Pluto Security详述Hugging Face上的Load/Mine加密货币挖矿活动

Pluto Security研究团队于2026年10月29日发布了Load/Mine报告，披露了一场通过恶意Hugging Face模型仓库传播的加密货币挖矿及后门活动。报告统计了分布在七个Hugging Face账户中的31个恶意仓库，以及ModelScope上的一个镜像仓库；记录到的活动下载量为29,818次，若计入13个关联仓库，则为32,376次。Pluto表示，这一数字统计的是下载量，并非已确认的感染次数或独立受害者人数。

报告由Shaked Chen、Eitan Chassid和Yotam Perkal撰写。报告称，首次下架后仅数日，这场活动便卷土重来：第二波的19个仓库记录到超过29,000次下载，而且在Pluto报告这些仓库后八天仍处于上线状态。据报告，第一波活动的收款钱包收到约2,276 PRL，按链上挖矿所得计算约合5,000美元。

恶意代码如何执行

这场活动利用的是Transformers中有文档记载的加载行为，而非投毒权重。加载带有 trust_remote_code=True 的仓库时，系统会在加载任何权重之前，以调用方的权限导入仓库中的Python代码。该仓库的 config.json 使用 auto_map 来指定要加载的Python模块和类；Transformers会将所引用的文件下载到模块缓存中，而 exec_module() 调用会先运行该文件的顶层代码，然后才返回所请求的模型类。报告指出，这是有文档记载的行为，并非默认行为；Transformers安全策略还指示用户在使用该参数时核验建模文件的内容。报告还引用了CVE-2026-22807：在该漏洞中，vLLM从0.10.1到修复该漏洞的0.14.0版本之前的版本，会加载 auto_map 模块而不检查 trust_remote_code 设置，从而允许恶意仓库在服务器启动时运行代码。

发现活动并关联账户

Pluto构建了一个扫描器，覆盖每个 .py 所引用的文件 auto_map 中的 config.json，以及与模型权重并存的Python文件，并标记诸如 subprocess, socket, ctypes, memfd_create 和Base64解码等模式。最初发现的是 dsxk4mr8tq/qwen2-tiny-gpt2，其中包含一个305行的文件，文件名为 modeling_evil.py；该账户有六个仓库，均于2026年10月12日在2.5小时内创建。

归属线索是通过备份文件发现的。 qwen2-tiny-lite 仓库中包含 modeling_evil.py.bak-src 以及 modeling_evil.py.bak-sync同一恶意软件的较早版本，其下载URL指向的不是临时账户，而是 hhzz667 Hugging Face上的 wssb123e 以及ModelScope上的。报告称，操作者将生产代码复制到测试账户，更新了主文件中的URL，却忘了修改备份文件。第一波活动涉及三个账户和两个平台上的12个仓库；这些仓库被移除前记录到超过700次下载，安全标记数为零。

载荷剖析

以 MENXIANGYU/qwen2-tiny 为代表性构建版本，报告描述的载荷会先写入 /tmp/.cch/svc.py，并安装一个看门狗，每隔120秒重启一次已停止运行的矿工程序；启动钩子则被追加到 /root/.bashrc, /root/.profile 和用户的 .bashrc中。三个构建版本还添加了反向Shell，会连接到212.32.253.3的443或9443端口，并在每次断开连接后重试。

矿工二进制文件 syscore.bin通过 memfd_create 和 fexecve 启动，并伪装成内核工作线程 kworker/u20:1，首次启动时不会在磁盘上留下可执行文件路径；备用副本则会留存在 /tmp/.cch/sync中。这个40.6 MB的二进制文件经过UPX压缩，并有两个 UPX! 标记被改为 PEK! ，因此标准解包工具会拒绝处理它；Pluto还原标记后，解包出一个名为peakminer的矿工程序，该程序启动时会使用矿池端点和登录名 krxXJ2PKQW.worker。进度回执会写入Xinference本地模型注册表，格式为 qwen2-tiny- ，后接Base32状态代码；载荷还会移除竞争矿工的注册信息，并终止匹配的进程。

两波攻击及下架后的调整

报告将第一波活动追溯至账户 hhzz667。该账户创建于2026年4月29日，此后闲置了五个月。2026年9月21日，该账户发布了 qwen2-shell，这是一个37行的SSH后门，会将一把ed25519密钥植入 authorized_keys ，并向一台阿里云服务器发送信标；其README复制自官方Qwen2.5-0.5B模型卡。到9月22日，操作者已推出 qwen2-final，这是一个305行的无文件挖矿程序，具有伪装成内核线程、清除竞争矿工以及上报Xinference状态等功能，并使用诸如 Qwen2Config这样的干净名称。代码注释使用简体中文。

