Pluto Security zählte bis zum 28. Oktober 2026 insgesamt 32.376 Downloads für 44 Repositories, die es einer Kryptomining- und Backdoor-Kampagne zuordnete. Davon waren 31 Repositories über sieben Hugging-Face-Konten Teil der Kampagne; 13 weitere waren wegen gemeinsamer Techniken mit ihr verknüpft. Downloads belegen weder bestätigte Infektionen noch die Zahl eindeutiger Opfer. Pluto veröffentlichte seinen Bericht am 29. Oktober auf der eigenen Website.
Was die Zahlen erfassen
Plutos Abschlusszählung umfasst zwei Wellen und zusätzlich verknüpfte Repositories. Bei den verknüpften Repositories belegten gemeinsame Techniken laut Pluto keine gemeinsame Eigentümerschaft.
| Repository-Gruppe | Repositories | Downloads bis zum 28. Oktober 2026 |
| Erste Welle | 12 | 728 |
| Zweite Welle | 19 | 29.090 |
| Verknüpfte Repositories | 13 | 2.558 |
| Gesamt | 44 | 32.376 |
Die 31 Kampagnen-Repositories verteilen sich auf die erste und zweite Welle. Die übrigen 13 fasste Pluto als verknüpft auf. Entsprechend summieren sich die Downloads auf 728 + 29.090 + 2.558 = 32.376. Diese Zahlen beschreiben Repository-Aktivität, nicht infizierte Rechner.
Wie das Laden eines Modells Python ausführen kann
Pluto beschreibt einen Ausführungspfad über die Konfiguration config.json: Der Eintrag auto_map verweist auf ein Python-Modul und eine Klasse. Wenn Transformers dieses Modul importiert, läuft dessen Code auf oberster Ebene, bevor die angeforderte Modellklasse zurückgegeben wird. Pluto zufolge setzt dieser Weg aktiviertes trust_remote_code=True oder eine entsprechende interaktive Bestätigung voraus und ist nicht der Standard.
Dafür müssen die Modellgewichte selbst keinen schädlichen Inhalt enthalten. Im untersuchten Repository MENXIANGYU/qwen2-tiny war die Datei model.safetensors laut Pluto 42 Byte groß und enthielt keine Tensoren; der Payload lag in der Python-Datei modeling_evil2.py.
Was Pluto über die zwei Wellen berichtet
Nach der Entfernung der Konten der ersten Welle folgte laut Pluto innerhalb weniger Tage eine zweite Welle mit überarbeiteten Payloads. Einige Varianten enthielten wiederverbindende Reverse Shells. Die beschriebenen Mechanismen galten nicht zwingend für jedes Repository.
Für das Repository MENXIANGYU/qwen2-tiny verzeichnete Pluto am 20. Oktober 2026 zunächst 7.354 Downloads an diesem Tag und innerhalb weniger Stunden 9.584. Die kumulierte Zahl stieg laut Bericht auf 18.012 am 25. Oktober, 25.854 am 27. Oktober und 28.412 am 28. Oktober.
Pluto berichtete außerdem, dass keines der zwölf Repositories der ersten Welle von den eingesetzten Scannern markiert wurde. Auch die von Pluto geprüften Scanner gaben für den Python-Payload des hervorgehobenen Repositories sichere Ergebnisse zurück. Das macht einen solchen Scan allein nicht zu einer Prüfung des Codes.
Welche Schutzmaßnahmen Pluto empfiehlt
Für künftige Loads empfiehlt Pluto, den referenzierten Python-Code vor der Freigabe zu prüfen und eine geprüfte Repository-Version festzuschreiben. Teams sollten außerdem Berechtigungen und Netzwerkzugriff begrenzen und keine Produktionsgeheimnisse in nicht vertrauenswürdigen Ausführungsumgebungen hinterlegen.
Wer ein aufgeführtes Repository mit aktiviertem benutzerdefiniertem Code geladen hat, sollte laut Pluto nach den beschriebenen Host- und Xinference-Indikatoren suchen. Dazu zählt Pluto unter anderem einen Watchdog unter /tmp/.cch/svc.py, Änderungen an Shell-Startdateien und Einträge bei Xinference. Bei einem möglichen Treffer empfiehlt Pluto, das betroffene System zu isolieren, Beweise zu sichern, Persistenzmechanismen zu entfernen und erreichbare Zugangsdaten von einem sauberen Rechner aus zu wechseln. Lässt sich die Integrität des Hosts nicht feststellen, rät Pluto zum Neuaufsetzen des Systems.
