Campanha usa instâncias expostas do ComfyUI para alimentar botnet

Uma campanha ativa está explorando instâncias do ComfyUI expostas na internet para recrutá-las em uma botnet. O objetivo é realizar mineração de criptomoedas e usar as máquinas como infraestrutura proxy, segundo o alerta analisado.

A operação mira a plataforma popular no ecossistema do Stable Diffusion. Dados indicam mais de mil instâncias publicamente acessíveis, conforme a fonte do estudo. Um scanner em Python varre faixas de IP de provedores de nuvem em busca de alvos vulneráveis.

Quando encontra uma vítima, a ferramenta tenta instalar nós maliciosos via ComfyUI-Manager, caso ainda não haja um componente explorável no ambiente. O problema central é uma configuração insegura que permite execução remota de código em implantações sem autenticação.

Essa vulnerabilidade transforma interfaces públicas do ComfyUI em alvos fáceis para comprometimento automático e em larga escala. Após a exploração, os sistemas passam a minerar Monero com XMRig e Conflux com lolMiner.

Além da mineração, os dispositivos são incorporados a uma botnet baseada em Hysteria V2, com gerenciamento centralizado por um painel de comando e controle construído em Flask. A principal medida de mitigação é retirar o ComfyUI da rede pública ou protegê-lo com autenticação forte.

Riscos e medidas de proteção

Recomenda-se revisar a instalação de custom nodes e extensões gerenciadas pelo ComfyUI-Manager. Profissionais de segurança destacam a necessidade de restringir o acesso, aplicar autenticação robusta e monitorar alterações não autorizadas. Fontes oficiais apontam a importância de atualizar componentes e desativar serviços expostos desnecessários.