Bilgisayar korsanları, kötü amaçlı yazılımları yaymak için 700+ Comfyui AI görüntü oluşturma sunucularını hedef

Çin’in Ulusal Siber Güvenlik Bildirim Merkezi, büyük AI modelleri için yaygın olarak kullanılan bir görüntü nesil çerçevesi olan Comfyui’deki kritik güvenlik açıkları hakkında acil bir uyarı yayınladı.

Hacker grupları tarafından aktif sömürü altında olan bu kusurlar, XLab’ın tehdit zekasına göre dünya çapında en az 695 sunucudan ödün verdi.

Saldırganlar, hassas AI ile ilgili verileri çalmak, uzaktan komutlar yürütmek ve ters kabuk erişimi oluşturmak için tasarlanmış “Picai” adlı sofistike bir arka kapı kullanıyor ve özel olarak konuşlandırılan AI modellerine dayanan endüstriler arasında önemli bir ağ müdahalesi ve veri ihlali riski oluşturuyor.

– Reklamcılık –

Popüler AI çerçevesinde sömürülen kritik güvenlik açıkları

Rapora göre, XLAB’ın Siber Tehdit Analiz ve Analiz Sistemi (CTIA) ilk olarak 17 Mart 2025’te IP adresi 185.189.149.151’den kaynaklanan şüpheli faaliyetleri tespit etti.

Saldırganlar, config.json ve tmux.conf gibi yapılandırma dosyaları olarak gizlenmiş ELF yürütülebilir ürünleri dağıtmak için Comfyui güvenlik açıklarından yararlandı.

Pickai olarak adlandırılan bir yankesiceye benzer veri çalma davranışı için, C ++ ile kodlanmış bu hafif arka kapı, anti-kötü niyetli, proses adı sahtekarlığı ve çoklu kalıcılık mekanizmaları gibi gizli özellikleri içerir.

Şifreleme eksikliğine rağmen, Picai, sabit kodlu komut ve kontrol (C2) sunucuları aracılığıyla bisiklete binerek ağ sağlamlığını sağlar ve kararlı bir bağlantı sağlamak için otomatik olarak geçiş yapar.

XLAB’ın sahipsiz bir C2 alanı olan H67T48EHFTH8E.com kaydedilmesi için stratejik hareketi, enfeksiyon ölçeğinde görünürlük sağladı ve bu kampanyanın kapsamlı erişimini ortaya çıkardı ve en çok etkilenenler arasında Almanya, Amerika Birleşik Devletleri ve Çin’deki sunucularla.

Pickai arka kapı ciddi tehdit oluşturuyor

Şiddete ek olarak, ABD, Hindistan, Singapur ve Orta Doğu’da Amazon, Myntra ve Hudson Körfezi gibi 200’den fazla büyük e-ticaret markasına hizmet veren ticari bir AI platformu olan Rubick.ai’nin resmi sitesinde pickai örnekleri bulundu.

Bu, Rubick.ai’yi bir tedarik zinciri saldırısında potansiyel bir yukarı akış vektörü olarak konumlandırır, burada kötü amaçlı yazılım çok sayıda alt müşteri ortamına yayılabilir.

XLab’ın 3 Mayıs’ta Rubick.ai’yi bilgilendirme girişimlerine rağmen, tehdidi görmeyen bir yanıt alınmadı.

Saldırganlar, cesur bir tezgahta, pickai’yi yeni bir C2 alanı olan HistorandResearch.com’u kullanacak şekilde, beş yıllık bir sona erme ile, yayından kaldırma çabalarından kaçınmak için uzun vadeli, kalıcı bir strateji gösterdi.

Teknik olarak, pickai, yedek kalıcılık yoluyla inatçı esneklik sergiler, kendisini birden fazla sistem yoluna kopyalamak ve tespitten kaçınmak için AuditLogd ve Hwstats gibi meşru hizmetleri taklit eder.

Hassas dizeler için XOR Şifrelemesi (Key 0xAF) kullanır, Kworker ve Kblockd gibi adlarla çeşitli işlem taklitlerini kullanır ve komut istekleri ve durum güncellemeleri için C2 sunucuları ile üç katmanlı bir iletişim döngüsünü korur.

Ağ yöneticilerine derin denetimler yapmaları ve yeniden enfeksiyonu önlemek için tüm implante edilen kopyaların tamamen kaldırılmasını sağlamaları istenir.

XLab bu gelişen tehdidi izlemeye devam ediyor ve güvenlik topluluğunu, paylaşılan istihbarat ve savunma yeniliği yoluyla bu tür kötü amaçlı yazılımların ömrünü kısaltmada işbirliği yapmaya davet ediyor.

Uzlaşma Göstergeleri (IOC)

Bu haberi ilginç bul! Anında güncellemeler almak için bizi Google News, LinkedIn ve X’te takip edin