Uma campanha ativa tem sido observada visando instâncias expostas à internet executando **ComfyUI**, uma popular plataforma de stable diffusion, para recrutá-las em uma botnet de mineração de criptomoedas e proxy. "Um scanner Python construído para esse fim varre continuamente os principais intervalos de IP de nuvem em busca de alvos vulneráveis, instalando automaticamente nós maliciosos via **ComfyUI-Manager** se nenhum nó explorável estiver presente", disse Mark Ellzey, pesquisador de segurança da **Censys**, em um relatório publicado na segunda-feira. ### Explorando Má Configurações para Execução Remota de Código O sistema de atividade de ataque escaneia instâncias ComfyUI expostas e explora uma má configuração que permite a execução remota de código em implantações não autenticadas através de nós customizados. Esses nós customizados, destinados a estender a funcionalidade do ComfyUI, estão sendo armados. Após a exploração bem-sucedida, os hosts comprometidos são adicionados a uma operação de mineração de criptomoedas que mina Monero via XMRig e Conflux via lolMiner, bem como a uma botnet Hysteria V2. Ambos são gerenciados centralmente através de um painel de comando e controle (C2) baseado em Flask.  Dados de plataformas de gerenciamento de superfície de ataque mostram que existem mais de 1.000 instâncias ComfyUI acessíveis publicamente. Embora não seja um número enorme, é suficiente para um ator de ameaça executar campanhas oportunistas para obter ganhos financeiros. ### Descoberta e Ferramentas do Ataque A **Censys** descobriu a campanha no mês passado após identificar um diretório aberto em `77.110.96[.]200`, um endereço IP associado a um provedor de serviços de hospedagem bulletproofing, a **Aeza Group**. O diretório continha um conjunto de ferramentas previamente não documentado para realizar os ataques. Isso inclui duas ferramentas de reconhecimento para enumerar instâncias ComfyUI expostas em infraestrutura de nuvem, identificar aquelas que têm ComfyUI-Manager instalado e listar aquelas que são suscetíveis ao exploit de execução de código. Um dos dois scripts Python do scanner também funciona como um framework de exploração que arma os nós customizados do ComfyUI para obter execução de código. Essa técnica, alguns aspectos da qual foram documentados pela **Snyk** em dezembro de 2024, aproveita o fato de que alguns nós customizados aceitam código Python bruto como entrada e o executam diretamente sem exigir autenticação. Como resultado, um atacante pode escanear instâncias ComfyUI expostas em busca de famílias específicas de nós customizados que suportam execução de código arbitrária, efetivamente transformando o serviço em um canal para entrega de payloads Python controlados pelo atacante. Algumas das famílias de nós customizados que o ataque procura particularmente estão listadas abaixo: * Vova75Rus/ComfyUI-Shell-Executor * filliptm/ComfyUI_Fill-Nodes * seanlynch/srl-nodes * ruiqutech/ComfyUI-RuiquNodes "Se nenhum dos nós alvo estiver presente, o scanner verifica se o ComfyUI-Manager está instalado", disse a Censys. "Se disponível, ele instala um pacote de nó vulnerável e tenta a exploração novamente."  ### Técnicas de Persistência e Evasão Vale notar que "ComfyUI-Shell-Executor" é um pacote malicioso criado pelo atacante para buscar um script shell de próximo estágio ("ghost.sh") do IP mencionado anteriormente. Uma vez obtida a execução de código, o scanner remove evidências do exploit limpando o histórico de prompts do ComfyUI. Uma versão mais recente do scanner também incorpora mecanismos de persistência que fazem com que o script shell seja baixado a cada seis horas e o fluxo de trabalho de exploração seja reexecutado toda vez que o ComfyUI é iniciado. O script shell desabilita o histórico do shell, encerra mineradores concorrentes, inicia o processo do minerador e usa o hook `LD_PRELOAD` para ocultar um processo de watchdog que garante que o processo do minerador seja revivido caso seja encerrado. Além disso, o programa minerador é copiado para vários locais para que, mesmo que o diretório de instalação principal seja limpo, ele possa ser iniciado de um dos locais de fallback. Um terceiro mecanismo que o malware usa para garantir a persistência é o uso do comando `chattr +i` para travar os binários do minerador e impedir que sejam excluídos, modificados ou renomeados, mesmo pelo usuário root. "Há também código dedicado visando um concorrente específico, 'Hisana' (que é referenciado em todo o código), que parece ser outra botnet de mineração", explicou a Censys. "Em vez de apenas encerrá-lo, o ghost.sh sobrescreve sua configuração para redirecionar a saída de mineração do Hisana para seu próprio endereço de carteira, em seguida, ocupa a porta C2 do Hisana (10808) com um listener Python dummy para que o Hisana não possa reiniciar." ### Expansão da Rede de Controle e Comando e Proxy Os hosts infectados são comandados por meio de um painel C2 baseado em Flask, que permite ao operador enviar instruções ou implantar payloads adicionais, incluindo um script shell que instala o Hysteria V2 com o provável objetivo de vender os nós comprometidos como proxies. Análises adicionais do histórico de comandos do shell do atacante revelaram uma tentativa de login SSH como root no endereço IP `120.241.40[.]237`, que foi vinculado a uma campanha de worm em andamento visando servidores de banco de dados Redis expostos. "Grande parte das ferramentas neste repositório parece ter sido montada às pressas, e as táticas e técnicas gerais podem inicialmente sugerir atividade não sofisticada", disse a Censys. "Especificamente, o operador identifica instâncias ComfyUI expostas executando nós customizados, determina quais desses nós expõem funcionalidade insegura e, em seguida, os usa como um caminho para a execução remota de código." "A infraestrutura acessada pelo operador apoia ainda mais a ideia de que essa atividade faz parte de uma campanha mais ampla focada na descoberta e exploração de serviços expostos, seguida pela implantação de ferramentas customizadas para persistência, escaneamento ou monetização." ### Recente Aumento de Atividade de Botnet A descoberta coincide com o surgimento de múltiplas campanhas de botnet nas últimas semanas: * Exploração de vulnerabilidades de injeção de comando em n8n (**CVE-2025-68613**) e roteadores Tenda AC1206 (**CVE-2025-7544**) para adicioná-los a uma botnet baseada em Mirai conhecida como **Zerobot**. * Exploração de vulnerabilidades em Apache ActiveMQ (**CVE-2023-46604**), Metabase (**CVE-2023-38646**) e React Server Components (**CVE-2025-55182**, também conhecido como React2Shell) para entregar **Kinsing**, um malware persistente usado para mineração de criptomoedas e lançamento de ataques de Negação de Serviço Distribuída (DDoS). * Exploração de uma vulnerabilidade suspeita de zero-day em fnOS Network Attached Storage (NAS) para atingir sistemas expostos à internet e implantá-los com um malware DDoS chamado Netdragon. "O NetDragon estabelece uma interface de backdoor HTTP em dispositivos comprometidos, permitindo que os atacantes acessem e controlem remotamente os sistemas infectados", disse a QiAnXin XLab. "Ele adulterou o arquivo 'hosts' para sequestrar o domínio oficial de atualização do sistema Feiniu NAS."