dengan hak akses pemanggil sebelum bobot apa pun dimuat. Repositori tersebut config.json menggunakan auto_map untuk menentukan nama modul dan kelas Python yang akan dimuat; Transformers mengunduh berkas yang dirujuk ke tembolok modulnya, dan exec_module() pemanggilan tersebut menjalankan kode tingkat atas dalam berkas itu sebelum mengembalikan kelas model yang diminta. Laporan itu mencatat bahwa perilaku ini terdokumentasi, bukan pengaturan bawaan, dan kebijakan keamanan Transformers menginstruksikan pengguna untuk memverifikasi isi berkas pemodelan saat menggunakan argumen tersebut. Laporan itu juga mengutip CVE-2026-22807, yang menyebutkan bahwa vLLM versi 0.10.1 hingga sebelum perbaikan pada versi 0.14.0 memuat auto_map modul tanpa memeriksa pengaturan trust_remote_code sehingga repositori berbahaya dapat menjalankan kode saat server dinyalakan.

Penemuan dan Keterkaitan Akun

Pluto membuat pemindai yang mencakup setiap .py berkas yang dirujuk oleh auto_map di dalam sebuah config.json, serta berkas Python yang berada di samping bobot model, untuk mendeteksi pola seperti subprocess, socket, ctypes, memfd_create dan dekode base64. Temuan awalnya adalah dsxk4mr8tq/qwen2-tiny-gpt2, yang memuat berkas 305 baris bernama modeling_evil.py; akun tersebut memiliki enam repositori yang dibuat dalam rentang 2,5 jam pada 12 Oktober 2026.

Petunjuk yang mengungkap keterkaitan pelaku berasal dari berkas cadangan. Repositori qwen2-tiny-lite berisi modeling_evil.py.bak-src dan modeling_evil.py.bak-sync, versi lebih lama dari malware yang sama, dengan URL unduhan yang mengarah bukan ke akun sekali pakai, melainkan ke hhzz667 di Hugging Face dan wssb123e di ModelScope. Laporan itu menyebutkan bahwa operator menyalin kode produksi ke akun pengujian, memperbarui URL di berkas utama, tetapi lupa memperbarui berkas cadangan. Gelombang pertama mencakup total 12 repositori di tiga akun dan dua platform, dengan lebih dari 700 unduhan tercatat sebelum penghapusan dan tanpa satu pun peringatan keamanan.

Anatomi Muatan

Dengan mengambil MENXIANGYU/qwen2-tiny sebagai contoh versi, laporan tersebut menjelaskan bahwa muatan itu mula-mula menulis /tmp/.cch/svc.py, sebuah pengawas yang memulai ulang penambang yang tidak berjalan setiap 120 detik, dengan kait peluncuran yang ditambahkan ke /root/.bashrc, /root/.profile dan milik pengguna .bashrc. Tiga versi menambahkan shell terbalik yang terhubung ke 212.32.253.3 melalui port 443 atau 9443, lalu mencoba kembali setiap kali koneksi terputus.

Berkas biner penambang, syscore.bin, diluncurkan melalui memfd_create dan fexecve menyamar sebagai pekerja kernel kworker/u20:1, sehingga tidak ada jalur berkas eksekusi di disk saat peluncuran pertama, sementara salinan cadangan tetap tersimpan di /tmp/.cch/sync. Berkas biner berukuran 40,6 MB itu dikemas dengan UPX, dengan dua penanda UPX! diubah menjadi PEK! sehingga alat pembongkar standar menolaknya; Pluto mengembalikan penanda tersebut dan membongkar penambang bernama peakminer, yang diluncurkan dengan alamat kumpulan penambangan dan nama login krxXJ2PKQW.worker. Catatan progres ditulis ke dalam registri model Xinference lokal sebagai qwen2-tiny- diikuti kode status base32, dan muatan tersebut menghapus pendaftaran penambang pesaing serta menghentikan proses yang cocok.

Dua Gelombang dan Adaptasi Setelah Penindakan

Laporan itu menelusuri gelombang pertama ke akun hhzz667, yang dibuat pada 29 April 2026 dan tidak aktif selama lima bulan. Pada 21 September 2026, akun itu menerbitkan qwen2-shell, pintu belakang SSH 37 baris yang menanam kunci ed25519 di authorized_keys dengan suar ke server Alibaba Cloud; README-nya disalin dari kartu model resmi Qwen2.5-0.5B. Pada 22 September, operator merilis qwen2-final, penambang tanpa berkas 305 baris yang menyamar sebagai utas kernel, dilengkapi penghenti penambang pesaing dan pelaporan status Xinference dengan nama-nama yang tampak bersih seperti Qwen2Config. Komentar kode ditulis dalam bahasa Mandarin Sederhana.

