Die Sicherheitsforscher von HiddenLayer entdeckten die Kampagne am 7. Mai und offenbarten eine raffinierten Angriffsschema: Die gefälschte Repository nutzte Typosquatting, um OpenAIs legitimes “Privacy Filter”-Projekt nachzuahmen. Die Modellbeschreibung war nahezu identisch kopiert, doch versteckte sich das echte Werkzeug des Angreifers in einer Datei namens “loader.py”.
Das Python-Skript war getarnt als harmlose KI-Code, verbarg aber kritische Schadcode-Funktionen: Es deaktivierte SSL-Verifikation, decodierte eine Base64-verschlüsselte URL und holte sich ein JSON-Payload mit PowerShell-Befehlen. Das Skript führt diese Kommandos in einem versteckten Fenster aus, lädt dann die eigentliche Malware (“sefirah”) herunter und trägt sie in die Exclusions-Liste von Microsoft Defender ein – ein klassischer Stealth-Trick.
Die finale Malware ist in Rust geschrieben und stiehlt gezielt sensible Daten wie Browserdaten, Passwörter, Kryptowallet-Informationen und Session-Tokens. Das gestohlene Material wird komprimiert zu einem Command-and-Control-Server unter “recargapopular[.]com” übertragen.
Besonders beeindruckend ist die Defensiv-Architektur des Schadcodes: Er erkennt virtuelle Maschinen, Sandboxes und Debugger-Tools und weigert sich unter diesen Bedingungen auszuführen – eine klassische Analyse-Evasion-Technik.
Die tatsächliche Opferzahl bleibt unklar. HiddenLayer-Forscher vermuten, dass der Großteil der 667 Likes und möglicherweise auch viele der 244.000 Downloads automatisiert waren. Trotzdem entdeckten sie weitere Repository mit derselben Malware-Infrastruktur und Überschneidungen mit einer npm-Typosquatting-Kampagne für das WinOS 4.0-Trojanisches Pferd.
Für betroffene Nutzer empfehlen die Experten drastische Maßnahmen: Neuinstallation des Systems, Rücksetzen sämtlicher Anmeldedaten, Austausch von Kryptowallet-Seed-Phrasen sowie Invalidierung aller Browser-Sessions. Dies unterstreicht die Schwere solcher Kompromittierungen – der Schaden kann langfristig sein.
Dies ist nicht das erste Mal, dass Hugging Face als Malware-Verbreitungskanal missbraucht wurde. Die Plattform muss ihre Sicherheitsmechanismen weiter verschärfen, während Entwickler ihre Bezugsquellen kritisch überprüfen sollten.