Eine aktive Kampagne zielt auf im Internet exponierte Instanzen ab, auf denen **ComfyUI**, eine beliebte Stable-Diffusion-Plattform, läuft, um diese für ein Kryptowährungs-Mining- und Proxy-Botnet zu rekrutieren. "Ein speziell entwickelter Python-Scanner durchsucht kontinuierlich große Cloud-IP-Bereiche nach anfälligen Zielen und installiert automatisch bösartige Nodes über **ComfyUI-Manager**, falls noch kein ausnutzbarer Node vorhanden ist", sagte Mark Ellzey, Sicherheitsforscher bei **Censys**, in einem am Montag veröffentlichten Bericht. ### Ausnutzung von Fehlkonfigurationen für Remote Code Execution Die Angriffaktivität scannt systematisch nach exponierten ComfyUI-Instanzen und nutzt eine Fehlkonfiguration aus, die Remote Code Execution auf nicht authentifizierten Bereitstellungen über benutzerdefinierte Nodes ermöglicht. Diese benutzerdefinierten Nodes, die zur Erweiterung der ComfyUI-Funktionalität gedacht sind, werden hierbei zu Waffen. Nach erfolgreicher Ausnutzung werden die kompromittierten Hosts in eine Kryptowährungs-Mining-Operation integriert, die Monero über XMRig und Conflux über lolMiner abbaut, sowie in ein Hysteria V2-Botnet. Beide werden zentral über ein Flask-basiertes Command-and-Control (C2)-Dashboard verwaltet.  Daten von Attack-Surface-Management-Plattformen zeigen, dass es mehr als 1.000 öffentlich zugängliche ComfyUI-Instanzen gibt. Obwohl dies keine riesige Zahl ist, reicht sie für einen Angreifer aus, um opportunistische Kampagnen zur Erzielung finanzieller Gewinne durchzuführen. ### Entdeckung und Werkzeuge des Angriffs **Censys** entdeckte die Kampagne letzten Monat, nachdem ein offenes Verzeichnis auf `77.110.96[.]200` identifiziert wurde, einer IP-Adresse, die einem Bulletproofing-Hosting-Dienstleister, der **Aeza Group**, zugeordnet ist. Das Verzeichnis enthielt einen bisher undokumentierten Satz von Werkzeugen, um die Angriffe durchzuführen. Dazu gehören zwei Aufklärungswerkzeuge, um exponierte ComfyUI-Instanzen in der Cloud-Infrastruktur zu enumerieren, diejenigen zu identifizieren, auf denen ComfyUI-Manager installiert ist, und diejenigen zu listen, die für den Code-Execution-Exploit anfällig sind. Eines der beiden Python-Scanner-Skripte fungiert auch als Exploitierungs-Framework, das die benutzerdefinierten Nodes von ComfyUI zur Code-Ausführung missbraucht. Diese Technik, deren Aspekte von **Snyk** im Dezember 2024 dokumentiert wurden, nutzt die Tatsache aus, dass einige benutzerdefinierte Nodes rohen Python-Code als Eingabe akzeptieren und ihn direkt ausführen, ohne Authentifizierung zu verlangen. Infolgedessen kann ein Angreifer exponierte ComfyUI-Instanzen nach spezifischen benutzerdefinierten Node-Familien durchsuchen, die beliebige Code-Ausführung unterstützen, und den Dienst effektiv in einen Kanal für die Bereitstellung von Angreifer-kontrollierten Python-Payloads verwandeln. Einige der benutzerdefinierten Node-Familien, nach denen der Angriff besonders sucht, sind unten aufgeführt: * Vova75Rus/ComfyUI-Shell-Executor * filliptm/ComfyUI_Fill-Nodes * seanlynch/srl-nodes * ruiqutech/ComfyUI-RuiquNodes "Wenn keiner der Ziel-Nodes vorhanden ist, prüft der Scanner, ob ComfyUI-Manager installiert ist", sagte Censys. "Wenn verfügbar, installiert er selbst ein anfälliges Node-Paket und versucht dann erneut die Ausnutzung."  ### Persistenz und Umgehungstechniken Es ist erwähnenswert, dass "ComfyUI-Shell-Executor" ein bösartiges Paket ist, das vom Angreifer erstellt wurde, um ein nachfolgendes Shell-Skript ("ghost.sh") von der oben genannten IP-Adresse abzurufen. Sobald die Code-Ausführung erreicht ist, entfernt der Scanner Beweise für den Exploit, indem er den ComfyUI-Prompt-Verlauf löscht. Eine neuere Version des Scanners enthält auch Persistenzmechanismen, die dazu führen, dass das Shell-Skript alle sechs Stunden heruntergeladen und der Exploit-Workflow jedes Mal neu ausgeführt wird, wenn ComfyUI gestartet wird. Das Shell-Skript deaktiviert den Shell-Verlauf, beendet konkurrierende Miner, startet den Miner-Prozess und verwendet den `LD_PRELOAD`-Hook, um einen Watchdog-Prozess zu verbergen, der sicherstellt, dass der Miner-Prozess wiederbelebt wird, falls er beendet wird. Darüber hinaus wird das Miner-Programm an mehreren Orten kopiert, sodass es von einem der Fallback-Speicherorte gestartet werden kann, selbst wenn das primäre Installationsverzeichnis gelöscht wird. Ein dritter Mechanismus, den die Malware zur Gewährleistung der Persistenz verwendet, ist die Verwendung des `chattr +i`-Befehls, um die Miner-Binärdateien zu sperren und zu verhindern, dass sie gelöscht, geändert oder umbenannt werden, selbst durch den Root-Benutzer. "Es gibt auch dedizierten Code, der sich gegen einen bestimmten Konkurrenten, 'Hisana' (der im gesamten Code referenziert wird), richtet, der anscheinend ein weiteres Mining-Botnet ist", erklärte Censys. "Anstatt ihn nur zu beenden, überschreibt ghost.sh seine Konfiguration, um die Mining-Ausgabe von Hisana auf seine eigene Wallet-Adresse umzuleiten, und belegt dann Hisanas C2-Port (10808) mit einem Dummy-Python-Listener, damit Hisana nicht neu starten kann." ### Command and Control und Erweiterung des Proxy-Netzwerks Die infizierten Hosts werden über ein Flask-basiertes C2-Panel gesteuert, das es dem Betreiber ermöglicht, Anweisungen zu senden oder zusätzliche Payloads bereitzustellen, einschließlich eines Shell-Skripts, das Hysteria V2 installiert, mit dem wahrscheinlichen Ziel, kompromittierte Nodes als Proxys zu verkaufen. Weitere Analysen des Shell-Befehlverlaufs des Angreifers haben einen SSH-Login-Versuch als Root auf die IP-Adresse `120.241.40[.]237` aufgedeckt, die mit einer laufenden Wurmkampagne in Verbindung gebracht wurde, die auf exponierte Redis-Datenbankserver abzielt. "Ein Großteil der Werkzeuge in diesem Repository scheint hastig zusammengestellt zu sein, und die allgemeinen Taktiken und Techniken könnten zunächst auf eine unspezialisierte Aktivität hindeuten", sagte Censys. "Insbesondere identifiziert der Betreiber exponierte ComfyUI-Instanzen, auf denen benutzerdefinierte Nodes ausgeführt werden, ermittelt, welche dieser Nodes unsichere Funktionalität freilegen, und nutzt sie dann als Weg zur Remote Code Execution." "Die vom Betreiber zugängliche Infrastruktur unterstützt weiter die Idee, dass diese Aktivität Teil einer breiteren Kampagne ist, die sich auf die Entdeckung und Ausnutzung exponierter Dienste konzentriert, gefolgt von der Bereitstellung benutzerdefinierter Tools für Persistenz, Scans oder Monetarisierung." ### Jüngster Anstieg der Botnet-Aktivitäten Die Entdeckung fällt mit dem Aufkommen mehrerer Botnet-Kampagnen in den letzten Wochen zusammen: * Ausnutzung von Command-Injection-Schwachstellen in n8n (**CVE-2025-68613**) und Tenda AC1206-Routern (**CVE-2025-7544**), um sie zu einem Mirai-basierten Botnet namens **Zerobot** hinzuzufügen. * Ausnutzung von Schwachstellen in Apache ActiveMQ (**CVE-2023-46604**), Metabase (**CVE-2023-38646**) und React Server Components (**CVE-2025-55182** alias React2Shell), um **Kinsing** bereitzustellen, eine persistente Malware, die für Kryptowährungs-Mining und die Durchführung von Distributed Denial of Service (DDoS)-Angriffen verwendet wird. * Ausnutzung einer vermuteten 0-Day-Schwachstelle in fnOS Network Attached Storage (NAS), um im Internet exponierte Systeme ins Visier zu nehmen und sie mit einer DDoS-Malware namens Netdragon zu infizieren. "NetDragon richtet eine HTTP-Backdoor-Schnittstelle auf kompromittierten Geräten ein, die es Angreifern ermöglicht, aus der Ferne auf die infizierten Systeme zuzugreifen und diese zu steuern", sagte QiAnXin XLab. "Es manipuliert die 'hosts'-Datei, um die offizielle Feiniu NAS-Systemupdate-Domain zu kapern."