Pluto melaporkan gelombang pertama kepada Hugging Face dan ModelScope, lalu akun-akun tersebut dihapus. Gelombang kedua menyusul dalam beberapa hari: 19 repositori di lima akun, termasuk MENXIANGYU dengan 13 repositori, serta wjsbg, soumikmahato, r1r13, dan htt0118, yang terakhir dibuat pada 25 Oktober 2026. Salah satu repositori, MENXIANGYU/qa-whl-1021, yang diterbitkan 8,5 jam setelah email pengungkapan dari Pluto, merupakan skrip untuk meloloskan diri dari kontainer ke host. Skrip ini memasang disk host dan menargetkan direktori GPUStack /var/lib/gpustack serta memberikan akses masuk root pada host. Dropper yang muncul kemudian membatasi tahap keduanya berdasarkan alamat IP sumber, dengan mengirimkan respons 403 berisi teks “static ip.” kepada peminta lain. Repositori unggulan MENXIANGYU/qwen2-tiny bertambah dari 7.354 unduhan pada 20 Oktober menjadi 28.412 pada 28 Oktober, atau 97,7% dari seluruh unduhan gelombang kedua.

Hasil Penambangan dan Korban yang Teridentifikasi

Dompet gelombang pertama menerima sekitar 2.276 PRL dalam 716 transaksi dan mengirimkan sekitar 2.241 PRL ke pihak lain. Dompet itu masih aktif di dasbor pool publik pada 21 Oktober, setelah repositorinya dihapus. Di Kryptex, dompet tersebut menampilkan dua pekerja daring yang melaporkan peakminer/2.16.5 imbalan sekitar 1.008 PRL, atau kira-kira $2.237, selama 30 hari pada saat data diambil. Selama analisis, sembilan pekerja dengan nama bergaya buku catatan bergabung dalam rentang 90 detik dan berhenti mengirimkan share sekitar enam menit kemudian. Menurut laporan, pola ini konsisten dengan klaster GPU bersama. Sebuah keluarga yang dilacak secara terpisah hl yang menggunakan eksekusi serupa saat impor, menampilkan dompet MoneroOcean dengan 13 pekerja dan pembayaran sekitar $26 dalam waktu kurang lebih sebulan.

Celah Cakupan Pemindai

Tak satu pun dari 12 repositori gelombang pertama ditandai, dan payload unggulan gelombang kedua modeling_evil2.py dinyatakan “aman” oleh setiap pemindai yang dijalankan. Menurut pemeriksaan Pluto, JFrog melaporkan bahwa payload itu bukan model pembelajaran mesin. Dokumentasi pemindaian malware Hugging Face menyebutkan bahwa setiap berkas repositori berukuran di bawah 2 GB dipindai dengan pemindai malware pada setiap commit. Dokumentasi pemindaian pickle-nya menyatakan bahwa pemindai menjalankan pemindaian antivirus ClamAV dan pemindaian impor pickle, bahwa ClamAV tidak mencakup eksploitasi pickle, serta bahwa pemindaian tersebut “tidak sepenuhnya andal”; tanggung jawab untuk memeriksa keamanannya berada pada pengguna. Pluto menyatakan bahwa meninjau .py berkas yang ditunjuk oleh auto_map sebelum penandaan dilakukan akan mendeteksi setiap payload dalam kampanye ini. Pluto juga menyebutkan bahwa pemeriksaan statis saat pengunggahan untuk subprocess, socket, ctypes atau panggilan ke alamat IP mentah dalam berkas yang dirujuk auto_mapakan mendeteksinya lebih awal.

Penilaian Atribusi dan Langkah yang Disarankan

Pluto menilai pelakunya adalah operator atau kelompok kecil berbahasa Tionghoa yang bermotif finansial. Penilaian ini didasarkan pada komentar berbahasa Mandarin Sederhana, server komando dan kendali Alibaba Cloud, pencerminan di ModelScope dan hf-mirror.com, penargetan yang mengasumsikan penggunaan Xinference dan Tencent Cloud, serta pengelompokan aktivitas antara pukul 18:38 dan 21:19 UTC. Versi “parasit” dari soumikmahato memuat komentar berbahasa Indonesia. Menurut laporan, hal ini sesuai dengan kemungkinan adanya operator kedua di bidang yang sama atau satu operator yang sengaja menjalankan lini yang tampak berbeda.

Laporan tersebut menyarankan siapa pun yang memuat model yang tercantum dengan kode khusus diaktifkan untuk memeriksa host mereka terkait /tmp/.cch/, proses yang tidak terduga, svc.py proses yang kworker/u20:1 membawa argumen penambangan, yang disandikan, qwen2-tiny- atau ezv- registrasi Xinference, serta koneksi ke server dan pool yang tercantum. Pluto menyarankan agar mesin yang terdampak diisolasi, bukti disimpan, semua jalur persistensi dihapus, kredensial yang terekspos diganti dari mesin yang bersih, sistem dibangun ulang dari image tepercaya jika integritas host tidak dapat dipastikan, autentikasi diwajibkan pada API Xinference, dan revisi model yang telah ditinjau dipatok. Pluto mengatakan bahwa pihaknya memperkirakan akan ada lebih banyak kampanye semacam ini dan sedang melacaknya.