Аналитики безопасности отмечают информационно-крадущий репозиторий Qwen 3.8 27B на GitHub
- 28 августа компания SlowMist сообщила, что репозиторий GitHub, выдававший себя за модель Qwen 3.8 27B, распространял инфостилер StealC размером 487 КБ.
- Вирус собирает системные данные и скриншоты, а затем отправляет их на жёстко заданный сервер.
- Реальный проект Qwen от Alibaba не пострадал.
Вирус, крадущий информацию, был загружен в репозиторий GitHub под видом загружаемых весов для модели Alibaba Qwen 3.8 27B.
Команда безопасности SlowMist сообщила об инциденте 28 августа, и любой, кто запускает модели ИИ с открытым исходным кодом локально, может подвергнуться риску кражи учетных данных.
На GitHub есть фальшивая модель Qwen AI
Августа 28 команда безопасности SlowMist предупредила что кто-то создал фальшивую страницу на GitHub, которая выглядела так, будто предлагает популярную модель Qwen AI для загрузки. Страница убедительно обещала полностью автономный ИИ, который сохранит конфиденциальность данных пользователя, но ловушка была выдана размером файла.
ZIP-файл в этом фальшивом репозитории составлял всего 487 КБ, что меньше половины мегабайта, в то время как настоящая ИИ-модель с 27 миллиардами параметров занимает более 16 ГБ места на компьютере.
Вредоносный ZIP-файл с именем uncensored_qwen_v2.6.zip был создан 20 августа 2026 года, а четыре дня спустя злоумышленники отредактировали страницу README так, что все ссылки для загрузки вели непосредственно на вредоносный ZIP-файл.
Настоящий проект Alibaba Qwen не был затронут этим вообще.
Внутри ZIP находились три файла: командный файл, исполняемая программа и скрипт, похожий на сертификат. Исполняемый файл является переименованной версией интерпретатора LuaJIT, который является инструментом, используемым игровыми движками. Сам по себе он не опасен, но скрипт, замаскированный под файл сертификата, загружает вирус, известный как StealC.
После запуска на компьютере StealC собирает имя системы, имя пользователя, идентификатор машины и версию Windows. Он делает снимок экрана, а затем отправляет все эти данные на сервер, контролируемый злоумышленниками. Вирус также может красть данные для входа в браузер, файлы cookie, историю просмотров, пароли электронной почты и даже информацию о криптокошельках.
Злоумышленники также настроили резервную систему, которая позволяет вирусу считывать адрес резервного сервера из смарт-контракта в блокчейне Polygon в случае отключения их основного сервера. Система позволяет злоумышленникам менять местоположение своего сервера без необходимости обновлять код вируса на зараженных компьютерах.
Как часто на GitHub загружаются троянские модели?
SlowMist обнаружила как минимум 23 других репозитория GitHub и 29 аналогичных ZIP-файлов, использующих ту же цепочку доставки на основе Lua. Island.io обнаружила и сообщила о кампании под названием FakeGit, активной с марта 2025 года, которая создала около 7600 вредоносных репозиториев GitHub и сгенерировала более 14 миллионов событий загрузки.
800 из этих 7600 специально разработаны для имитации инструментов, связанных с ИИ, используя технику под названием AgentBaiting. Они могут даже обмануть ИИ-ассистентов, чтобы те рекомендовали их.
В январе Cryptopolitan сообщил, что фактические модели Alibaba пересекли отметку в 700 миллионов загрузок на Hugging Face, что является самым большим показателем среди любой системы ИИ с открытым исходным кодом.
В конце июня как минимум 292 репозитория GitHub, копирующие известные бренды были отмечены. Эти фальшивые репозитории распространяли вирус под названием BoryptGrab, который крадет данные из 32 различных криптокошельков и 19 веб-браузеров.
Отдельно, компания по безопасности InfoStealers описала другую автоматизированную атаку под названием Megalodon, которая создала более 5000 фальшивых репозиториев всего за шесть часов.
Злоумышленники теперь копируют реальные проекты, создают убедительные страницы README и даже используют украденные идентичности разработчиков. Они также перечисляют эти фальшивые проекты в публичных ИИ-реестрах, таких как LobeHub и Glama, делая их более надежными.
Cryptopolitan написал об этой же тактике, когда операция StopAndProtect превратила почти 2000 взломанных веб-сайтов WordPress в ловушки для пользователей криптовалют.
Island сообщает, что репозитории создаются в ответ на растущий спрос на возможности ИИ.
Самые умные крипто-энтузиасты уже читают нашу рассылку. Хотите присоединиться? Присоединяйтесь.
Часто задаваемые вопросы
Что представлял собой поддельный репозиторий Qwen и что он на самом деле содержал?
Репозиторий `unburdened-jackinthebox365/qwen38-uncensored` заявлял о предоставлении локальных квантованных весов для Qwen 3.8 27B, но вместо этого предоставлял ZIP-архив размером 487 КБ, содержащий три файла: обфусцированный Lua-скрипт, который SlowMist идентифицировала как инфостилер StealC, и никаких моделей весов.
Была ли скомпрометирована официальная модель Qwen от Alibaba?
Нет. По данным SlowMist, это был фишинговый репозиторий, распространяющий вредоносное ПО под именем Qwen; официальный проект Qwen не был скомпрометирован.
Как отличить поддельную загрузку локальной модели от настоящей?
Сравнивайте размер файлов с количеством параметров: по оценкам SlowMist, модель Q4_K_M на 27B занимает более 16 ГБ, поэтому загрузка размером всего в несколько сотен килобайт не может содержать настоящие веса, а вредоносные пакеты могут скрываться в загружаемых ресурсах репозитория, а не в видимом исходном коде.
Ханна Коллимор
Ханна — писатель и редактор с почти десятилетним опытом ведения блогов и освещения мероприятий в криптоиндустрии. В Cryptopolitan Ханна работает над новостной страницей, освещая и анализируя последние события в сферах DeFi, RWA, криптовалютного регулирования, искусственного интеллекта и передовых технологий. Она окончила Университет Аркадии со степенью бакалавра делового администрирования.
