虚假 OpenAI 存储库下载量达 24.4 万次，附带加密钱包窃取程序

Hugging Face 上的一个虚假 OpenAI 存储库获得了约 24.4 万次下载。它在被移除之前在平台上非常流行。该虚假存储库交付了一个 Rust 窃取程序，从 Windows 计算机中提取浏览器数据、加密钱包和开发者密钥。

HiddenLayer的安全研究人员在“Open-OSS/privacy-filter”命名空间下发现了恶意存储库。它是 OpenAI 上个月发布的真实 Privacy Filter 模型的域名抢注（typosquat）。

该虚假列表复制了 OpenAI 的模型卡，并附加了指令，告诉用户克隆存储库并运行脚本。

攻击者使用了虚假的 OpenAI Privacy Filter

OpenAI 的真实 Privacy Filter 是一个开放权重模型，用于检测和删除文本中的个人身份信息。

真实版本通过 Hugging Face 和 GitHub 以 Apache 2.0 许可证发布。开发者预期在真实存储库中找到可运行的代码和设置脚本。

但攻击者利用了开发者的期望。他们在不同的命名空间下发布了一个外观相似的存储库，使用了熟悉的品牌标识和几乎相同的文档。

一个名为 loader 的 Python 文件，看起来像正常的模型加载代码，包含一个假的 DummyModel 类和假的训练输出。

该脚本有一个函数可以禁用 SSL 验证，解码一个秘密 URL，并从 JSON Keeper 接收命令。JSON Keeper 是一个公开的 JSON 粘贴服务，它允许攻击者在无需与存储库交互的情况下交换有效载荷。

该命令启动了一个隐藏的 Windows PowerShell 进程。一个模仿区块链分析 API 的批处理脚本试图提升权限。

它试图为有效载荷目录添加 Microsoft Defender 排除项。然后，该命令通过一个看起来像 Microsoft Edge 更新程序的一次性计划任务释放了完成的二进制文件。

接下来，交付了一个 1.07 MB 的 Rust 可执行文件。它提取了浏览器数据、Discord 令牌、加密钱包文件、SSH、FTP 和 VPN 凭据。被盗数据被发送到命令与控制（C2）服务器。

为了防止研究人员设置自动化分析，该恶意软件还避开了虚拟机、沙箱和调试器。

24.4 万次下载并不意味着确认感染。目前尚不清楚有多少用户执行了恶意文件。

OpenAI 和 Hugging Face 均未发表公开声明。现有证据表明仅涉及平台冒充。OpenAI 或 Hugging Face 均未受到入侵。

OpenAI 的 Privacy Filter 发布引发了开发者的搜索流量。

任何克隆了该存储库的人的步骤

任何克隆了该存储库并运行了恶意脚本的人都应认为其 Windows 计算机已受到感染。重新映像计算机是删除恶意文件的唯一有效解决方案。

在受感染的计算机上登录任何账户都可能导致进一步暴露。安全研究人员建议轮换设备上浏览器、密码管理器或凭据存储中存储的所有凭据。这包括保存的密码、会话 Cookie、OAuth 令牌、SSH 密钥和云提供商令牌。

加密资金应转移到在健康设备上创建的新钱包中。

3 月，安全研究人员发现了一个伪装成 AI 工具 OpenClaw 安装程序的恶意 npm 包。它针对系统密码和加密钱包。该名为 GhostLoader 的包将自己安装为隐藏的遥测服务，并扫描 AI 代理凭据存储。