Một kho lưu trữ giả mạo OpenAI trên Hugging Face đã xuất hiện trên xu hướng, hút khoảng 244.000 lượt tải trước khi bị gỡ, nhưng thực chất phát tán phần mềm đánh cắp dữ liệu trên máy Windows.
Vụ việc cho thấy các kho mã và mô hình AI đang trở thành bề mặt tấn công mới, nhất là khi tên gọi, mô tả và tài liệu bị sao chép gần như nguyên bản để đánh lừa nhà phát triển.
- Kho giả mạo mang tên “Open-OSS/privacy-filter” được thiết kế để giống OpenAI Privacy Filter.
- Tệp độc hại tải xuống một trình đánh cắp viết bằng Rust, nhắm vào dữ liệu trình duyệt, ví crypto và bí mật của lập trình viên.
- Khoản 244.000 lượt tải chưa đồng nghĩa với số máy bị nhiễm, nhưng người đã chạy script cần coi thiết bị là có rủi ro.
Kho giả mạo đã đánh lừa người dùng như thế nào
Kho lưu trữ độc hại được đặt dưới namespace “Open-OSS/privacy-filter”, tạo cảm giác như liên quan đến mô hình Privacy Filter thật của OpenAI. Trang này còn sao chép model card và thêm hướng dẫn để người dùng clone repo rồi chạy script.
OpenAI Privacy Filter là mô hình open weight dùng để phát hiện và che thông tin nhận dạng cá nhân trong văn bản. Chính kỳ vọng quen thuộc của nhà phát triển về một repo mô hình có thể chạy được đã bị kẻ tấn công lợi dụng.
Bên trong có một file Python tên loader trông giống mã tải mô hình thông thường, nhưng thực tế chứa lớp DummyModel giả và đầu ra huấn luyện giả. Script này vô hiệu hóa kiểm tra SSL, giải mã một URL bí mật và nhận lệnh từ một dịch vụ JSON công khai để thay đổi payload từ xa.
Phần mềm độc hại đã làm gì trên máy Windows
Chuỗi lệnh sau đó mở một tiến trình PowerShell ẩn trên Windows, cố gắng nâng quyền và thêm ngoại lệ cho Microsoft Defender. Một tác vụ theo lịch cũng được dùng để phát tán tệp nhị phân cuối cùng, với tên và cách hoạt động giống trình cập nhật Microsoft Edge.
Payload cuối là một tệp thực thi Rust nặng 1,07 MB. Nó lấy dữ liệu trình duyệt, token Discord, tệp ví crypto, cùng thông tin xác thực SSH, FTP và VPN, rồi gửi dữ liệu đánh cắp về máy chủ điều khiển.
Phần mềm độc hại cũng tìm cách né máy ảo, sandbox và công cụ debug, nhằm giảm khả năng bị phân tích tự động. Dữ liệu hiện có chưa cho thấy số người thực sự chạy file độc hại là bao nhiêu.
Tác động thực tế và mức độ rủi ro hiện nay
Con số 244.000 lượt tải không đồng nghĩa với 244.000 máy bị nhiễm. Hiện chưa rõ có bao nhiêu người đã thực sự clone repo và chạy các script độc hại.
OpenAI và Hugging Face chưa đưa ra tuyên bố công khai. Dữ kiện hiện có cho thấy đây là một trường hợp giả mạo nền tảng, chưa có dấu hiệu cho thấy OpenAI hay Hugging Face bị xâm nhập.
Sự việc vẫn đáng chú ý vì nó cho thấy các repo AI phổ biến có thể bị lợi dụng để phát tán mã độc thông qua thương hiệu quen thuộc và tài liệu trông rất hợp lý. Đây là rủi ro ngày càng gần với nhóm người dùng crypto vì dữ liệu ví, token và khóa SSH thường cùng nằm trên một máy làm việc.
Nếu đã chạy repo thì cần lưu ý gì
Nếu đã clone repository và chạy script độc hại, thiết bị Windows cần được xem là có nguy cơ bị xâm phạm. Cách xử lý an toàn nhất là cài lại máy để loại bỏ hoàn toàn các tệp độc hại.
Sau đó, cần đổi toàn bộ thông tin đăng nhập từng được lưu trên máy, gồm mật khẩu trong trình duyệt, cookie phiên, OAuth token, SSH key và các token cloud. Nếu có ví crypto trên thiết bị đó, nên chuyển tài sản sang ví mới tạo trên một máy sạch.
Đợt tấn công này cũng nối tiếp xu hướng malware ngụy trang dưới dạng công cụ AI. Trước đó, một gói npm độc hại giả làm trình cài đặt cho công cụ AI OpenClaw cũng từng nhắm vào mật khẩu hệ thống và ví crypto.
Tổng kết
Vụ kho giả mạo OpenAI trên Hugging Face cho thấy chỉ cần sao chép tên gọi, tài liệu và hướng dẫn đúng kiểu quen thuộc là đã có thể đánh lừa người dùng. Với những ai làm việc trên Windows và thường xuyên xử lý ví, token hay khóa truy cập, thói quen kiểm tra nguồn và repo trước khi chạy mã trở nên quan trọng hơn bao giờ hết.
