Hackers sedang mengeksploitasi server OpenWebUI yang salah konfigurasi untuk menyebarkan payload yang dihasilkan AI, yang digunakan untuk menambang cryptocurrency dan mencuri kredensial pada sistem operasi Linux dan Windows. Ancaman ini dipublikasikan pada 19 Maret 2026. Tingkat severity dari ancaman ini adalah tinggi karena teknik defense evasion yang canggih dan potensi kerentanan yang bisa menyebar luas.

Para attacker mendapatkan akses awal melalui server OpenWebUI yang secara tidak sengaja diekspos ke internet dengan admin privileges dan tanpa authentication. Setelah itu, mereka mengunggah script berbahaya dan menjalankannya sebagai Tool tanpa pernah menyentuh alur UI normal. Payload ini sangat diobfusikasi menggunakan teknik “pyklump”, menggabungkan reversed Base64 dan kompresi zlib dalam 64 lapisan bertingkat untuk menghindari inspeksi statis.

Server OpenWebUI pada OS Linux dan Windows

1) Pastikan OpenWebUI dibatasi akses langsung dari internet, kecuali memiliki authentication yang kuat.
      2) Batasi privilege upload Tool.
      3) Monitor registrasi tool atau eksekusi script yang tidak normal.