Pluto Security hé lộ chiến dịch đào tiền mã hóa Load/Mine trên Hugging Face

Ngày 29 tháng 10 năm 2026, nhóm nghiên cứu của Pluto Security công bố báo cáo Load/Mine, tiết lộ một chiến dịch đào tiền mã hóa và cài cửa hậu được phát tán thông qua các kho mô hình độc hại trên Hugging Face. Báo cáo ghi nhận 31 kho lưu trữ độc hại thuộc bảy tài khoản Hugging Face, cùng một bản sao trên ModelScope; chiến dịch có 29.818 lượt tải được ghi nhận, con số này tăng lên 32.376 nếu tính cả 13 kho lưu trữ được liên kết. Pluto cho biết con số này đo lường lượt tải xuống, chứ không phải số ca lây nhiễm đã xác nhận hay số nạn nhân riêng biệt.

Báo cáo do Shaked Chen, Eitan Chassid và Yotam Perkal thực hiện cho biết chiến dịch quay trở lại chỉ vài ngày sau đợt gỡ bỏ ban đầu: 19 kho lưu trữ thuộc đợt thứ hai ghi nhận hơn 29.000 lượt tải xuống và vẫn hoạt động tám ngày sau khi Pluto báo cáo về chúng. Theo báo cáo, ví nhận tiền của đợt đầu tiên đã nhận khoảng 2.276 PRL, tương đương khoảng 5.000 USD, từ hoạt động đào tiền mã hóa trên chuỗi.

Cách mã độc thực thi

Chiến dịch dựa vào hành vi tải mô hình đã được ghi nhận của Transformers, thay vì sử dụng trọng số bị cài mã độc. Việc tải một kho lưu trữ cùng với trust_remote_code=True sẽ nhập mã Python của kho lưu trữ đó bằng quyền của tiến trình gọi trước khi tải bất kỳ trọng số nào. Kho lưu trữ config.json sử dụng auto_map để chỉ định mô-đun và lớp Python cần tải; Transformers tải tệp được tham chiếu vào bộ nhớ đệm mô-đun, rồi exec_module() lệnh gọi sẽ chạy mã cấp cao nhất trong tệp trước khi trả về lớp mô hình được yêu cầu. Báo cáo lưu ý đây là hành vi đã được ghi nhận, không phải thiết lập mặc định; chính sách bảo mật của Transformers hướng dẫn người dùng xác minh nội dung các tệp mô hình khi sử dụng đối số này. Báo cáo cũng đề cập CVE-2026-22807, trong đó các phiên bản vLLM từ 0.10.1 cho đến trước bản sửa lỗi 0.14.0 đã tải auto_map các mô-đun mà không kiểm tra thiết lập trust_remote_code , cho phép một kho lưu trữ độc hại chạy mã khi máy chủ khởi động.

Phát hiện và liên kết tài khoản

Pluto đã xây dựng một công cụ quét bao quát mọi .py tệp được auto_map tham chiếu trong một config.json, cũng như các tệp Python nằm cạnh trọng số mô hình, để phát hiện những mẫu như subprocess, socket, ctypes, memfd_create và giải mã base64. Phát hiện đầu tiên là dsxk4mr8tq/qwen2-tiny-gpt2, có một tệp dài 305 dòng tên là modeling_evil.py; tài khoản này có sáu kho lưu trữ được tạo trong vòng 2,5 giờ vào ngày 12 tháng 10 năm 2026.

Kho lưu trữ qwen2-tiny-lite có chứa modeling_evil.py.bak-src và modeling_evil.py.bak-sync, các phiên bản cũ hơn của cùng phần mềm độc hại, với URL tải xuống trỏ không phải đến tài khoản dùng một lần mà đến hhzz667 trên Hugging Face và wssb123e trên ModelScope. Báo cáo cho biết kẻ vận hành đã sao chép mã sản phẩm vào một tài khoản thử nghiệm, cập nhật URL trong tệp chính nhưng quên sửa các bản sao lưu. Đợt đầu tiên gồm tổng cộng 12 kho lưu trữ trên ba tài khoản và hai nền tảng; trước khi bị gỡ bỏ, các kho này đã ghi nhận hơn 700 lượt tải xuống và không bị gắn cờ bảo mật lần nào.

