Сюжет о том, как старший сотрудник ФБР похищал криптовалюту с кошельков, связанных с расследованиями, и материалы об атаках на ИИ-инфраструктуру складываются в один вывод: чем больше автономии у систем и людей, тем выше цена отсутствия надзора.
Что произошло с агентом ФБР
Патрик Стивен Ярох, 37 лет, признал вину в краже криптовалюты более чем на $2,4 млн с кошельков, контролируемых хакерами из враждебных государств и жертвами преступлений. Ему грозит до 20 лет тюрьмы по обвинениям в мошенничестве и отмывании денег.
Ярох был супервизором спецагентом в штаб-квартире ФБР в подразделении контрразведки и шпионажа, его работа была связана с неназванным государством. Он использовал своё положение, чтобы получить доступ к системам ФБР с кодами и паролями, необходимыми для изъятия криптовалюты как минимум у двух враждебных стран и 10 жертв преступлений. Начиная с декабря 2024 года он провёл 100 переводов с 79 кошельков, связанных с 35 разными расследованиями ФБР.
У Яроха были сотни тысяч долларов долгов по кредитным картам, займам и платежам за машину. Он погасил несколько крупных кредитов. Минюст получил доступ к его переписке в ChatGPT, из которой следовало, что он планировал купить виноградник в Португалии и выйти на пенсию. Он начал оформлять юридические документы в Португалии и купил билеты туда для себя, жены и ребёнка на сентябрь. Но в июле он признался в краже сотруднику Минюста.
Ярох рассказал знакомому по прежней работе сотруднику, что был раздражён расследованием в отношении подозреваемого из враждебного государства и «расстроился, когда не смог сделать больше, чтобы помешать этому человеку использовать криптовалюту».
«Ярох решил рассказать [сотруднику Минюста] о своих действиях из-за стыда, он знал, что поступил неправильно. Ярох говорил, что это его „съедает изнутри“ и он хочет „снять это с души“», — заявили прокуроры.
Дальнейшее расследование показало, что Ярох похитил миллионы и часто действовал без разбора: суммы краж варьировались от 81 цента до более $580 тыс. в одном переводе.
По словам прокуроров, использование Ярохом похищенных из систем ФБР криптовалютных учётных данных «скомпрометировало несколько расследований ФБР, связанных как с преступными группами, так и с противниками из числа государств». Его действия также раскрыли расследования ФБР целям, контролировавшим кошельки, поставив под угрозу источники и методы.
Приговор Яроху будет вынесен в марте.
ИИ-инфраструктура как цель для майнеров
Отдельный пласт проблемы — атаки на открытые ИИ-сервисы. Кампания по криптомайнингу, нацеленная на открытые ИИ-сервисы, использует вредоносное ПО PoeLLM, чтобы превращать скомпрометированные серверы в сканеры и плацдармы для эксплуатации уязвимостей.
PoeLLM активен как минимум с апреля, и его активность с тех пор значительно выросла. Исследователи из Black Lotus Labs компании Lumen отслеживают это вредоносное ПО: по их данным, скомпрометировано более 3 400 серверов, а пиковая активность достигала 800 заражённых систем в один день. К настоящему моменту развёрнуто как минимум 11 серверов управления (C2).
Многие жертвы запускают открытые ИИ-инструменты, такие как LiteLLM и Ollama, конвертер PDF Gotenberg и набор инструментов для разработки Gitea; также обнаружены признаки атак на Ivanti Sentry. ИИ/LLM-решения привлекательны для злоумышленников, поскольку часто плохо настроены, открыты в интернете и обычно работают на мощных GPU-кластерах, подходящих для майнинга.
PoeLLM — это ELF-файл под именем libgcrypt, который извлекает четыре слова или фразы из стихотворения «On the Nature of Connection» в файле dash.css, размещённом в репозитории GitHub, похожем на форк Node.js. Затем он сопоставляет эти слова с числами через жёстко заданный словарь, формируя IPv4-адрес сервера C2. Чтобы сменить адрес, оператор меняет стихотворение — на данный момент его изменяли 11 раз.
Вредоносное ПО включает функции удалённой оболочки, майнеры XMRig и Iron, сканирование HTTP/S и развёртывание эксплойтов. Жертвы взаимодействуют с российским криптомайнинговым сервисом Kryptex. После компрометации сервер становится плацдармом для дальнейшего распространения: сканируются порты 3000 и 4000, связанные с Gotenberg и LiteLLM, и предпринимаются попытки эксплуатации CVE-2026-42271.
