Se ha observado una campaña activa dirigida a instancias expuestas a Internet que ejecutan ComfyUI, una popular plataforma de difusión estable, para incluirlas en una botnet proxy y de minería de criptomonedas.
«Un escáner Python especialmente diseñado barre continuamente los principales rangos de IP de la nube en busca de objetivos vulnerables, instalando automáticamente nodos maliciosos a través de ComfyUI-Manager si no hay ningún nodo explotable presente», dijo el investigador de seguridad de Censys, Mark Ellzey. dicho en un informe publicado el lunes.
La actividad de ataque, en esencia, busca sistemáticamente instancias expuestas de ComfyUI y explota una configuración incorrecta que permite la ejecución remota de código en implementaciones no autenticadas a través de nodos personalizados.
Tras una explotación exitosa, los hosts comprometidos se agregan a una operación de criptominería que extrae Monero a través de XMRig y Conflux a través de lolMiner, así como a una botnet Hysteria V2. Ambos se administran de forma centralizada a través de un panel de comando y control (C2) basado en Flask.
Los datos de las plataformas de gestión de superficies de ataque muestran que hay más de 1000 instancias de ComfyUI de acceso público. Si bien no es un número enorme, es suficiente para que un actor de amenazas ejecute campañas oportunistas para obtener ganancias financieras.
Censys dijo que descubrió la campaña el mes pasado después de identificar un directorio abierto en 77.110.96[.]200una dirección IP asociada con un proveedor de servicios de hosting a prueba de balas, Aeza Group. Se dice que el directorio contenía un conjunto de herramientas no documentadas previamente para llevar a cabo los ataques.
Esto incluye dos herramientas de reconocimiento para enumerar las instancias de ComfyUI expuestas en la infraestructura de la nube, identificar aquellas que tienen instalado ComfyUI-Manager y seleccionar aquellas que son susceptibles al exploit de ejecución de código.
Uno de los dos scripts de Python del escáner también funciona como un marco de explotación que utiliza los nodos personalizados de ComfyUI como arma para lograr la ejecución del código. Esta técnica, algunos aspectos de los cuales fueron documentado por Snyk en diciembre de 2024, aprovecha el hecho de que algunos nodos personalizados aceptan código Python sin formato como entrada y lo ejecutan directamente sin requerir ninguna autenticación.
Como resultado, un atacante puede escanear instancias expuestas de ComfyUI en busca de familias de nodos personalizados específicos que admitan la ejecución de código arbitrario, convirtiendo efectivamente el servicio en un canal para entregar cargas útiles de Python controladas por el atacante. Algunas de las familias de nodos personalizados que el ataque busca particularmente se enumeran a continuación:
- Vova75Rus/ComfyUI-Shell-Executor
- filliptm/ComfyUI_Fill-Nodes
- seanlynch/srl-nodos
- ruiqutech/ComfyUI-RuiquNodes
«Si ninguno de los nodos objetivo está presente, el escáner comprueba si ComfyUI-Manager está instalado», dijo Censys. «Si está disponible, instala él mismo un paquete de nodo vulnerable y luego vuelve a intentar la explotación».
Vale la pena señalar que «ComfyUI-Shell-Executor» es un paquete malicioso creado por el atacante para recuperar un script de shell de la siguiente etapa («ghost.sh») de la dirección IP antes mencionada. Una vez que se obtiene la ejecución del código, el escáner elimina la evidencia del exploit borrando el historial de mensajes de ComfyUI.
Una versión más nueva del escáner también incorpora mecanismos de persistencia que hacen que el script de shell se descargue cada seis horas y que el flujo de trabajo del exploit se vuelva a ejecutar cada vez que se inicia ComfyUI.
El script de shell, por su parte, desactiva el historial de shell, elimina a los mineros competidores, inicia el proceso de minería y utiliza el gancho LD_PRELOAD para ocultar un proceso de vigilancia que garantiza que el proceso de minería se recupere en caso de que finalice.
Además, el programa minero se copia en varias ubicaciones, de modo que incluso si se borra el directorio de instalación principal, se puede iniciar desde una de las ubicaciones alternativas. Un tercer mecanismo que utiliza el malware para garantizar la persistencia es el uso del «chattr +i«comando para bloquear los archivos binarios del minero y evitar que sean eliminados, modificados o renombrados, incluso por el usuario root.
