Su modelo malicioso más popular fue descargado más de 28.000 veces.

Por separado, los investigadores alertaron sobre un kit de inicio de Solana falso en GitHub, activo desde finales de 2025, posicionado para engañar a los agentes de codificación de IA y lograr que instalen un troyano de acceso remoto.

El código se ejecuta antes de que el modelo se cargue

Investigadores de Pluto Security encontraron 31 repositorios maliciosos en siete cuentas de Hugging Face, publicados en dos oleadas desde septiembre.

Los modelos se hacen pasar por pequeños puntos de control de prueba de Qwen2. Se dirigen a hosts de GPU que ejecutan servidores de inferencia autoalojados como Xinference y GPUStack.

Incluyendo los modelos vinculados, los repositorios tienen más de 32.000 descargas. Pluto señala que esto cuenta descargas, no infecciones confirmadas.

En lugar de utilizar pesos envenenados o exploits de pickle, la campaña abusa de una opción de Hugging Face, trust_remote_code, que permite que un modelo envíe su propio código Python. Cuando un usuario la habilita, ese código se ejecuta en su máquina tan pronto como el modelo se carga.

El modelo más descargado, MENXIANGYU/qwen2-tiny, no contenía ningún modelo real. Su código instala silenciosamente un minero de criptomonedas disfrazado de proceso del sistema Linux, lo reinicia si es finalizado y elimina a los mineros competidores de la máquina.

Algunas versiones también abren una shell inversa, otorgando al atacante acceso directo al servidor infectado.

De vuelta pocos días después de la eliminación

Pluto descubrió la campaña a través de una cuenta de prueba cuyos archivos de respaldo restantes apuntaban a las cuentas principales del atacante. Informó de la primera oleada a Hugging Face y al ModelScope de China, y ambos eliminaron las cuentas.

Cómo Pluto vinculó la cuenta de prueba con las cuentas principales de la campaña (Pluto Security)

Una segunda oleada de 19 repositorios apareció bajo nuevas cuentas en cuestión de días.

Horas después de que Pluto lo informara, el operador publicó otro modelo con un script que puede salir de un contenedor y tomar el control del servidor subyacente.

Pluto afirma que los repositorios de la segunda oleada seguían activos ocho días después de haberlos reportado. Las descargas del modelo principal subieron de 7.354 en el momento del informe a 28.412 para el 28 de octubre.

Al momento de escribir esto, Hugging Face ha deshabilitado el acceso a ese modelo. Una copia casi idéntica subida el 25 de octubre por una cuenta más nueva, htt0118, sigue activa, y BleepingComputer confirmó que contiene el mismo minero y shell inversa:

'htt0118/qwen2-tiny' modelo aún activo en Hugging Face al momento de escribir esto (BleepingComputer)

Escaneos limpios, pagos reales

Hugging Face escanea las cargas con antivirus y herramientas asociadas de Protect AI y JFrog. Pluto dice que estas buscan malware conocido y formatos de modelo inseguros, en lugar de lo que el código Python de un modelo hace realmente.

"El modelo principal de la segunda oleada fue escaneado como limpio mientras recolectaba 28.412 descargas", dijeron los investigadores, añadiendo que JFrog informó que el archivo de carga "no era un modelo de aprendizaje automático".

Según Pluto, la billetera principal del operador ha recibido aproximadamente 5.000 dólares en la criptomoneda Pearl (PRL). Seguía activa en pools de minería después de que los repositorios detrás de ella fueran eliminados.

Mientras los investigadores observaban, nueve máquinas que parecen pertenecer a un clúster de GPU de investigación compartido comenzaron a minar para el operador a la vez.

Se desconectaron unos seis minutos después, lo que según Pluto encaja con un administrador finalizando los procesos.

Pluto atribuye la campaña a un operador de habla china motivado financieramente. Cita comentarios de código en chino simplificado, servidores de comando y control en Alibaba Cloud y horarios de actividad que caen tarde en la noche en China.

Cualquier persona que haya cargado estos modelos con trust_remote_code habilitado debe tratar la máquina como comprometida, verificarla con los indicadores del informe de Pluto y rotar cualquier credencial a la que el atacante haya podido acceder. Eliminar solo el minero no elimina las puertas traseras.

Kit falso de solana dirigido a agentes de codificación de ia

En un informe separado, Air Security describe un repositorio de GitHub, SolanaUpdateTools/solana-starter-kit, que afirma que aparece como el resultado principal cuando los agentes de codificación de IA buscan un kit de inicio de Solana.

Un agente que elija el repositorio y siga su README podría ejecutar el comando del atacante sin que el desarrollador llegue a verlo.

El repositorio fue creado en noviembre de 2025 y tiene 286 estrellas. Su README promete una plantilla completa de aplicación de Solana, pero nada de ese código existe, y el README es el único archivo en el repositorio:

Kit de inicio de Solana falso aún activo en GitHub al momento de escribir esto (BleepingComputer)

El único paso de "instalación" del README indica a los usuarios que peguen una línea de PowerShell en un símbolo del sistema. El comando, exclusivo de Windows, ensambla una URL en developer-update[.]app a partir de fragmentos, luego obtiene y ejecuta un script desde allí en la memoria.

BleepingComputer obtuvo la carga archivada de la Wayback Machine de Internet Archive y confirmó los hallazgos de Air.

La carga instala NetSupport Manager, una herramienta de acceso remoto legítima, configurada para conectarse a maxwintodaybtc[.]com y dar al atacante el control oculto de la máquina en cada inicio de sesión.

El script luego muestra un error falso que dice "la funcionalidad de desarrollador está pausada temporalmente debido a la carga" y "inténtelo de nuevo en 72 horas", lo que un agente podría transmitir fácilmente como un problema rutinario del servidor.

Mensaje de error falso mostrado por la carga de PowerShell (BleepingComputer)

Air vinculó la configuración a un operador conocido de RAT NetSupport rastreado por eSentire, y a una campaña anterior que atrajo a traders de criptomonedas con herramientas falsas de "señales de IA" de TradingView.

La URL de la carga devolvió un error 404 cuando Air la comprobó. Al momento de escribir esto, el repositorio de GitHub seguía activo en GitHub.

Fuente:
BleepingComputer