Malware Découvert dans un Dépôt Tendance de Hugging Face

Ruslan Mikhalov Chef de la Recherche sur les Menaces chez SOC Prime

Suivre

Malware Découvert dans un Dépôt Tendance de Hugging Face

Detection stack

AIDR
Alert
ETL
Query

Rapport
Flux d'Attaque
Détections
Simulations

Résumé

Les chercheurs de HiddenLayer ont découvert du code malveillant hébergé dans le dépôt Hugging Face Open-OSS/privacy-filter qui imite un projet légitime d’OpenAI. Le dépôt contenait un script loader.py qui récupérait une commande PowerShell depuis jsonkeeper.com, laquelle téléchargeait un fichier batch de deuxième étape et un voleur d’informations basé sur Rust. La charge utile exfiltre les identifiants, les données de navigateur, les fichiers de portefeuilles de cryptomonnaies et les captures d’écran, puis se supprime après l’exécution d’une tâche planifiée à une seule exécution.

Enquête

L’analyse a identifié six étapes depuis l’appât initial jusqu’au voleur d’informations final basé sur Rust, y compris une exécution PowerShell cachée, un téléchargeur qui récupère update.bat depuis api.eth-fastscan.org, et un fichier batch qui crée un script runner temporaire et une tâche planifiée transitoire. Un trafic réseau a été observé vers un domaine C2 recargapopular.com et un domaine connexe welovechinatown.info. Plusieurs dépôts Hugging Face sous l’utilisateur anthfu ont été trouvés réutilisant le même chargeur et l’URL C2.

Atténuation

Bloquez les domaines et URL malveillants listés à la périphérie du réseau et désactivez l’exécution de scripts PowerShell non signés sur les points d’aboutissement. Supprimez tous les fichiers téléchargés depuis les dépôts compromis et révoquez tout identifiant qui aurait pu être récupéré. Mettez en place une surveillance stricte pour la création de tâches planifiées suspectes et pour les lignes de commande PowerShell anormales.

Réponse

Isolez tout hôte qui a exécuté le loader ou start.bat, considérez-le comme entièrement compromis et reconstruisez le système. Faites tourner tous les mots de passe stockés, cookies de session, jetons OAuth et identifiants de portefeuilles de cryptomonnaies. Recherchez des connexions historiques vers les domaines malveillants et pour la présence des chemins de fichiers indiqués et des noms de tâches planifiées.

