هکرها از آسیب‌پذیری Marimo برای استقرار بدافزار NKAbuse از Hugging Face سوءاستفاده می‌کنند

هکرها با بهره‌برداری از یک آسیب‌پذیری بحرانی اجرای کد از راه دور (CVE-2026-39987) در نوت‌بوک پایتون Marimo، کمتر از ۱۰ ساعت پس از انتشار عمومی جزئیات فنی آن، حملاتی را برای سرقت اطلاعات اعتباری آغاز کردند. به گزارش شرکت امنیت ابری Sysdig، مهاجمان در یک کمپین که از ۱۲ آوریل آغاز شد، از پلتفرم Hugging Face Spaces برای میزبانی یک نوع جدید و پیش‌تر مستندنشده از بدافزار NKAbuse سوءاستفاده کردند. مهاجم با ایجاد یک فضا (Space) با نام جعلی «vsccode-modetx» که تقلیدی از VS Code است، یک اسکریپت دراپر (dropper) و یک فایل مخرب با نام «kagent» را میزبانی کرد. پس از بهره‌برداری از آسیب‌پذیری، این فایل‌ها از طریق یک دستور curl دانلود و اجرا شدند. از آنجا که Hugging Face یک آدرس HTTPS معتبر با شهرت پاک است، احتمال فعال‌شدن هشدارهای امنیتی کاهش می‌یابد.

نوع جدید بدافزار NKAbuse که نخستین بار در دسامبر ۲۰۲۳ توسط Kaspersky مستند شد، اکنون به‌عنوان یک تروجان دسترسی از راه دور (Remote Access Trojan) عمل می‌کند و قادر است دستورات پوسته (shell) را روی سیستم آلوده اجرا کرده و خروجی را به اپراتور ارسال کند. Sysdig همچنین حملات قابل‌توجه دیگری را رصد کرد؛ از جمله یک عامل مستقر در آلمان که ۱۵ تکنیک مختلف اتصال معکوس (reverse-shell) را آزمود و سپس با استخراج اطلاعات اعتباری پایگاه داده به حرکت جانبی (lateral movement) در شبکه پرداخت، و یک عامل از هنگ‌کنگ که با اطلاعات سرقتی به سرور Redis حمله کرد. به کاربران توصیه اکید می‌شود فوراً به نسخه ۰.۲۳.۰ یا بالاتر ارتقا دهند، یا دسترسی خارجی به endpoint مسیر «/terminal/ws» را از طریق فایروال مسدود کنند.