Ein gefälschtes OpenAI-Repository auf Hugging Face erreichte die Top-Trendposition auf der Plattform und sammelte innerhalb von 18 Stunden etwa 244.000 Downloads und 667 Likes, bevor die Behörden den Stecker zogen.
Das Projekt,Open-OSS/Datenschutzfilter, kopierte das legitime Datenschutzfiltermodell von OpenAI fast wörtlich, einschließlich der vollständigen Modellbeschreibung, um Benutzer zum Herunterladen zu verleiten. Hugging Face hat seitdem den Zugriff auf das bösartige Repository deaktiviert.
OpenAIveröffentlichte den Datenschutzfilter im April 2026. Das Tool erkennt und entfernt personenbezogene Daten (PII) aus unstrukturiertem Text. Das Unternehmen hat es entwickelt, um Entwicklern dabei zu helfen, stärkere Datenschutzmaßnahmen in ihre Anwendungen einzubetten. Kriminelle betrachteten den Start als Eröffnung.
OpenAI war in letzter Zeit mit anderen datenschutzbezogenen Herausforderungen konfrontiert.Italien hat ChatGPT verbotenüber Datenschutzbedenken und verdeutlicht, wie Regierungen KI-Plattformen auf ihre Datenverarbeitungspraktiken prüfen.
Hacker haben Malware in einem gefälschten Modell-Setup versteckt
Das betrügerische Repository wies Benutzer an, es zu klonen und ein Batch-Skript („start.bat“) unter Windows oder ein Python-Skript („loader.py“) unter Linux und macOS auszuführen, um Abhängigkeiten zu konfigurieren und das Modell zu starten.
Anschließend deaktivierte das Python-Skript stillschweigend die SSL-Überprüfung, entschlüsselte eine Base64-codierte URL aus einem öffentlichen JSON-Einfügedienst namens JSON Keeper und zog daraus einen Befehl, den es direkt an PowerShell übergab.
Das HiddenLayer-Forschungsteam, dasdeckte den Plan auf, stellte fest, dass die Weiterleitung von Nutzlasten über JSON Keeper den Angreifern die Möglichkeit gab, jederzeit schädliche Dateien auszutauschen, ohne das Repository selbst anzutasten.
PowerShell hat dann ein Batch-Skript von „api.eth-fastscan[.]org“, einem Remote-Server, abgerufen und ausgeführt. Dieses Batch-Skript fungierte als Downloader der zweiten Stufe.
Es erhöhte seine eigenen Berechtigungen über eine Eingabeaufforderung zur Benutzerkontensteuerung (UAC), fügte sich selbst zur Ausschlussliste von Microsoft Defender hinzu, zog die nächste Nutzlast aus derselben Domäne und erstellte eine geplante Aufgabe zum Ausführen der endgültigen ausführbaren Datei.
Laut HiddenLayer diente die Aufgabe als einmaliger Launcher auf Systemebene ohne Persistenz über Neustarts hinweg, und die Malware löschte sich zwei Sekunden nach dem Start selbst.
Die letzte Nutzlast war ein voll ausgestatteter Informationsdiebstahler. Es wurden Screenshots erfasst, Daten aus Wallets und Erweiterungen für virtuelle Assets, Discord, Systemmetadaten, FileZilla-Konfigurationen, Seed-Phrasen für digitale Wallets und der Browserverlauf von Chromium- und Gecko-basierten Browsern abgerufen.
Der Stealer suchte auch nach Debuggern, Sandboxes und virtuellen Maschinen, bevor er die Windows Antimalware Scan Interface (AMSI) und Event Tracing for Windows (ETW) deaktivierte, um der Verhaltenserkennung zu entgehen. Alle gestohlenen Daten verließen die Maschine im JSON-Format und gingen zur Domain „recargapopular[.]com“.
Forscher vermuten, dass die Anzahl der Downloads und Likes künstlich erhöht wurde, um den Anschein von Vertrauen zu erwecken und mehr Benutzer zum Herunterladen des Repositorys zu bewegen.
Sechs weitere infizierte Repositories tauchen auf
Die Untersuchung von HiddenLayer ergab sechs weitere Hugging Face-Repositories mit demselben Python-Loader, die alle unter einem Konto namens „anthfu“ veröffentlicht wurden. Die Repositories verwendeten Namen, die beliebte KI-Modelle imitierten, darunter gefälschte Versionen von DeepSeek, Qwen und Gemma. Laut HiddenLayer deutet die gemeinsame Infrastruktur dieser Repositories auf einen koordinierten Lieferkettenbetrieb hin, der auf Open-Source-Plattformen im Großen und Ganzen abzielt.
Dieselbe Serverdomäne lieferte auch eine separate ausführbare Windows-Datei, die eine Verbindung zu einem Command-and-Control-Server herstellte, den Forscher zuvor mit einem bösartigen npm-Paket namens „trevlo“ verknüpft hatten.
Der Weg führt zurück zu ValleyRAT und Silver Fox
Das Trevlo-Paket erschien am 4. April 2026 auf npm unter einem Benutzer namens „titaniumg“ und verzeichnete vor seiner Entfernung mehr als 2.300 Downloads. Forscher beiPanther gefundendass der Postinstall-Hook des Pakets stillschweigend einen verschleierten JavaScript-Loader ausführte.
Dieser Loader erzeugte einen Base64-codierten PowerShell-Befehl, der ein Skript der zweiten Stufe aus der vom Angreifer kontrollierten Infrastruktur abholte und ausführte. Anschließend lud das Skript eine Winos 4.0-Staging-Binärdatei herunter, einschließlich der Entfernung versteckter Zonen-IDs, der Fensterausführung und der Prozesstrennung.
Winos 4.0 ist die gleiche Malware, die Sicherheitsforscher als ValleyRAT verfolgen, ein modularer Remote-Access-Trojaner, den Analysten ausschließlich einer chinesischen Bedrohungsgruppe namens Silver Fox zuschreiben. Die Gruppe verbreitet ValleyRAT typischerweise über Phishing-E-Mails und SEO-Poisoning-Taktiken. Die Verwendung eines Hugging Face-Repositorys als Einstiegspunkt markiert eine neue Erstzugriffsmethode für diese Gruppe.
Sicherheitsforscher sind zum Hauptziel dieser Operationen geworden.Gefälschte GitHub-Exploitshaben WebRAT-Malware gezielt an Forscher verteilt, was darauf hindeutet, dass Bedrohungsakteure sie als wertvolle Einstiegspunkte in größere Netzwerke betrachten.
Laut HiddenLayer deutet die Überschneidung der Infrastruktur bei diesen Kampagnen darauf hin, dass sie wahrscheinlich miteinander verbunden und Teil einer umfassenderen Operation sind, die sich auf Open-Source-Systeme konzentriert.