Un falso modello AI nasconde un infostealer: 244.000 download sotto attacco

La diffusione di malware attraverso repository apparentemente legittimi continua a rappresentare una minaccia crescente per sviluppatori e utenti AI. In questo caso, un falso progetto dedicato a un filtro privacy ha distribuito l’infostealer Sefirah tramite script Python e comandi PowerShell nascosti.

I ricercatori di HiddenLayer hanno scoperto un repository dannoso chiamato Open-OSS/privacy-filter sulla piattaforma Hugging Face. Si spacciava per il progetto legittimo OpenAI Privacy Filter, ma in realtà distribuiva un infostealer per Windows. Prima di essere rimosso, il repository ha raggiunto la vetta della classifica dei contenuti più popolari della piattaforma, con circa 244.000 download.

Secondo i ricercatori, il progetto appariva plausibile perché gli aggressori avevano copiato quasi integralmente la descrizione del vero Filtro Privacy, ma avevano anche distribuito un file chiamato loader.py insieme al “modello”.

Lo script sembrava un normale codice legato all’intelligenza artificiale, ma disabilitava la verifica SSL, decodificava una stringa base64 contenente l’indirizzo di una risorsa esterna e scaricava un payload JSON contenente un comando PowerShell.

Il comando veniva eseguito in una finestra nascosta e scaricava il file batch start.bat. Successivamente, lo script elevava i privilegi, aggiungeva il malware alle eccezioni di Microsoft Defender e scaricava il payload finale, chiamato sefirah (un infostealer scritto in Rust).

Il malware raccoglieva dati dai browser Chromium e Gecko, inclusi cookie, password salvate, chiavi di crittografia e token di sessione.

Il malware era inoltre interessato ai token di Discord, ai portafogli di criptovalute, alle configurazioni SSH, FTP e VPN, ai file di FileZilla, alle frasi di recupero e ad altri segreti locali. In aggiunta, il malware acquisiva schermate di tutti i monitor collegati e raccoglieva informazioni di sistema.

Tutti i dati rubati in questo modo sono stati archiviati e inviati al server di controllo – recargapopular[.]com. HiddenLayer sottolinea in particolare che il malware possiede una serie significativa di funzionalità anti-analisi. Ad esempio, il malware ha effettuato controlli per rilevare macchine virtuali, sandbox, debugger e strumenti di ricerca, nel tentativo di eludere il rilevamento.

La reale portata di questa campagna malevola rimane incerta. I ricercatori ritengono che una parte significativa dei 667 “mi piace” ricevuti dal repository appartenesse ad account creati automaticamente e che il numero di download possa essere stato gonfiato artificialmente.

Un’analisi dell’infrastruttura degli aggressori ha condotto i ricercatori ad altri repository dannosi con lo stesso loader. Inoltre, i ricercatori hanno scoperto delle sovrapposizioni con la campagna npm dannosa che in precedenza aveva distribuito il malware per WinOS 4.0.

Agli utenti che hanno scaricato file dal repository falso si consiglia di reinstallare completamente il sistema, modificare tutte le credenziali di accesso e le frasi di recupero, creare nuovi portafogli di criptovalute e chiudere tutte le sessioni del browser attive.

Bajram Zeqiri

Bajram Zeqiri è un esperto di cybersecurity, cyber threat intelligence e digital forensics con oltre vent'anni di esperienza, che unisce competenze tecniche, visione strategica creare la resilienza cyber per le PMI. Fondatore di ParagonSec e collaboratore tecnico per Red Hot Cyber, opera nella delivery e progettazione di diversi servizi cyber, SOC, MDR, Incident Response, Security Architecture, Engineering e Operatività. Aiuta le PMI a trasformare la cybersecurity da un costo a leva strategica per le PMI.

Aree di competenza: Cyber threat intelligence, Incident response, Digital forensics, Malware analysis, Security architecture, SOC/MDR operations, OSINT research