假冒隱私過濾器模型在下架前達到熱搜榜首

在 Hugging Face 上，一個假冒的 OpenAI 儲存庫累積了約 24.4 萬次下載。在被移除之前，它曾在平台上成為熱門。這個假冒的儲存庫提供了一個 Rust 窃取工具，能夠抓取瀏覽器資料、加密貨幣錢包和 Windows 電腦上的開發者秘密。

HiddenLayer 的安全研究人員發現了這個惡意儲存庫，位於“Open-OSS/privacy-filter”命名空間下。它是對 OpenAI 真實的 Privacy Filter 模型的拼寫錯誤仿冒品，該模型於上個月發布。

這個假冒的列表複製了 OpenAI 的模型卡，並附上指示，告訴用戶克隆該儲存庫並運行腳本。

攻擊者使用了一個假冒的 OpenAI Privacy Filter

OpenAI 真實的 Privacy Filter 是一個開放權重模型，用於檢測並刪除文本中的個人身份信息。

正式發布版在 Hugging Face 和 GitHub 上都採用了 Apache 2.0 授權。開發者預期在真實的儲存庫中找到可運行的代碼和設置腳本。

但攻擊者利用了開發者的預期。他們在不同的命名空間下發布了一個外觀相似的儲存庫，帶有熟悉的品牌和幾乎相同的文檔。

一個名為 loader 的 Python 文件，看起來像普通的模型加載代碼，但實際上包含一個假 DummyModel 類和假訓練輸出。

該腳本有一個禁用 SSL 驗證的功能，解碼一個秘密 URL，並從 JSON Keeper 接收命令。JSON Keeper 是一個公共的 JSON 貼文服務，允許攻擊者在不與儲存庫交互的情況下交換有效載荷。

該命令啟動了一個隱藏的 Windows PowerShell 進程。一個模仿區塊鏈分析 API 的批處理腳本，試圖提升權限。

它試圖為有效載荷目錄添加 Microsoft Defender 排除項。然後，該命令通過一個一次性排程任務釋放了最終的二進制文件，該任務看起來像是 Microsoft Edge 的更新程序。

接著，一個 1.07 MB 的 Rust 可執行文件被傳送。它能提取瀏覽器資料、Discord 令牌、加密貨幣錢包文件、SSH、FTP 和 VPN 憑證。被盜取的資料會傳送到一個指揮控制（C2）伺服器。

該惡意軟件還能避開虛擬機、沙箱和調試器，以防研究人員設置自動分析。

假冒的 OpenAI 儲存庫截圖。來源：HiddenLayer。

這 24.4 萬次下載並不代表確定感染。有多少用戶執行了惡意文件尚不清楚。

OpenAI 和 Hugging Face 目前都未發表公開聲明。現有證據僅指向平台仿冒，並未證明 OpenAI 或 Hugging Face 被入侵。

OpenAI 的 Privacy Filter 發布引發了開發者的搜尋流量。

任何克隆了該儲存庫並運行惡意腳本的人，都應認為其 Windows 機器已被入侵。重新映像系統是清除惡意文件的唯一有效方法。

登錄受影響機器上的任何帳戶都存在進一步暴露的風險。安全研究人員建議更換瀏覽器、密碼管理器或憑證存儲中的所有憑證，包括已保存的密碼、會話 cookies、OAuth 令牌、SSH 密鑰和雲提供商令牌。

加密貨幣資金應轉移到在安全設備上創建的新錢包。

今年三月，安全研究人員發現了一個偽裝成 AI 工具 OpenClaw 安裝程序的惡意 npm 套件。它針對系統密碼和加密貨幣錢包。該套件名為 GhostLoader，會作為隱藏的遙測服務安裝，並掃描 AI 代理的憑證存儲。