اكتشفت SlowMist مستودع GitHub مزيف لنموذج Qwen يستخدم لتوزيع البرمجيات الخبيثة

وفقًا لأخبار Mars Finance، كشف فريق الأمان SlowMist مؤخرًا عن مستودع GitHub ضار يزعم أنه "نموذج Qwen 3.8 27B مُكمّل محليًا". يُدّعي المستودع أن ملفات النموذج يجب أن تتجاوز 16 جيجابايت، لكن المحتوى المُحمّل فعليًا لا يزيد عن 487 كيلوبايت، ويتضمن ملفات مُزيفة، ومفسر LuaJIT، ونص Lua مُشفر. وأكد SlowMist أن المشروع الرسمي لـ Qwen لم يُخترق. وحلّل SlowMist أن البرنامج الضار، عند التشغيل، يجمع معلومات المضيف، ويقوم بقطعة شاشة، ويرسلها إلى خادم C2 للمهاجم؛ وعندما يصبح الخادم المُضمن ثابتًا غير فعّال، فإنه يقرأ عناوين C2 بديلة من عقد على سلسلة Polygon، مما يسمح للمهاجمين بتبديل البنية التحتية عبر معاملات على السلسلة. يمكن للحمولة اللاحقة سرقة معلومات تسجيل الدخول للمتصفح، والكوكيز، والسجلات، والبريد الإلكتروني، وبيانات WinSCP وSteam، بالإضافة إلى الملفات المرتبطة بالمحفظات المشفرة وبيانات الإضافات. كما اكتشف SlowMist أن ما لا يقل عن 23 مستودعًا على GitHub و29 حزمة مضغوطة مشابهة استخدمت نفس سلسلة توصيل Lua.