Un repositorio malicioso en Hugging Face suplantó el modelo Privacy Filter de OpenAI para distribuir un software robador de información dirigido a usuarios de Windows. El ataque utilizó tácticas de engaño y descargas infladas para ganar confianza, logrando llegar a la lista de tendencias antes de ser desactivado. Investigaciones sugieren que estas campañas forman parte de una operación más amplia contra ecosistemas de código abierto, posiblemente vinculada al grupo de hacking chino Silver Fox.

Un repositorio malicioso de Hugging Face logró posicionarse en la lista de tendencias de la plataforma al suplantar el modelo de pesos abiertos Privacy Filter de OpenAI para entregar un robador de información basado en Rust a los usuarios de Windows.

El proyecto, llamado Open-OSS/privacy-filter, se hizo pasar por su contraparte legítima, lanzada por OpenAI a finales del mes pasado (openai/privacy-filter), llegando a copiar toda la descripción textualmente para engañar a los usuarios desprevenidos y que lo descargaran. El acceso al modelo malicioso ha sido desactivado desde entonces por Hugging Face.

Privacy Filter fue presentado en abril de 2026 por la empresa de inteligencia artificial (IA) como una forma de detectar y redactar información de identificación personal (PII) en texto no estructurado, con el objetivo de incorporar protecciones sólidas de privacidad y seguridad en las aplicaciones.

"El repositorio utilizó typosquatting del lanzamiento legítimo de Privacy Filter de OpenAI, copió su tarjeta de modelo casi palabra por palabra y envió un archivo loader.py que obtiene y ejecuta malware robador de información en máquinas Windows", afirmó el Equipo de Investigación de HiddenLayer en un informe publicado la semana pasada.

El proyecto malicioso indica a los usuarios que clonen el repositorio y ejecuten un script por lotes ("start.bat") para Windows o un script de Python ("loader.py") para sistemas Linux o macOS para configurar todas las dependencias necesarias e iniciar el modelo.

Una vez lanzado, el script de Python activa un código malicioso responsable de deshabilitar la verificación SSL, decodificar una URL codificada en Base64 alojada en JSON Keeper y utilizarla para extraer un comando que se pasa a PowerShell para su posterior ejecución. El uso de JSON Keeper, un servicio público de pegado de JSON, como resolutor de "dead drop" permite a los atacantes cambiar las cargas útiles sobre la marcha sin necesidad de modificar el repositorio.

El comando de PowerShell se utiliza para descargar un script por lotes desde un servidor remoto ("api.eth-fastscan[.]org") y lanzarlo utilizando "cmd.exe". El script por lotes funciona como un descargador de segunda etapa que prepara el entorno elevando sus privilegios mediante un aviso de Control de Cuentas de Usuario (UAC), configurando exclusiones del Antivirus de Microsoft Defender, descargando el binario de la siguiente etapa desde el mismo dominio y configurando una tarea programada que lanza un script de PowerShell para ejecutar el ejecutable.

Una vez lanzada la tarea programada, el malware espera dos segundos antes de eliminarse a sí mismo. La etapa final es un robador de información diseñado para tomar capturas de pantalla y recolectar datos de Discord, billeteras y extensiones de criptomonedas, metadatos del sistema, archivos como configuraciones de FileZilla y frases semilla de billeteras, y navegadores web basados en los motores de renderizado Chromium y Gecko.

"A pesar de utilizar una tarea programada, esta etapa no establece persistencia: la tarea se destruye antes de cualquier reinicio. Se está utilizando como un lanzador de contexto SYSTEM de un solo disparo", explicó HiddenLayer.

El robador también realiza comprobaciones para detectar depuradores y sandboxes, comprueba que no se esté ejecutando en una máquina virtual e intenta deshabilitar la Interfaz de Análisis de Malware de Windows (AMSI) y el Seguimiento de Eventos para Windows (ETW) para evadir la detección conductual. Los datos robados se exfiltran en formato JSON al dominio "recargapopular[.]com".



Antes de ser desactivado, se dice que el modelo alcanzó la posición #1 en tendencias de Hugging Face con aproximadamente 244.000 descargas y 667 likes en 18 horas. Se sospecha que estas cifras fueron infladas artificialmente para darle al repositorio una ilusión de confianza y lograr que los usuarios lo descargaran.

Análisis posteriores de la actividad han descubierto seis repositorios más que presentan un cargador de Python similar para desplegar el robador:

* anthfu/Bonsai-8B-gguf
* anthfu/Qwen3.6-35B-A3B-APEX-GGUF
* anthfu/DeepSeek-V4-Pro
* anthfu/Qwopus-GLM-18B-Merged-GGUF
* anthfu/Qwen3.6-35B-A3B-Claude-4.6-Opus-Reasoning-Distilled-GGUF
* anthfu/supergemma4-26b-uncensored-gguf-v2

HiddenLayer señaló que también observó que el dominio "api[.]eth-fastscan[.]org" se utilizaba para servir un ejecutable de Windows diferente ("o0q2l47f.exe") que se comunica con "welovechinatown[.]info", un servidor de comando y control (C2) que fue utilizado previamente en una campaña que aprovechó un paquete npm malicioso llamado trevlo para entregar ValleyRAT (también conocido como Winos 4.0).

"El hook postinstall del paquete ejecuta silenciosamente un cargador de JavaScript ofuscado que genera un comando de PowerShell codificado en base64, que a su vez obtiene y ejecuta un script de PowerShell de segunda etapa desde la infraestructura controlada por el atacante", señaló Panther el mes pasado.



"Ese script descarga y ejecuta un binario stager de Winos 4.0 ("CodeRun102.exe") con evasión total, incluyendo ejecución de ventana oculta, eliminación del identificador de zona y desvinculación de procesos".

El ataque es notable porque representa un nuevo vector de acceso inicial para ValleyRAT, un troyano de acceso remoto modular que se sabe que se distribuye a través de correos electrónicos de phishing y envenenamiento de optimización de motores de búsqueda (SEO). El uso de ValleyRAT se atribuye exclusivamente a un grupo de hacking chino apodado Silver Fox.

"La infraestructura compartida sugiere que estas campañas están posiblemente vinculadas y probablemente forman parte de una operación de cadena de suministro más amplia dirigida a los ecosistemas de código abierto", afirmó HiddenLayer.

Fuente:
THN