Apa yang terjadi
Pluto Security melacak kampanye cryptomining/backdoor yang didistribusikan melalui 31 repositori Hugging Face yang berbahaya di 7 akun (plus mirror ModelScope), mencatat lebih dari 32.000 unduhan. Payload menggunakan perilaku Transformers yang terdokumentasi: memuat repo dengan trust_remote_code=True mengimpor Python repo (dinamai melalui config.json auto_map) dengan hak istimewa pemanggil sebelum bobot dimuat. Payload menjatuhkan watchdog (/tmp/.cch/svc.py), menambahkan hook persistensi ke profil shell, menanam backdoor SSH dan reverse shell, dan meluncurkan miner terkompresi UPX (peakminer) melalui memfd_create/fexecve yang menyamar sebagai kernel worker; satu tahap selanjutnya adalah eskalasi container-to-host yang menargetkan /var/lib/gpustack milik GPUStack. Kampanye ini muncul kembali dalam beberapa hari setelah penindakan, mengganti kunci SSH hardcoded dengan reverse shell.
Mengapa penting
Registry model menjadi saluran malware: infeksi terjadi sebelum inferensi, berjalan dengan hak istimewa pemanggil, dan menyembunyikan eksekusi dalam Python auto_map yang tidak dianalisis oleh antivirus dan pemindai format bobot HF. Ini menargetkan inferensi self-hosted (Xinference, GPUStack), GPU sewaan, notebook, dan pekerjaan CI, serta meninggalkan akses backdoor/SSH persisten yang bertahan lebih lama dari miner.
Vektor serangan
Memuat repositori beracun (from_pretrained dengan trust_remote_code=True) mengeksekusi Python repositori dalam proses model, menjatuhkan miner, reverse shell, dan backdoor SSH.
Sistem yang terdampak
Repositori model Hugging Face dan pemuatan modul auto_map/trust_remote_code oleh Transformers; deployment Xinference/GPUStack self-hosted.
Mitigasi
Tinjau file .py yang direferensikan auto_map sebelum memuat; hindari trust_remote_code=True untuk repo yang tidak tepercaya; kunci ID dan hash model yang tepercaya; pindai untuk /tmp/.cch dan hook .bashrc; periksa registry model Xinference/GPUStack untuk entri status yang anomali; isolasi beban kerja GPU.