ue, 07 Apr 2026
← VoltarUma campanha tem como alvo instâncias ComfyUI para implantar botnets de criptografia e proxy que exploram vulnerabilidades RCE.
Foi observada uma campanha ativa visando instâncias expostas à Internet que executam o ComfyUI, uma popular plataforma de difusão estável, para inscrevê-las em uma botnet proxy e de mineração de criptomoedas. “Um scanner Python desenvolvido especificamente varre continuamente os principais intervalos de IP da nuvem em busca de alvos vulneráveis, instalando automaticamente nós maliciosos via ComfyUI-Manager se nenhum nó explorável já estiver presente”, disse o pesquisador de segurança da Censys, Mark Ellzey, em um relatório publicado na segunda-feira. A atividade de ataque, em sua essência, verifica sistematicamente instâncias expostas do ComfyUI e explora uma configuração incorreta que permite a execução remota de código em implantações não autenticadas por meio de nós personalizados. Após a exploração bem-sucedida, os hosts comprometidos são adicionados a uma operação de criptomineração que explora Monero via XMRig e Conflux via lolMiner, bem como a uma botnet Hysteria V2.
Ambos são gerenciados centralmente por meio de um painel de comando e controle (C2) baseado em Flask. Os dados das plataformas de gerenciamento de superfície de ataque mostram que existem mais de 1.000 instâncias ComfyUI acessíveis ao público. Embora não seja um número enorme, é suficiente para um ator ameaçador realizar campanhas oportunistas para obter ganhos financeiros. A Censys disse que descobriu a campanha no mês passado depois de identificar um diretório aberto em 77.110.96[.]200, um endereço IP associado a um provedor de serviços de hospedagem à prova de balas, o Aeza Group.
Diz-se que o diretório continha um conjunto de ferramentas anteriormente não documentadas para realizar os ataques. Isso inclui duas ferramentas de reconhecimento para enumerar instâncias expostas do ComfyUI em toda a infraestrutura de nuvem, identificar aquelas que possuem o ComfyUI-Manager instalado e listar aquelas que são suscetíveis à exploração de execução de código. Um dos dois scripts Python do scanner também funciona como uma estrutura de exploração que transforma os nós personalizados do ComfyUI em uma arma para obter a execução do código. Esta técnica, alguns aspectos documentados por Snyk em dezembro de 2024, aproveita o fato de que alguns nós personalizados aceitam código Python bruto como entrada e o executam diretamente, sem exigir qualquer autenticação.
Como resultado, um invasor pode verificar instâncias expostas do ComfyUI em busca de famílias de nós personalizados específicos que suportam a execução arbitrária de código, transformando efetivamente o serviço em um canal para entregar cargas Python controladas pelo invasor. Algumas das famílias de nós personalizados que o ataque procura especificamente estão listadas abaixo - Vova75Rus/ComfyUI-Shell-Executor filliptm/ComfyUI_Fill-Nodes seanlynch/srl-nodes ruiqutech/ComfyUI-RuiquNodes "Se nenhum dos nós de destino estiver presente, o scanner verifica se o ComfyUI-Manager está instalado", disse Censys. "Se disponível, ele instala um pacote de nó vulnerável e tenta novamente a exploração." É importante notar que “ComfyUI-Shell-Executor” é um pacote malicioso criado pelo invasor para buscar um script de shell de próximo estágio (“ghost.sh”) do endereço IP mencionado acima. Depois que a execução do código é obtida, o scanner remove as evidências da exploração limpando o histórico de prompts do ComfyUI.
Uma versão mais recente do scanner também incorpora mecanismos de persistência que fazem com que o shell script seja baixado a cada seis horas e o fluxo de trabalho de exploração seja executado novamente sempre que o ComfyUI for iniciado. O shell script, por sua vez, desativa o histórico do shell, mata mineradores concorrentes, inicia o processo de mineração e usa o gancho LD_PRELOAD para ocultar um processo de vigilância que garante que o processo de mineração seja revivido caso seja encerrado. Além disso, o programa minerador é copiado para vários locais para que, mesmo que o diretório de instalação principal seja apagado, ele possa ser iniciado a partir de um dos locais alternativos. Um terceiro mecanismo que o malware usa para garantir a persistência é o uso do comando “chattr +i” para bloquear os binários do minerador e evitar que sejam excluídos, modificados ou renomeados, mesmo pelo usuário root.