Уязвимость CVE-2026-42271 затрагивает тестовые эндпоинты MCP-сервера LiteLLM. Изначально она была раскрыта как требующая аутентификации и получила высокую оценку серьёзности. Исследователи Horizon.ai подтвердили, что её можно объединить с другой проблемой, CVE-2026-48710, для неаутентифицированного удалённого выполнения кода.
Анализируя инфраструктуру, Black Lotus Labs обнаружила, что несколько серверов C2 имели уязвимые интерфейсы администрирования роутеров, что говорит о повторном использовании скомпрометированных роутеров. Уверенно атрибутировать атаку не удалось, но исследователи с умеренной уверенностью оценивают оператора как итальянца — на основе комментариев во вредоносном коде и итальянского сервера, размещающего интерфейс администрирования.
Модели как приманка
Кампания по криптомайнингу и установке бэкдоров, использующая репозитории моделей Hugging Face, вернулась в течение нескольких дней после удаления. Самая популярная вредоносная модель была скачана более 28 000 раз.
Исследователи Pluto Security нашли 31 вредоносный репозиторий в семи аккаунтах Hugging Face, опубликованный двумя волнами с сентября. Модели выдавали себя за небольшие тестовые чекпоинты Qwen2 и нацелены на GPU-хосты с самостоятельным запуском серверов инференса, таких как Xinference и GPUStack. С учётом связанных моделей у репозиториев более 32 000 скачиваний — это число загрузок, а не подтверждённых заражений.
Вместо отравленных весов или эксплойтов pickle кампания злоупотребляет опцией Hugging Face trust_remote_code, которая позволяет модели поставлять собственный код на Python. Когда пользователь её включает, код выполняется на его машине сразу при загрузке модели.
Самая скачиваемая модель, MENXIANGYU/qwen2-tiny, вообще не содержала модели. Её код тихо устанавливал криптомайнер под видом системного процесса Linux, перезапускал его при завершении и удалял с машины конкурирующие майнеры. Некоторые версии также открывали обратную оболочку, давая атакующему прямой доступ к заражённому серверу.
Pluto обнаружила кампанию через тестовый аккаунт, оставшиеся файлы резервных копий которого указывали на основные аккаунты атакующего. О первой волне она сообщила Hugging Face и китайской ModelScope, и обе удалили аккаунты. Вторая волна из 19 репозиториев появилась под новыми аккаунтами в течение нескольких дней.
Через несколько часов после сообщения Pluto оператор опубликовал ещё одну модель со скриптом, способным выбраться из контейнера и захватить сервер под ним. По словам Pluto, репозитории второй волны оставались доступны спустя восемь дней после сообщения. Скачивания флагманской модели выросли с 7 354 на момент отчёта до 28 412 к 28 октября.
Hugging Face сканирует загрузки антивирусом и инструментами партнёров Protect AI и JFrog. Pluto отмечает, что они ищут известное вредоносное ПО и небезопасные форматы моделей, а не то, что фактически делает Python-код модели. «Флагман второй волны прошёл сканирование чисто, набрав 28 412 скачиваний», — заявили исследователи, добавив, что JFrog сообщил, что файл полезной нагрузки «не является моделью машинного обучения».
По данным Pluto, основной кошелёк оператора получил около $5 000 в криптовалюте Pearl (PRL). Он оставался активным на майнинговых пулах и после удаления репозиториев. Пока исследователи наблюдали, девять машин, похоже, принадлежащих общему исследовательскому GPU-кластеру, начали майнить на оператора одновременно.
Почему автономность без надзора дорого обходится
Общая линия такова: мощные вычислительные ресурсы и доступ к чувствительным системам — кошелькам, учётным данным, GPU-кластерам — притягивают злоумышленников. В случае с агентом ФБР барьером оказались не технические средства, а человеческая жадность и долги; в случае с ИИ-серверами — плохо настроенные открытые сервисы и опция, позволяющая модели выполнять произвольный код.
И в том, и в другом случае ущерб возникает там, где автономия — человека или модели — не уравновешена контролем: проверкой действий, ограничением прав и вниманием к тому, что именно выполняется на машине.
Источник: therecord.media
Дополнительные источники: hackernoon.com, hackernoon.com, techcrunch.com, github.com, github.com, github.com, bleepingcomputer.com, bleepingcomputer.com