Malware di Hugging Face Bajak GPU untuk Mining Kripto, Model AI Palsu Diunduh Lebih dari 28.000 Kali
Peneliti keamanan menemukan kampanye malware yang memanfaatkan platform Hugging Face untuk menyebarkan cryptocurrency miner dan backdoor melalui repository model artificial intelligence (AI) palsu.
Kampanye tersebut ditemukan oleh Pluto Security dan diketahui telah menggunakan 31 repository berbahaya yang tersebar di tujuh akun Hugging Face sejak September 2026.
Salah satu repository paling populer, bernama MENXIANGYU/qwen2-tiny, tercatat telah diunduh sebanyak 28.412 kali hingga 28 Oktober 2026.
Malware tersebut menyamar sebagai model AI ringan berbasis Qwen2, tetapi sebenarnya dirancang untuk menggunakan sumber daya GPU korban dalam aktivitas penambangan cryptocurrency.
Selain menjalankan cryptominer, beberapa varian juga memasang backdoor yang memungkinkan penyerang mengakses server dari jarak jauh.
Menurut Pluto Security, kampanye ini terutama menargetkan infrastruktur AI yang menjalankan layanan inferensi mandiri, termasuk Xinference dan GPUStack.
Model AI Palsu Jalankan Malware Sebelum Proses Loading Selesai
Berbeda dari serangan yang memanfaatkan model AI dengan file weight berbahaya, kampanye ini menyalahgunakan fitur Hugging Face bernama trust_remote_code.
Fitur tersebut memungkinkan pengguna menjalankan kode Python khusus yang disediakan oleh pengembang model.
Dalam penggunaan normal, mekanisme ini diperlukan ketika sebuah model membutuhkan implementasi arsitektur yang belum tersedia secara langsung dalam library yang digunakan.
Namun, ketika pengguna mengaktifkan trust_remote_code=True pada model yang tidak tepercaya, kode Python dari repository dapat dieksekusi menggunakan hak akses proses aplikasi.
Penyerang memanfaatkan mekanisme tersebut dengan menyisipkan script berbahaya ke dalam repository yang menyerupai model Qwen2.
Menariknya, repository MENXIANGYU/qwen2-tiny bahkan tidak memiliki model AI yang sebenarnya.
File model.safetensors hanya berukuran 42 byte dan tidak berisi tensor model. Sementara itu, kode berbahaya disimpan dalam file Python modeling_evil2.py.
Ketika repository dimuat, script akan menjalankan proses instalasi malware sebelum model AI selesai diinisialisasi.
Dengan demikian, server dapat terinfeksi meskipun proses loading model akhirnya gagal.
Malware Menyamar sebagai Proses Linux
Setelah berhasil dijalankan, malware memasang cryptocurrency miner pada sistem Linux yang menjadi korban.
Untuk menghindari perhatian administrator, proses mining disamarkan menggunakan nama yang menyerupai proses sistem Linux.
Malware juga memasang komponen pemantauan atau watchdog agar proses penambangan dapat dijalankan kembali ketika dihentikan.
Selain itu, penyerang memodifikasi file startup shell dan membuat mekanisme persistensi melalui konfigurasi sistem.
Beberapa varian bahkan memiliki kemampuan untuk mencari dan menghentikan cryptocurrency miner lain yang sudah berjalan pada perangkat korban.
Tujuannya adalah memastikan sumber daya GPU tersedia bagi aktivitas penambangan yang dikendalikan operator malware.
Peneliti juga menemukan varian yang memasang reverse shell, memungkinkan penyerang menjalankan perintah dari jarak jauh.
Kemampuan tersebut meningkatkan risiko karena kompromi tidak lagi terbatas pada pencurian sumber daya komputasi.
Penyerang juga berpotensi mengakses informasi sensitif, termasuk kredensial cloud, SSH key, dan token autentikasi yang tersedia pada server.
Kampanye Muncul Kembali Setelah Repository Dihapus
Pluto Security sebelumnya telah melaporkan gelombang pertama kampanye tersebut kepada Hugging Face dan ModelScope.
Kedua platform kemudian menghapus akun serta repository yang teridentifikasi berbahaya.
Namun, hanya beberapa hari setelah penghapusan, operator kembali menerbitkan 19 repository baru menggunakan akun berbeda.
Varian terbaru juga membawa kemampuan yang lebih kompleks, termasuk mekanisme reverse shell dan teknik anti-deteksi tambahan.
Bahkan, peneliti menemukan sebuah script yang dirancang untuk keluar dari lingkungan container dengan hak akses tinggi dan memperoleh kendali terhadap sistem host.
Kemampuan tersebut berbahaya bagi lingkungan AI yang menjalankan workload GPU di dalam container, terutama jika konfigurasi isolasi tidak diterapkan dengan benar.
Secara keseluruhan, kampanye utama mencatat 29.818 unduhan dari 31 repository. Jika model lain yang memiliki keterkaitan turut dihitung, jumlahnya mencapai 32.376 unduhan.
Namun, Pluto Security menekankan bahwa angka tersebut merupakan jumlah download, bukan jumlah infeksi atau pengguna yang dipastikan menjadi korban.