Cấu tạo của mã độc

Lấy MENXIANGYU/qwen2-tiny làm bản dựng tiêu biểu, báo cáo mô tả một mã độc trước tiên ghi /tmp/.cch/svc.py, một tiến trình giám sát sẽ khởi động lại trình đào tiền mã hóa nếu nó ngừng chạy cứ mỗi 120 giây; các lệnh móc khởi chạy được thêm vào /root/.bashrc, /root/.profile và .bashrc. Ba bản dựng có thêm một shell ngược kết nối tới 212.32.253.3 qua cổng 443 hoặc 9443, đồng thời thử kết nối lại sau mỗi lần bị ngắt.

Tệp nhị phân của trình đào tiền mã hóa, syscore.binđược khởi chạy thông qua memfd_create và fexecve được ngụy trang thành tiến trình worker của nhân hệ điều hành kworker/u20:1, khiến lần khởi chạy đầu tiên không để lại đường dẫn tệp thực thi nào trên đĩa; một bản sao dự phòng vẫn tồn tại trong /tmp/.cch/syncTệp nhị phân 40,6 MB được đóng gói bằng UPX, với hai dấu UPX! được đổi thành PEK! để công cụ giải nén tiêu chuẩn từ chối xử lý. Pluto đã khôi phục các dấu này và giải nén một trình đào tiền mã hóa có tên peakminer, được khởi chạy với các điểm cuối của pool và thông tin đăng nhập krxXJ2PKQW.workerCác biên nhận tiến trình được ghi vào registry mô hình Xinference cục bộ dưới dạng qwen2-tiny- theo sau là các mã trạng thái base32; mã độc cũng xóa đăng ký của các trình đào cạnh tranh và chấm dứt những tiến trình trùng khớp.

Hai đợt tấn công và sự thích ứng sau khi bị gỡ bỏ

Báo cáo lần theo đợt đầu tiên đến tài khoản hhzz667, được tạo ngày 29 tháng 4 năm 2026 và không hoạt động trong năm tháng. Ngày 21 tháng 9 năm 2026, tài khoản này đăng qwen2-shell, một cửa hậu SSH dài 37 dòng, cài khóa ed25519 vào authorized_keys và gửi tín hiệu định kỳ đến một máy chủ Alibaba Cloud; README của kho lưu trữ được sao chép từ thẻ mô hình Qwen2.5-0.5B chính thức. Đến ngày 22 tháng 9, kẻ vận hành đã phát tán qwen2-final, một trình đào tiền mã hóa không tệp dài 305 dòng, ngụy trang thành luồng nhân hệ điều hành, có chức năng diệt các trình đào cạnh tranh và báo cáo trạng thái Xinference dưới những tên có vẻ vô hại như Qwen2ConfigCác chú thích trong mã được viết bằng tiếng Trung giản thể.

Pluto đã báo cáo đợt đầu tiên với Hugging Face và ModelScope, và các tài khoản đã bị gỡ. Đợt thứ hai diễn ra chỉ vài ngày sau đó: 19 kho lưu trữ thuộc năm tài khoản, gồm MENXIANGYU với 13 kho, cùng wjsbg, soumikmahato, r1r13 và htt0118; tài khoản cuối cùng được tạo ngày 25 tháng 10 năm 2026. Một kho lưu trữ, MENXIANGYU/qa-whl-1021, được đăng tải 8,5 giờ sau email tiết lộ của Pluto, là một tập lệnh thoát khỏi container sang máy chủ, gắn các ổ đĩa của máy chủ và nhắm đến thư mục của GPUStack /var/lib/gpustack và cấp quyền đăng nhập root trên máy chủ. Một trình tải mã độc xuất hiện sau đó giới hạn giai đoạn thứ hai theo địa chỉ IP nguồn, trả về phản hồi 403 với nội dung “IP tĩnh.” cho những người gửi yêu cầu khác. Kho lưu trữ chủ lực MENXIANGYU/qwen2-tiny tăng từ 7.354 lượt tải xuống vào ngày 20 tháng 10 lên 28.412 lượt vào ngày 28 tháng 10, chiếm 97,7% tổng lượt tải xuống trong đợt thứ hai.