Pluto 向 Hugging Face 和 ModelScope 报告了第一波活动，相关账户随后被移除。几天内，第二波活动接踵而至：五个账户下共有 19 个代码仓库，其中 MENXIANGYU 账户下有 13 个，此外还有 wjsbg、soumikmahato、r1r13 和 htt0118；最后一个账户创建于 2026 年 10 月 25 日。其中一个代码仓库， MENXIANGYU/qa-whl-1021在 Pluto 发送披露邮件 8.5 小时后发布，是一个从容器逃逸到主机的脚本，会挂载主机磁盘，目标是 GPUStack 的 /var/lib/gpustack 目录，并在主机上授予 root 登录权限。后续投放的程序会根据源 IP 限制其第二阶段：对其他请求者返回 403 响应，文本为“static ip.”。旗舰代码仓库 MENXIANGYU/qwen2-tiny 下载量从 10 月 20 日的 7,354 次增至 10 月 28 日的 28,412 次，占第二波下载量的 97.7%。

挖矿收益与已发现的受害者

第一波活动使用的钱包通过 716 笔交易收到了约 2,276 PRL，并向外转出了约 2,241 PRL；其代码仓库被移除后，该钱包在 10 月 21 日仍活跃于公开矿池仪表板。在 Kryptex 上，该钱包显示有两名在线矿工，报告的收益 peakminer/2.16.5 在采集时的 30 天内约为 1,008 PRL，约合 2,237 美元。分析期间，9 个名称类似笔记本电脑的矿工在彼此相隔 90 秒内上线，并在约 6 分钟后停止提交份额。报告称，这种情况符合共享 GPU 集群的特征。另行追踪的 hl 家族采用了类似的导入时执行方式，其 MoneroOcean 钱包显示有 13 名矿工，并在约一个月内收到约 26 美元的款项。

扫描器覆盖盲区

第一波活动涉及的 12 个代码仓库均未被标记，第二波活动中的旗舰载荷 modeling_evil2.py 根据 Pluto 的检查结果，所有实际运行的扫描器都将其判定为“安全”，而 JFrog 报告称它不是机器学习模型。Hugging Face 的恶意软件扫描文档指出，每次提交时，都会使用恶意软件扫描器检查代码仓库中小于 2 GB 的每个文件。其pickle 扫描文档称，扫描器会运行 ClamAV 防病毒扫描和 pickle 导入扫描；ClamAV 无法覆盖 pickle 漏洞利用，而且扫描“并非百分之百可靠”，检查安全性的责任由用户承担。Pluto 表示，审查 .py 文件中某个对象 auto_map 在标记设置前指向的内容，就能发现这次活动中的所有载荷；此外，如果在上传时静态检查 subprocess, socket, ctypes 或其中的原始 IP 地址调用 auto_map所引用的文件，就能更早发现这些载荷。

归因评估与建议措施

Pluto 评估认为，幕后操作者可能是出于经济动机的中文使用者，或一个小型团体。其依据包括简体中文注释、一台阿里云命令与控制服务器、在 ModelScope 和 hf-mirror.com 上镜像、以 Xinference 和腾讯云为目标的攻击方式，以及集中在 UTC 18:38 至 21:19 之间的活动。soumikmahato 的“parasit”版本包含印尼语注释；报告称，这既可能说明同一细分领域中还有另一名操作者，也可能是同一名操作者刻意采用了另一种风格的攻击路线。

报告建议，任何在启用自定义代码的情况下加载过所列模型的人，都应检查主机是否存在 /tmp/.cch/、异常的 svc.py 进程，以及带有挖矿参数的 kworker/u20:1 进程、经过编码的 qwen2-tiny- 或 ezv- Xinference 注册项，并检查主机是否与所列服务器和矿池建立了连接。Pluto 建议隔离受影响的机器、保留证据、清除所有持久化途径、在干净的机器上轮换已暴露的凭据；如果无法确认主机完整性，则从可信映像重建系统；同时要求 Xinference API 必须经过身份验证，并固定使用经过审查的模型版本。Pluto 表示，预计还会出现更多此类活动，并正在持续追踪。