"graph TB %% Class Definitions classDef action fill:#99ccff classDef tool fill:#cccccc classDef file fill:#ffcc99 classDef process fill:#ff9966 classDef malware fill:#ff6666 classDef credential fill:#ccffcc classDef exfil fill:#c0c0c0 classDef operator fill:#ff9900 %% Node definitions malicious_repo["Ressource – Dépôt Hugging Face Contient les fichiers malveillants start.bat et loader.py"] class malicious_repo file action_user_execution_link["Action – T1204.001 Exécution par l’utilisateur : Lien malveillant La victime clique sur un lien vers le dépôt malveillant"] class action_user_execution_link action file_start_bat["Fichier – start.bat Script batch invoqué par la victime"] class file_start_bat file file_loader_py["Fichier – loader.py Chargeur Python qui vérifie la somme de contrôle et désactive la vérification SSL"] class file_loader_py file action_user_execution_file["Action – T1204.002 Exécution par l’utilisateur : Fichier malveillant La victime exécute loader.py"] class action_user_execution_file action action_proxy_execution["Action – T1127 Exécution de Proxy d’utilitaires de développeur de confiance loader.py lance PowerShell avec contournement et fenêtre cachée"] class action_proxy_execution action process_powershell["Processus – PowerShell Exécute la ligne de commande distante"] class process_powershell process action_taint_shared_content["Action – T1080 Corruption de contenu partagé PowerShell oneu2011liner télécharge update.bat depuis api.ethu2011fastscan.org"] class action_taint_shared_content action file_update_bat["Fichier – update.bat Script batch qui ajoute des exclusions pour Defender et crée une tâche planifiée"] class file_update_bat file action_hide_artifacts["Action – T1564.012 Masquage d’artefacts : Exclusions de fichiers/chemins Ajoute des exclusions de Microsoft Defender pour les fichiers charge utile"] class action_hide_artifacts action action_hijack_execution["Action – T1574 Détournement du flux d’exécution Crée une tâche planifiée oneu2011shot MicrosoftEdgeUpdateTaskCore pour exécuter la charge utile en tant que SYSTEM"] class action_hijack_execution action process_scheduled_task["Processus – Tâche Planifiée Exécute la charge utile Rust avec des privilèges SYSTEM"] class process_scheduled_task process malware_rust_payload["Malware – Charge utile Rust Effectue des vérifications antiu2011analyse et désactive AMSI/ETW"] class malware_rust_payload malware action_credential_collection["Action – T1555 Collecte d’identifiants à partir de magasins de mots de passe Le voleur d’informations extrait les identifiants de Chromium, Firefox, Discord et des portefeuilles"] class action_credential_collection credential action_credential_files["Action – T1552.001 Identifiants non sécurisés : Identifiants dans les fichiers Collecte les fichiers de seed SSH, FTP, VPN et de portefeuilles"] class action_credential_files credential action_os_credential_dump["Action – T1003 Vidage des identifiants du système d’exploitation Récupère les clés de navigateur chiffrées"] class action_os_credential_dump credential action_screen_capture["Action – T1113 Capture d’écran Capture des captures d’écran de plusieurs moniteurs"] class action_screen_capture malware action_data_encoding["Action – T1132 Encodage des données Emballe les données dans un JSON compressé en gzip"] class action_data_encoding malware action_exfiltration["Action – T1567.002 Exfiltration via service web Envoie les données encodées via HTTPS vers recargapopular.com"] class action_exfiltration exfil %% Connections malicious_repo –>|contient| file_start_bat malicious_repo –>|contient| file_loader_py action_user_execution_link –>|conduit à| file_start_bat action_user_execution_link –>|conduit à| file_loader_py file_start_bat –>|exécuté par| action_user_execution_file file_loader_py –>|exécuté par| action_user_execution_file action_user_execution_file –>|déclenche| action_proxy_execution action_proxy_execution –>|lance| process_powershell process_powershell –>|télécharge| file_update_bat file_update_bat –>|exécute| action_hide_artifacts action_hide_artifacts –>|crée| action_hijack_execution action_hijack_execution –>|engendre| process_scheduled_task process_scheduled_task –>|exécute| malware_rust_payload malware_rust_payload –>|effectue| action_credential_collection malware_rust_payload –>|effectue| action_credential_files malware_rust_payload –>|effectue| action_os_credential_dump malware_rust_payload –>|effectue| action_screen_capture malware_rust_payload –>|encode| action_data_encoding action_data_encoding –>|exfiltre| action_exfiltration "

Flux d’attaque

Narration de l’attaque et commandes :
L’attaquant a obtenu un point d’appui sur un poste de travail Windows et souhaite exécuter une charge utile malveillante avec des droits élevés tout en restant invisible pour l’utilisateur. Il/elle :
1. Crée un one-liner PowerShell qui ouvre une fenêtre CMD cachée (/k) et l’escalade immédiatement en utilisant Start-Process -Verb RunAs.
2. Exécute ce one-liner à partir d’une session PowerShell existante, s’assurant que l’arborescence des processus contient à la fois une instance PowerShell cachée and une instance CMD lancée avec /k.
3. Le CMD élevé peut ensuite être utilisé pour télécharger et exécuter la charge utile finale.

Script de test de régression :

# ---------------------------------------------------------
# Script d'adversaire simulé – PowerShell caché + CMD RunAs
# ---------------------------------------------------------
$maliciousCmd = "cmd.exe /k echo L'attaquant s'est élevé && ping -n 5 127.0.0.1"
$psCommand   = "-ExecutionPolicy Bypass -WindowStyle Hidden -Command `"Start-Process -FilePath 'powershell.exe' -ArgumentList `"$maliciousCmd`" -Verb RunAs`""
# Lance PowerShell caché qui exécute à son tour le CMD élevé
Start-Process -FilePath "powershell.exe" -ArgumentList $psCommand -WindowStyle Hidden

Commandes de nettoyage :

# Terminer tous les processus CMD élevés persistants créés par le test
Get-Process -Name "cmd" -ErrorAction SilentlyContinue | Where-Object {
    $_.StartInfo.Arguments -match "/k echo L'attaquant s'est élevé"
} | Stop-Process -Force

# Supprimer éventuellement tous les fichiers temporaires s'ils ont été créés (aucun dans cette démo simple)

Rejoignez la plateforme Detection as Code de SOC Prime pour améliorer la visibilité sur les menaces les plus pertinentes pour votre entreprise. Pour vous aider à démarrer et à générer une valeur immédiate, planifiez dès maintenant une réunion avec des experts de SOC Prime.

Rejoindre gratuitement