Malware no Hugging Face: repo falso da OpenAI infectou 244 mil máquinas
Um repositório falso no Hugging Face se passou por projeto oficial da OpenAI e distribuiu um infostealer para mais de 240 mil downloads antes de ser removido.
Um repositório falso no Hugging Face chegou ao topo dos mais baixados da plataforma se passando por um projeto oficial da OpenAI, e tudo que ele fazia era instalar um malware sofisticado capaz de roubar senhas, carteiras de criptomoeda e dados do sistema. O caso foi descoberto pela empresa de segurança HiddenLayer e serve de alerta direto para quem baixa modelos e pacotes de IA sem verificar a fonte.
O que é o Hugging Face e por que isso importa
Se você ainda não conhece: o Hugging Face é uma plataforma onde pesquisadores e empresas publicam modelos de linguagem (LLMs, como os da família GPT-5.x, Gemini 3 e Claude), datasets e ferramentas de IA. É basicamente o "npm" do mundo de machine learning. E assim como acontece no npm, repositórios maliciosos aparecem com nomes parecidos com os oficiais para enganar devs desatentos.
Como o ataque funcionou
O repositório se chamava Open-OSS/privacy-filter e era uma cópia quase idêntica de um repositório legítimo. Essa técnica se chama typosquatting: criar um pacote ou repositório com nome muito parecido com o original para pegar quem digita errado ou não confere o autor com atenção.
O arquivo loader.py incluído no pacote era o vilão principal. Veja o fluxo do ataque:
loader.py
→ desativa verificação SSL (sem aviso)
→ decodifica URL em base64
→ baixa JSON com comando PowerShell
→ baixa .bat com escalonamento de privilégios
→ instala payload "sefirah"
→ adiciona à lista de exclusão do Windows Defender
→ executa o infostealer
Cada etapa foi desenhada para parecer legítima e escapar de antivírus. Desativar o SSL logo de cara é o sinal mais claro de que algo estava errado, mas ninguém lê o código-fonte antes de rodar, né?
O que é um infostealer
Um infostealer é um malware especializado em coletar informações sem que o usuário perceba. Nesse caso, o payload "sefirah" fazia tudo isso:
- Senhas salvas nos navegadores (Chrome, Firefox, Edge)
- Tokens do Discord
- Chaves de carteiras de criptomoeda
- Extensões de browser com dados de login
- Credenciais de SSH, FTP e VPN
- Arquivos locais sensíveis
- Screenshots da tela
- Informações do sistema operacional
Ou seja, uma máquina comprometida entrega ao atacante praticamente tudo que um desenvolvedor tem de valor.
Os números assustam
O repositório acumulou 244 mil downloads em poucos dias e chegou ao primeiro lugar no ranking do Hugging Face antes de ser removido. Mais de 667 contas geradas automaticamente curtiram o repositório para inflar sua visibilidade. O HiddenLayer também rastreou outros repositórios ligados à mesma infraestrutura, todos removidos em seguida.
Vale notar: nem todo download virou infecção. Os números podem estar inflados por bots. Mas mesmo assim, só o fato de ter ficado em primeiro lugar já é suficiente para causar dano real.
O que você, dev, precisa fazer diferente
Esse ataque explora um comportamento muito comum: baixar e rodar código sem verificar a origem. Algumas práticas simples evitam esse tipo de problema:
# Antes de instalar qualquer repo de ML, verifique o autor oficial
# Exemplo: repositório oficial da OpenAI no Hugging Face
# https://huggingface.co/openai ← URL com autor verificado
# Nunca rode loader.py ou scripts externos sem ler o conteúdo antes
cat loader.py # leia antes de rodar
# Prefira ambientes isolados para testar modelos desconhecidos
python -m venv .venv-teste
source .venv-teste/bin/activate
Outras boas práticas:
- Verifique se o autor tem o selo de verificação do Hugging Face
- Prefira repositórios com histórico longo e contribuidores reais
- Use ambientes virtuais ou containers para isolar experimentos
- Nunca rode scripts de instalação como administrador sem entender o que fazem
- Desconfie de qualquer pacote que desative verificação SSL
Por que isso vai piorar
Com a explosão de ferramentas de IA em 2025 e 2026, o Hugging Face virou um alvo ainda mais atraente. Devs que trabalham com LLMs, embeddings (representações vetoriais de texto usadas em busca semântica e RAG) e fine-tuning (ajuste fino de modelos pré-treinados) baixam dezenas de artefatos por semana. Cada download é uma superfície de ataque.
O erro aqui não foi do Hugging Face em si. A plataforma removeu os repos. O problema é estrutural: repositórios crescem em popularidade rapidamente sem revisão humana de código, e a pressão para "testar logo" faz muita gente pular a etapa de verificação.