大規模言語モデル(LLM)が最初から最後まで単独で実行したランサムウェアキャンペーンとして報告された エージェント型の攻撃者が、学習済みAIモデルの成果物を破壊するために作られたロッカー型マルウェアを引っさげて再び姿を現しました。
Sysdig Threat Research Team(TRT)が7月20日に発表した新たな調査によると、JadePufferは以前のキャンペーンで狙った同じLangflowインスタンスに再び侵入し、現代の機械学習スタック全体にわたる約180種類のファイル拡張子を標的とする、UPXでパックされたGo言語製ランサムウェアバイナリ「ENCFORGE」を展開しました。
このペイロードの標的選定は、行き当たりばったりではなく明確な意図に基づいています。対象として名指しされている形式には、PyTorchやTensorFlowのチェックポイント、HuggingFaceのSafeTensors形式の重みファイル、llama.cppのGGUF量子化モデル、FAISSベクトルインデックス、Apache ParquetおよびTFRecord形式の学習データセット、そしてNumPy配列が含まれます。
AIフレームワークの悪用に関する関連記事: ハッカーがLangflowの重大な脆弱性をわずか20時間で悪用
バックアップでは救えない再構築コスト
バックアップは暗号化された業務データを復旧できますが、本番稼働中のモデルの場合、最後のクリーンなスナップショットと攻撃発生時点との間には、数週間から数カ月分の学習実行、ファインチューニングの反復、データキュレーションの積み重ねが存在します。
Sysdigによれば、そのギャップを埋めるには、クラウドGPU代とエンジニアリング作業だけでモデル1件当たり75,000ドルから500,000ドルをかけて学習をやり直す必要があるといいます。学習データが同一のホスト上にある場合は、そのデータを再構築するまで復旧作業自体が完全に止まってしまいます。
今回確認されたENCFORGEバイナリは、共有ストレージ上のあらゆるモデルの派生版を一度の実行で一掃しました。コマンドラインインターフェースの–includeフラグを使えば、攻撃者はキャンペーンごとに独自の拡張子を追加できるようになっており、バイナリ自体のヘルプテキストにはLoRAファインチューニングアダプタや旧式のGGML形式の重みが例として挙げられていました。
Sysdigは、バイナリに埋め込まれた恐喝用の連絡先が以前の報告書で開示されたアドレスと一致することから、この攻撃をJadePufferによるものと断定しています。
その場で構築されたコンテナエスケープ
侵入経路は今回もCVE-2025-3248で、Langflowのコード検証エンドポイントに存在する認証欠如の脆弱性です。CISAは2025年5月にこの脆弱性を既知の悪用済み脆弱性(KEV)カタログに追加していました。
内部に侵入した後、エージェントは最初のキャンペーンで見られたのと同様の偵察・認証情報窃取のルーティンを実行し、その後マウントされたDockerソケットを発見してランサムウェアペイロードの取得に動きました。
JadePufferのコマンド&コントロール(C2)サーバーからのバイナリ取得がコンテナ内で失敗すると、攻撃者はその場で配信の仕組みを作り直しました。
5分24秒の間に、攻撃者はLangflowのRCE(リモートコード実行)経路を通じて6本のPythonスクリプトを試行錯誤し、最終的に機能するパイプラインへとたどり着きました。マウントされたDockerソケットを利用して権限昇格したエスケープ用コンテナを生成し、ホストのprocfs経由でロッカーをネームスペースの境界を越えてコピーした上で、元のコンテナの隔離環境の外側にあるホストのファイルシステムに対して暗号化処理を実行したのです。
ENCFORGE自体はRSA-2048による鍵交換を伴うAES-256-CTR方式を採用しており、暗号化前にファイルロックを保持しているプロセスを強制終了させ、実行後には自身を自動削除します。
Sysdigはこのバイナリにデータ窃取機能もリークサイトも確認していません。この点で、JadePufferはほとんどのランサムウェア・アズ・ア・サービス(RaaS)グループが採用する二重恐喝モデルとは一線を画しています。つまり、脅威の本質は情報漏えいではなく、破壊行為そのものにあるのです。
翻訳元: https://www.infosecurity-magazine.com/news/jadepuffer-ai-model-ransomware/
