Una campaña de malware vuelve a secuestrar GPU mediante modelos de Hugging Face

El 29 de octubre de 2026, Pluto Security alertó de una campaña de criptominería y puertas traseras que había reaparecido pocos días después de que Hugging Face y ModelScope retirasen sus primeras cuentas. Los investigadores localizaron 31 repositorios maliciosos en siete cuentas, publicados en dos oleadas desde septiembre, con más de 32.000 descargas acumuladas, aunque esta cifra no confirma infecciones.

Los repositorios se presentaban como pequeños checkpoints de Qwen2 y estaban dirigidos a servidores con GPU que ejecutan plataformas de inferencia autoalojadas como Xinference y GPUStack. La campaña abusaba de la opción trust_remote_code de Hugging Face, que permite que un modelo incluya código Python propio y lo ejecute en el equipo cuando se carga.

El modelo más descargado, MENXIANGYU/qwen2-tiny, no contenía un modelo funcional. Su código instalaba silenciosamente un minero de criptomonedas disfrazado de proceso del sistema Linux, lo reiniciaba si era detenido y eliminaba otros mineros. Algunas variantes también abrían una shell inversa para proporcionar al atacante acceso directo al servidor.

Tras la retirada inicial, Pluto Security detectó una segunda oleada de 19 repositorios bajo cuentas nuevas. Horas después de recibir el aviso, el operador publicó otro modelo con un script capaz de escapar de un contenedor y tomar el control del servidor subyacente. Ocho días después de la notificación, varios repositorios de esta oleada seguían activos. El modelo principal pasó de 7.354 descargas cuando fue comunicado a 28.412 el 28 de octubre, antes de que Hugging Face deshabilitara su acceso. Una copia casi idéntica, htt0118/qwen2-tiny, continuaba disponible y contenía el mismo minero y la misma shell inversa.

Según Pluto Security, los análisis de Hugging Face y de sus socios detectaron formatos inseguros y malware conocido, pero no identificaron el comportamiento del código Python incluido en el modelo. La cartera principal del operador recibió aproximadamente 5.000 dólares en la criptomoneda Pearl (PRL) y nueve máquinas aparentemente pertenecientes a un clúster de investigación comenzaron a minar simultáneamente. Pluto atribuye la actividad a un operador de habla china motivado económicamente, basándose en los comentarios en chino simplificado, el uso de servidores de mando y control en Alibaba Cloud y los horarios de actividad.

Pluto Security recomienda considerar comprometido cualquier equipo que haya cargado estos modelos con trust_remote_code habilitado, revisar los indicadores publicados en su informe y rotar las credenciales accesibles desde esas máquinas. La eliminación del minero, por sí sola, no elimina las puertas traseras.

Fuente: BleepingComputer.