Hugging Face, 현재 악성 위장 저장소를 통해 암호화폐 지갑 및 계정 자격 증명을 탈취 중입니다.

Techub News 소식, Decrypt 보도에 따르면, Hugging Face 플랫폼에 최근 OpenAI를 사칭한 악성 리포지토리가 등장해 18시간 만에 24만 4천 회 다운로드되며 인기 순위 1위에 올랐습니다. 공격자는 실행 파일을 통해 6단계 정보 탈취기를 유포하며, 브라우저 비밀번호, Discord 토큰, 암호화폐 지갑 키 및 SSH 자격 증명을 탈취했습니다. 보도에 따르면, 해당 악성 소프트웨어는 PowerShell을 통해 백그라운드에서 조용히 실행되며, 데이터를 패키징해 공격자 서버로 전송합니다. 보안 업체 HiddenLayer는 해당 리포지토리의 657개의 좋아요가 봇 계정에서 발생했으며, 다운로드 수가 조작되었을 가능성이 있다고 밝혔습니다. 현재 해당 리포지토리는 삭제되었으나, 대규모 사용자 자격 증명 유출 위험이 발생한 상태입니다.