Peneliti Temukan GPU Korban Digunakan untuk Mining
Investigasi Pluto Security menemukan bukti bahwa malware telah digunakan untuk menghasilkan cryptocurrency bagi operator.
Salah satu wallet penyerang tercatat menerima sekitar 2.276 token Pearl (PRL), dengan nilai sekitar US$5.000 ketika dianalisis.
Peneliti juga mengamati sembilan perangkat komputasi yang terlihat berasal dari sebuah cluster penelitian GPU mulai melakukan mining hampir bersamaan.
Perangkat tersebut menggunakan nama yang menyerupai lingkungan notebook penelitian dan GPU NVIDIA A100.
Aktivitas penambangan berhenti sekitar enam menit kemudian, yang menurut peneliti konsisten dengan kemungkinan administrator menghentikan proses mencurigakan.
Pluto Security menduga kampanye dijalankan oleh operator atau kelompok kecil berbahasa Mandarin yang bermotif finansial.
Penilaian tersebut didasarkan pada komentar kode berbahasa Mandarin Sederhana, penggunaan infrastruktur Alibaba Cloud, serta pola waktu aktivitas.
Namun, identitas pelaku belum dapat dikonfirmasi secara pasti.
Malware Berhasil Lolos dari Pemindaian Keamanan
Salah satu temuan penting adalah kemampuan repository berbahaya melewati pemeriksaan keamanan otomatis.
Hugging Face menggunakan antivirus dan sejumlah teknologi keamanan dari mitra seperti Protect AI serta JFrog untuk memindai file yang diunggah.
Namun, menurut Pluto Security, sebagian mekanisme pemeriksaan lebih berfokus pada signature malware yang sudah dikenal dan keamanan format file model.
Dalam kampanye ini, kode berbahaya berupa script Python biasa yang dijalankan melalui fitur trust_remote_code.
Akibatnya, repository MENXIANGYU/qwen2-tiny sempat dinyatakan aman oleh pemindai meskipun mengandung kode yang memasang cryptominer.
Temuan tersebut menunjukkan bahwa pemeriksaan otomatis tidak selalu mampu mengidentifikasi seluruh perilaku berbahaya dalam repository model AI.
Repository GitHub Palsu Juga Targetkan AI Coding Agent
Dalam temuan terpisah, perusahaan keamanan Air Security mengungkap serangan yang menargetkan AI coding agent melalui repository GitHub palsu bernama SolanaUpdateTools/solana-starter-kit.
Repository tersebut menyamar sebagai template pengembangan aplikasi berbasis blockchain Solana.
Namun, alih-alih menyediakan source code aplikasi, halaman README mengarahkan pengguna menjalankan perintah PowerShell yang mengunduh script berbahaya.
Script tersebut dapat memasang NetSupport Manager, aplikasi remote access sah yang disalahgunakan untuk memberikan akses tersembunyi kepada penyerang.
Serangan ini menargetkan developer yang menggunakan AI coding agent untuk mencari dependency atau menyiapkan project secara otomatis.
Jika AI agent menjalankan instruksi dari repository tanpa pemeriksaan, komputer developer berpotensi terinfeksi.
Meski sama-sama memanfaatkan kepercayaan terhadap sumber kode eksternal, serangan GitHub tersebut merupakan kampanye berbeda dan belum dikaitkan dengan operator malware Hugging Face.
Administrator Server GPU Diminta Memeriksa Repository AI
Pluto Security menyarankan administrator yang pernah memuat model mencurigakan menggunakan trust_remote_code=True untuk memperlakukan sistem sebagai berpotensi terkompromi.
Pemeriksaan dapat dimulai dengan mencari proses mining tidak dikenal, perubahan file startup, cron job mencurigakan, serta SSH key yang tidak sah.
Beberapa indikator yang ditemukan peneliti meliputi direktori /tmp/.cch/, proses svc.py, dan proses yang menyamar sebagai [kworker/u20:1].
Namun, keberadaan atau ketiadaan satu indikator saja tidak cukup untuk memastikan status keamanan sistem.
Jika kompromi terkonfirmasi, administrator perlu mengisolasi perangkat, memeriksa mekanisme persistensi, serta mengganti kredensial yang mungkin telah diakses penyerang.
Menghentikan cryptominer saja tidak cukup karena backdoor dapat tetap aktif.
Untuk pencegahan, pengguna disarankan memeriksa kode Python sebelum mengaktifkan trust_remote_code, menggunakan repository dari penerbit tepercaya, serta menjalankan model yang belum diverifikasi dalam lingkungan dengan hak akses terbatas.
Kasus ini memperlihatkan bahwa repository model AI dapat menjadi jalur distribusi malware, terutama ketika server menjalankan kode pihak ketiga tanpa pemeriksaan keamanan yang memadai.
Bagi organisasi yang mengelola infrastruktur AI dan GPU, keamanan model yang diunduh kini perlu mendapatkan perhatian sama besarnya dengan keamanan dependency software lainnya.
Sumber: Pluto Security — Load/Mine: A Hugging Face Malware Campaign Returns After Takedown
