Le modèle de filtre de confidentialité contrefait a atteint la première tendance avant son retrait

Un faux dépôt OpenAI sur Hugging Face a accumulé environ 244 000 téléchargements. Il était en tendance sur la plateforme avant d’être supprimé. Le faux dépôt livrait un logiciel malveillant Rust qui volait des données de navigateur, des portefeuilles crypto et des secrets de développeurs sur des ordinateurs Windows.

Les chercheurs en sécurité de HiddenLayer ont repéré le dépôt malveillant sous l’espace de noms « Open-OSS/privacy-filter ». Il s’agissait d’un typosquattage du véritable modèle Privacy Filter d’OpenAI, publié le mois dernier.

La fausse fiche a copié la fiche du modèle d’OpenAI et ajouté des instructions indiquant aux utilisateurs de cloner le dépôt et d’exécuter le script.

Les attaquants ont utilisé un faux Privacy Filter d’OpenAI

Le vrai Privacy Filter d’OpenAI est un modèle à poids ouverts qui détecte et redacte les informations personnellement identifiables dans le texte.

La version officielle était sous licence Apache 2.0 via Hugging Face et GitHub. Les développeurs s’attendaient à trouver du code exécutable et des scripts d’installation dans le vrai dépôt.

Mais les attaquants ont exploité ces attentes. Ils ont publié un dépôt ressemblant sous un autre espace de noms, avec une marque familière et une documentation presque identique.

Un fichier Python nommé loader, qui ressemblait à un code normal de chargement de modèle, contenait une classe DummyModel factice et une sortie d’entraînement falsifiée.

Le script comprenait une fonction désactivant la vérification SSL, décodant une URL secrète, et recevant une commande depuis JSON Keeper. JSON Keeper est un service public de partage JSON. Il permet à l’attaquant d’échanger des charges utiles sans interagir directement avec le dépôt.

La commande lançait un processus PowerShell Windows caché. Un script batch, imitant une API d’analyse blockchain, tentait d’augmenter les privilèges.

Il tentait d’ajouter des exclusions à Microsoft Defender pour le répertoire de la charge utile. La commande lançait ensuite le binaire final via une tâche planifiée unique, ressemblant à une mise à jour de Microsoft Edge.

Ensuite, un exécutable Rust de 1,07 Mo était livré. Il extrayait des données de navigateur, des tokens Discord, des fichiers de portefeuilles crypto, des identifiants SSH, FTP et VPN. Les données volées étaient envoyées à un serveur de commandement et contrôle (C2).

Le malware évitait également les machines virtuelles, les sandbox et les débogueurs, au cas où des chercheurs mettraient en place une analyse automatisée.

Une capture d’écran du faux dépôt OpenAI. Source : HiddenLayer.

Les 244 000 téléchargements ne signifient pas des infections confirmées. On ignore combien d’utilisateurs ont exécuté les fichiers malveillants.

Ni OpenAI ni Hugging Face n’ont publié de déclaration publique. Les preuves disponibles indiquent uniquement une impersonation de plateforme. Il n’y a pas de compromission d’OpenAI ni de Hugging Face.

Le lancement du Privacy Filter d’OpenAI a généré du trafic de recherche chez les développeurs.

Étapes pour toute personne ayant cloné le dépôt

Toute personne ayant cloné le dépôt et exécuté les scripts malveillants doit considérer que sa machine Windows est compromise. La réinstallation complète de la machine est la seule solution efficace pour supprimer les fichiers malveillants.

Se connecter à un compte sur la machine affectée risque d’exposer davantage. Les chercheurs en sécurité recommandent de faire pivoter toutes les identifiants stockés dans les navigateurs, gestionnaires de mots de passe ou coffres-forts d’identifiants sur l’appareil. Cela inclut les mots de passe enregistrés, cookies de session, tokens OAuth, clés SSH et tokens de fournisseurs cloud.

Les fonds crypto doivent être transférés vers un nouveau portefeuille créé sur un appareil sain.

En mars, des chercheurs en sécurité ont identifié un paquet npm malveillant déguisé en installateur pour l’outil d’IA OpenClaw. Il ciblait les mots de passe système et les portefeuilles crypto. Ce paquet, nommé GhostLoader, s’installait comme un service de télémétrie caché et scannait les coffres-forts d’identifiants d’agents IA.

Ne vous contentez pas de lire l’actualité crypto. Comprenez-la. Abonnez-vous à notre newsletter. C’est gratuit.