«También hay un código dedicado dirigido a un competidor específico, 'Hisana' (al que se hace referencia en todo el código), que parece ser otra botnet de minería», explicó Censys. «En lugar de simplemente matarlo, ghost.sh sobrescribe su configuración para redirigir la producción minera de Hisana a su propia dirección de billetera, luego ocupa el puerto C2 de Hisana (10808) con un oyente Python ficticio para que Hisana no pueda reiniciarse».
Los hosts infectados se controlan mediante un panel C2 basado en Flask, que permite al operador enviar instrucciones o implementar cargas útiles adicionales, incluido un script de shell que instala Hysteria V2 con el objetivo probable de vender nodos comprometidos como servidores proxy.
Un análisis más detallado del historial de comandos de shell del atacante ha revelado un intento de inicio de sesión SSH como root en la dirección IP. 120.241.40[.]237que se ha relacionado con un campaña de gusanos en curso dirigido a servidores de bases de datos Redis expuestos.
«Gran parte de las herramientas en este repositorio parecen ensambladas apresuradamente, y las tácticas y técnicas generales podrían sugerir inicialmente una actividad poco sofisticada», dijo Censys. «Específicamente, el operador identifica instancias expuestas de ComfyUI que ejecutan nodos personalizados, determina cuáles de esos nodos exponen una funcionalidad insegura y luego los utiliza como vía para la ejecución remota de código».
«La infraestructura a la que accede el operador respalda aún más la idea de que esta actividad es parte de una campaña más amplia centrada en descubrir y explotar servicios expuestos, seguida del despliegue de herramientas personalizadas para persistencia, escaneo o monetización».
El descubrimiento coincide con la aparición de múltiples campañas de botnets en las últimas semanas.
- Explotación de vulnerabilidades de inyección de comandos en enrutadores n8n (CVE-2025-68613) y Tenda AC1206 (CVE-2025-7544) a agregarlos a una botnet basada en Mirai conocida como Zerobot.
- Explotación de vulnerabilidades en Apache ActiveMQ (CVE-2023-46604), Metabase (CVE-2023-38646) y React Server Components (CVE-2025-55182 también conocido como React2Shell) para entregar Kinsing, un malware persistente utilizado para la minería de criptomonedas y el lanzamiento de ataques de denegación de servicio distribuido (DDoS).
- Explotación de una supuesta vulnerabilidad de día cero en el almacenamiento conectado en red (NAS) de fnOS para atacar sistemas expuestos a Internet e implantarlos con un malware DDoS llamado netdragon. «NetDragon establece una interfaz de puerta trasera HTTP en los dispositivos comprometidos, lo que permite a los atacantes acceder y controlar de forma remota los sistemas infectados», dijo QiAnXin XLab. «Altera el archivo 'hosts' para secuestrar los dominios oficiales de actualización del sistema Feiniu NAS, evitando efectivamente que los dispositivos obtengan actualizaciones del sistema y parches de seguridad».
- Ampliación de la lista de exploits de RondoDox a 174 vulnerabilidades diferentes, al tiempo que se cambia la metodología de ataque de un «enfoque directo» a fallas más específicas y recientes que tienen más probabilidades de provocar infecciones.
- Explotación de vulnerabilidades de seguridad conocidas implementar una nueva variante de Condi, un malware de Linux que convierte los dispositivos Linux comprometidos en robots capaces de realizar ataques DDoS. El binario hace referencia a una cadena «QTXBOT», que indica el nombre de la versión bifurcada o el nombre del proyecto interno.
- Ataques de fuerza bruta contra servidores SSH para lanzar un minero XMRig y generar ingresos ilícitos en criptomonedas como parte de una operación activa de criptojacking llamada Mónaco. También se han identificado contraseñas SSH débiles. utilizados como vías de ataque para implementar malware que establece persistencia, mata a los mineros competidores, se conecta a un servidor externo y realiza un escaneo ZMap para propagar el malware en forma de gusano a otros hosts vulnerables.
«La actividad de botnets ha aumentado durante el último año, y Spauhaus observó aumentos del 26 % y del 24 % en los dos períodos de seis meses de enero a junio de 2025 y de julio a diciembre de 2025, respectivamente», Pulsedive dicho.
«Este aumento está asociado con la aparición de bots y nodos en los Estados Unidos. El aumento también se debe a la disponibilidad de código fuente para botnets como Mirai. Las ramas y variantes de Mirai son responsables de algunos de los mayores ataques DDoS por volumen».
