Se ha observado una campaña activa dirigida a instancias expuestas a internet que ejecutan **ComfyUI**, una popular plataforma de stable diffusion, para reclutarlas en una botnet de criptominería y proxy. "Un escáner de Python diseñado a propósito barre continuamente los principales rangos de IP en la nube en busca de objetivos vulnerables, instalando automáticamente nodos maliciosos a través de **ComfyUI-Manager** si aún no hay un nodo explotable presente", dijo Mark Ellzey, investigador de seguridad de **Censys**, en un informe publicado el lunes. ### Explotación de configuraciones erróneas para ejecución remota de código El sistema de actividad de ataque escanea de forma sistemática las instancias de ComfyUI expuestas y explota una configuración errónea que permite la ejecución remota de código en despliegues sin autenticación a través de nodos personalizados. Estos nodos personalizados, destinados a extender la funcionalidad de ComfyUI, están siendo armados. Tras una explotación exitosa, los hosts comprometidos se añaden a una operación de criptominería que extrae Monero a través de XMRig y Conflux a través de lolMiner, así como a una botnet Hysteria V2. Ambas son gestionadas centralmente a través de un panel de control y comando (C2) basado en Flask.  Los datos de las plataformas de gestión de superficie de ataque muestran que hay más de 1.000 instancias de ComfyUI accesibles públicamente. Aunque no es un número enorme, es suficiente para que un actor de amenazas ejecute campañas oportunistas para obtener ganancias financieras. ### Descubrimiento y herramientas del ataque **Censys** descubrió la campaña el mes pasado tras identificar un directorio abierto en `77.110.96[.]200`, una dirección IP asociada a un proveedor de servicios de hosting a prueba de balas, **Aeza Group**. El directorio contenía un conjunto de herramientas previamente indocumentado para llevar a cabo los ataques. Esto incluye dos herramientas de reconocimiento para enumerar instancias de ComfyUI expuestas en la infraestructura en la nube, identificar aquellas que tienen ComfyUI-Manager instalado y preseleccionar aquellas que son susceptibles al exploit de ejecución de código. Uno de los dos scripts de escaneo de Python también funciona como un framework de explotación que arma los nodos personalizados de ComfyUI para lograr la ejecución de código. Esta técnica, algunos aspectos de la cual fueron documentados por **Snyk** en diciembre de 2024, aprovecha el hecho de que algunos nodos personalizados aceptan código Python sin procesar como entrada y lo ejecutan directamente sin requerir ninguna autenticación. Como resultado, un atacante puede escanear instancias de ComfyUI expuestas en busca de familias de nodos personalizadas específicas que admitan la ejecución de código arbitrario, convirtiendo efectivamente el servicio en un canal para entregar payloads de Python controlados por el atacante. Algunas de las familias de nodos personalizadas que el ataque busca particularmente se enumeran a continuación: * Vova75Rus/ComfyUI-Shell-Executor * filliptm/ComfyUI_Fill-Nodes * seanlynch/srl-nodes * ruiqutech/ComfyUI-RuiquNodes "Si ninguno de los nodos objetivo está presente, el escáner verifica si ComfyUI-Manager está instalado", dijo Censys. "Si está disponible, instala él mismo un paquete de nodo vulnerable y luego reintenta la explotación".  ### Técnicas de persistencia y evasión Cabe destacar que "ComfyUI-Shell-Executor" es un paquete malicioso creado por el atacante para obtener un script de shell de siguiente etapa ("ghost.sh") de la dirección IP mencionada anteriormente. Una vez obtenida la ejecución del código, el escáner elimina la evidencia del exploit borrando el historial de prompts de ComfyUI. Una versión más reciente del escáner también incorpora mecanismos de persistencia que hacen que el script de shell se descargue cada seis horas y que el flujo de explotación se reejecute cada vez que se inicia ComfyUI. El script de shell deshabilita el historial de shell, mata a los mineros competidores, lanza el proceso minero y utiliza el hook `LD_PRELOAD` para ocultar un proceso de vigilancia que asegura que el proceso minero se reactive en caso de que sea terminado. Además, el programa minero se copia a múltiples ubicaciones para que, incluso si el directorio de instalación principal es borrado, pueda ser lanzado desde una de las ubicaciones de respaldo. Un tercer mecanismo que el malware utiliza para asegurar la persistencia es el uso del comando `chattr +i` para bloquear los binarios del minero y evitar que sean eliminados, modificados o renombrados, incluso por el usuario root. "También hay código dedicado dirigido a un competidor específico, 'Hisana' (que se referencia en todo el código), que parece ser otra botnet de minería", explicó Censys. "En lugar de simplemente matarlo, ghost.sh sobrescribe su configuración para redirigir la salida de minería de Hisana a su propia dirección de billetera, y luego ocupa el puerto C2 de Hisana (10808) con un oyente de Python ficticio para que Hisana no pueda reiniciarse". ### Expansión de la red de control y comando y proxy Los hosts infectados son comandados por medio de un panel C2 basado en Flask, que permite al operador enviar instrucciones o desplegar payloads adicionales, incluyendo un script de shell que instala Hysteria V2 con el objetivo probable de vender los nodos comprometidos como proxies. Un análisis más detallado del historial de comandos de shell del atacante ha revelado un intento de inicio de sesión SSH como root a la dirección IP `120.241.40[.]237`, que ha sido vinculada a una campaña de gusanos en curso dirigida a servidores de bases de datos Redis expuestos. "Gran parte de las herramientas en este repositorio parecen estar apresuradamente ensambladas, y las tácticas y técnicas generales podrían sugerir inicialmente una actividad poco sofisticada", dijo Censys. "Específicamente, el operador identifica instancias de ComfyUI expuestas que ejecutan nodos personalizados, determina cuáles de esos nodos exponen funcionalidad insegura y luego los utiliza como vía para la ejecución remota de código". "La infraestructura a la que accede el operador apoya aún más la idea de que esta actividad es parte de una campaña más amplia centrada en descubrir y explotar servicios expuestos, seguida del despliegue de herramientas personalizadas para persistencia, escaneo o monetización". ### Reciente aumento de actividad de botnets El descubrimiento coincide con la aparición de múltiples campañas de botnets en las últimas semanas: * Explotación de vulnerabilidades de inyección de comandos en n8n (**CVE-2025-68613**) y routers Tenda AC1206 (**CVE-2025-7544**) para añadirlos a una botnet basada en Mirai conocida como **Zerobot**. * Explotación de vulnerabilidades en Apache ActiveMQ (**CVE-2023-46604**), Metabase (**CVE-2023-38646**) y React Server Components (**CVE-2025-55182** alias React2Shell) para entregar **Kinsing**, un malware persistente utilizado para criptominería y para lanzar ataques de Denegación de Servicio Distribuido (DDoS). * Explotación de una presunta vulnerabilidad de día cero en fnOS Network Attached Storage (NAS) para atacar sistemas expuestos a internet e implantarles un malware DDoS llamado Netdragon. "NetDragon establece una interfaz de backdoor HTTP en los dispositivos comprometidos, lo que permite a los atacantes acceder y controlar remotamente los sistemas infectados", dijo QiAnXin XLab. "Manipula el archivo 'hosts' para secuestrar el dominio de actualización oficial del sistema Feiniu NAS".