Alarmierende Zunahme von Angriffen auf ComfyUI-Server durch böswillige Botnetze

IT-Sicherheitsforscher beobachten eine alarmierende Zunahme an Angriffen auf ComfyUI-Server, die von böswilligen Akteuren missbraucht werden. Diese Aktivitäten erfolgen im Rahmen eines umfassenden Botnetzes. Im März 2026 wurde ein sich schnell ausbreitendes Verzeichnis bei einem speziellen Hostinganbieter entdeckt, das Angreifer nutzen, um Daten aus Internet-Scans zu sammeln und ihre Ausrichtung auf ComfyUI-Server im öffentlichen Internet zu zeigen. Über tausend solcher Server wurden identifiziert, was die Sicherheit dieses Open-Source-Tools gefährdet. Die Angreifer nutzen das Custom-Node-Ökosystem, um Malware ohne Authentifizierung zu verteilen. Kompromittierte Server werden über ein Dashboard gesteuert, das auf der Flask-Technologie basiert.

Diese kompromittierten ComfyUI-Server dienen nicht nur dem Kryptomining, sondern auch als Verbreitungsplattform für Malware. Diese Malware, benannt ghost.sh, verfügt über mehrere Mechanismen, um ihr Überleben zu sichern, selbst bei Entfernung durch Sicherheitsmaßnahmen oder Systemneustarts. Sogar der Scanner, der die initiale Infiltration ermöglicht, erhält Updates mit erweiterten Funktionen. Beispielsweise enthält eine Version neue Wiederbelebungsmechanismen: Einer versteckt sich als GPU Performance Monitor-Node und lädt regelmäßig Malware, während ein anderer als scheinbar harmloser Startup-Workflow getarnt ist und ebenfalls infiziert ist. Die komplexe Architektur dieser Angriffe zeigt die ernstzunehmende Gefahr für ComfyUI-Nutzer.

Untersuchungen liefern detaillierte Einblicke in die ghost.sh-Malware und spezifische Hinweise zur Erkennung von Infektionen. Diese dienen als Leitfaden für Administratoren, um Gegenmaßnahmen zu ergreifen. Die Situation unterstreicht die Notwendigkeit, ComfyUI-Server nicht öffentlich im Internet zugänglich zu machen, sondern nur innerhalb eines lokalen Netzwerks (LAN) oder über VPN erreichbar zu halten, um das Angriffsrisiko zu minimieren und die Sicherheit des Open-Source-Tools für alle Nutzer zu gewährleisten.

Schlagwörter: ghost.sh + LAN + VPN

Wie bewerten Sie den Schreibstil des Artikels?