“Há também um código dedicado direcionado a um concorrente específico, ‘Hisana’ (que é referenciado em todo o código), que parece ser outro botnet de mineração”, disse Censy. é explicado. "Em vez de apenas matá-lo, o ghost.sh sobrescreve sua configuração para redirecionar a saída de mineração de Hisana para seu próprio endereço de carteira e, em seguida, ocupa a porta C2 de Hisana (10808) com um ouvinte Python fictício para que Hisana não possa reiniciar." Os hosts infectados são controlados por meio de um painel C2 baseado em Flask, que permite ao operador enviar instruções ou implantar cargas adicionais, incluindo um script de shell que instala o Hysteria V2 com o provável objetivo de vender nós comprometidos como proxies. Uma análise mais aprofundada do histórico de comandos shell do invasor revelou uma tentativa de login SSH como root para o endereço IP 120.241.40[.]237, que foi vinculado a uma campanha de worm em andamento visando servidores de banco de dados Redis expostos.
“Grande parte das ferramentas neste repositório parecem montadas às pressas, e as táticas e técnicas gerais podem inicialmente sugerir atividades pouco sofisticadas”, disse Censys. "Especificamente, o operador identifica instâncias expostas do ComfyUI executando nós personalizados, determina quais desses nós expõem funcionalidades inseguras e, em seguida, os usa como um caminho para a execução remota de código." “A infraestrutura acessada pela operadora apoia ainda mais a ideia de que esta atividade faz parte de uma campanha mais ampla focada na descoberta e exploração de serviços expostos, seguida pela implantação de ferramentas personalizadas para persistência, varredura ou monetização”. A descoberta coincide com o surgimento de várias campanhas de botnet nas últimas semanas – Exploração de vulnerabilidades de injeção de comando em roteadores n8n (CVE-2025-68613) e Tenda AC1206 (CVE-2025-7544) para adicioná-los a um botnet baseado em Mirai conhecido como Zerobot. Exploração de vulnerabilidades no Apache ActiveMQ (CVE-2023-46604), Metabase (CVE-2023-38646) e React Server Components (CVE-2025-55182 também conhecido como React2Shell) para fornecer Kinsing, um malware persistente usado para mineração de criptomoedas e lançamento de ataques distribuídos de negação de serviço (DDoS).
Exploração de uma vulnerabilidade suspeita de dia zero no fnOS Network Attached Storage (NAS) para atingir sistemas expostos à Internet e implantá-los com um malware DDoS chamado Netdragon. “O NetDragon estabelece uma interface backdoor HTTP em dispositivos comprometidos, permitindo que invasores acessem e controlem remotamente os sistemas infectados”, disse QiAnXin XLab. “Ele altera o arquivo ‘hosts’ para sequestrar os domínios oficiais de atualização do sistema Feiniu NAS, impedindo efetivamente que os dispositivos obtenham atualizações do sistema e patches de segurança.” Expansão da lista de explorações do RondoDox para 174 vulnerabilidades diferentes, ao mesmo tempo em que muda a metodologia de ataque de uma “abordagem espingarda” para falhas mais direcionadas e recentes, com maior probabilidade de levar a infecções. Exploração de vulnerabilidades de segurança conhecidas para implantar uma nova variante do Condi, um malware Linux que transforma dispositivos Linux comprometidos em bots capazes de conduzir ataques DDoS.
O binário faz referência a uma string “QTXBOT”, indicando o nome da versão bifurcada ou o nome do projeto interno. Ataques de força bruta contra servidores SSH para lançar um minerador XMRig e gerar receitas ilícitas de criptomoedas como parte de uma operação ativa de criptojacking chamada Mônaco. Senhas SSH fracas também têm sido usadas como caminhos de ataque para implantar malware que estabelece persistência, mata mineradores concorrentes, conecta-se a um servidor externo e executa uma varredura ZMap para propagar o malware de forma semelhante a um worm para outros hosts vulneráveis. “A atividade de botnet aumentou no último ano, com Spauhaus observando aumentos de 26% e 24% nos dois períodos de seis meses, janeiro a junho de 2025 e julho a dezembro de 2025, respectivamente”, disse Pulsedive.
"Esse aumento está associado ao aparecimento de bots e nós nos Estados Unidos. O aumento também decorre da disponibilidade de código-fonte para botnets como o Mirai. As ramificações e variantes do Mirai são responsáveis por alguns dos maiores ataques DDoS em volume."