Doanh thu từ hoạt động đào tiền mã hóa và các nạn nhân được ghi nhận

Ví điện tử của đợt đầu tiên nhận khoảng 2.276 PRL qua 716 giao dịch và chuyển tiếp khoảng 2.241 PRL; ví này vẫn hoạt động trên các bảng điều khiển nhóm đào công khai vào ngày 21 tháng 10, sau khi các kho lưu trữ của nó bị gỡ. Trên Kryptex, ví hiển thị hai máy đào đang trực tuyến, báo cáo peakminer/2.16.5 với phần thưởng trong 30 ngày vào thời điểm ghi nhận là khoảng 1.008 PRL, tương đương khoảng 2.237 USD. Trong quá trình phân tích, chín máy đào có tên giống tên sổ ghi chép đã tham gia trong vòng 90 giây liên tiếp và ngừng gửi cổ phần sau khoảng sáu phút; báo cáo mô tả đây là kiểu hoạt động phù hợp với một cụm GPU dùng chung. Một họ mã độc khác được theo dõi riêng hl sử dụng cách thực thi tương tự khi nhập và cho thấy một ví MoneroOcean có 13 máy đào, với khoảng 26 USD được thanh toán trong khoảng một tháng.

Lỗ hổng trong phạm vi quét của các công cụ bảo mật

Không kho lưu trữ nào trong số 12 kho của đợt đầu tiên bị gắn cờ, còn tải trọng trong kho chủ lực của đợt thứ hai modeling_evil2.py được mọi công cụ quét đã chạy đánh giá là “an toàn”; theo các kiểm tra của Pluto, JFrog cho biết đó không phải là một mô hình học máy. Tài liệu về quét mã độc của Hugging Face nêu rằng mỗi khi có commit, mọi tệp trong kho lưu trữ có dung lượng dưới 2 GB đều được quét mã độc. Tài liệu về quét pickle của nền tảng cho biết công cụ quét chạy các lượt quét vi-rút bằng ClamAV và quét phần nhập pickle; ClamAV không phát hiện được các lỗ hổng khai thác pickle, và việc quét “không thể bảo đảm an toàn tuyệt đối”, nên người dùng chịu trách nhiệm kiểm tra độ an toàn. Pluto cho biết việc rà soát các .py tệp mà một auto_map trỏ tới trước khi cờ cảnh báo được bật sẽ phát hiện được mọi tải trọng trong chiến dịch, đồng thời một bước kiểm tra tĩnh khi tải lên đối với subprocess, socket, ctypes hoặc các lệnh gọi IP thô trong auto_map-các tệp được tham chiếu sẽ phát hiện chúng sớm hơn.

Đánh giá quy kết và các bước được khuyến nghị

Pluto đánh giá rằng thủ phạm là một cá nhân hoặc một nhóm nhỏ nói tiếng Trung, hoạt động vì động cơ tài chính. Cơ sở cho nhận định này gồm các chú thích bằng tiếng Trung giản thể, một máy chủ chỉ huy và kiểm soát trên Alibaba Cloud, việc sao chép trên ModelScope và hf-mirror.com, mục tiêu tấn công cho thấy thủ phạm giả định nạn nhân dùng Xinference và Tencent Cloud, cùng hoạt động tập trung trong khoảng thời gian từ 18:38 đến 21:19 UTC. Bản dựng “parasit” của soumikmahato có các chú thích bằng tiếng Indonesia; theo báo cáo, điều này phù hợp với khả năng có một thủ phạm thứ hai trong cùng lĩnh vực ngách hoặc một thủ phạm cố tình tạo ra một dòng hoạt động trông khác biệt.

Báo cáo khuyến nghị bất kỳ ai đã tải một mô hình được liệt kê khi bật mã tùy chỉnh hãy kiểm tra các máy chủ để tìm /tmp/.cch/, bất thường svc.py các tiến trình, một kworker/u20:1 tiến trình mang các đối số đào tiền mã hóa, được mã hóa qwen2-tiny- hoặc ezv- các mục đăng ký Xinference và kết nối đến những máy chủ, nhóm đào được liệt kê. Pluto khuyến nghị cô lập các máy bị ảnh hưởng, bảo toàn bằng chứng, loại bỏ mọi cơ chế duy trì hiện diện, thay mới thông tin xác thực bị lộ bằng một máy sạch, cài đặt lại từ một ảnh hệ thống đáng tin cậy nếu không thể xác minh tính toàn vẹn của máy chủ, yêu cầu xác thực đối với API Xinference và cố định các phiên bản mô hình đã được xem xét. Pluto cho biết họ dự đoán sẽ còn có thêm các chiến dịch dạng này và đang theo dõi chúng.