Agentic型ランサムウェア攻撃グループのJADEPUFFERは、これまでのデータベース恐喝から、AI・機械学習インフラを狙う標的型キャンペーンへと活動を進化させています。
攻撃者はLangflowのリモートコード実行(RCE)脆弱性CVE-2025-3248を悪用し、独自開発のランサムウェアツール「ENCFORGE」を展開して、モデルチェックポイント、ベクトルデータベース、学習データ、AIデプロイ関連の成果物を暗号化しました。
CVE-2025-3248は、Langflowバージョン1.3.0より前のバージョンに存在する認証欠如の脆弱性です。
この脆弱性を悪用すると、未認証の攻撃者が/api/v1/validate/codeエンドポイントを経由して任意のPythonコードを実行できるため、外部に公開されたAIアプリケーションサーバーへの足がかりを攻撃者に直接与えてしまいます。
Sysdigの研究者は以前、JADEPUFFERがこの脆弱性を使って偵察活動を行い、認証情報を窃取し、横方向に移動した上で、下流のデータベースを暗号化する様子を確認していました。
しかし今回の新たなキャンペーンでは、大幅なエスカレーションが見られます。短命なPythonスクリプトとデータベース暗号化に頼っていた従来の手口とは異なり、攻撃者は現在、lockd(別名ENCFORGE)というコンパイル済みのGo言語製ランサムウェアバイナリを展開しています。
このマルウェアは、AIおよびML固有のフォーマットを含む、約180種類のファイル拡張子を標的にしているとされています。
標的には、PyTorchやTensorFlowのチェックポイント、Hugging FaceのSafeTensors、ONNXモデル、GGUFおよびGGML形式のローカルLLMウェイト、FAISSベクトルインデックス、Parquetデータセット、NumPy配列、Apache Arrowファイル、DuckDBデータベースなどが含まれます。
この標的の選び方により、AIワークロードを運用する組織にとって、今回のキャンペーンは特に大きな被害をもたらすものとなっています。従来型のランサムウェア被害では、業務ファイルやデータベースが影響を受けるにとどまります。
しかし、モデルの重み、ファインチューニングの成果物、独自のデータセット、ベクトルインデックスが暗号化されてしまうと、復旧に数週間から数か月を要する可能性があります。
学習データとモデルの成果物が同一ホストや共有ストレージ上に保存されている場合、被害はさらに深刻なものとなります。
JADEPUFFERは初期侵入後、クラウドの認証情報、APIキー、データベース接続文字列、その他の機密情報を収集していたとされています。
その後、非常に機微なDocker APIソケットである/var/run/docker.sockへのアクセスを確認しました。このソケットがアプリケーションコンテナに公開されていると、コンテナエスケープやホストレベルでの制御を可能にしてしまう恐れがあります。
攻撃者は、侵害したコンテナに直接ランサムウェアをダウンロードできない場合には、手口を変えて対応しました。
Dockerソケット、特権コンテナ、ホストのPIDネームスペース、マウントされたホストファイルシステムを利用するスクリプトを作成し、ペイロードを基盤となるホスト上にコピーして実行しました。
この挙動は、Dockerソケットの露出を特権的なホストアクセスと同等に扱うべき理由を如実に示しています。ENCFORGEはUPXでパックされたGo言語製バイナリで、ファイルを暗号化した上で拡張子を「.locked」に変更するよう設計されています。
研究者の報告によれば、このマルウェアはAES-256-CTRとRSA-2048を組み合わせたハイブリッド暗号化方式を用い、ファイルをロックする可能性のあるプロセスを強制終了させ、身代金要求メモを作成するほか、中断された暗号化処理を再開する機能も備えています。
このマルウェアは恐喝の連絡先として[email protected]を使用しており、この点からJADEPUFFERの過去の活動との関連性が確認されています。
研究者はまた、encfileおよびkeyforgeというプロジェクト名も特定しており、エンドポイントやファイルスキャンのルールに活用できる検知用文字列として、防御側に有用な情報を提供しているとSysdigは述べています。
CVE-2025-3248は2025年5月からCISAの既知の悪用済み脆弱性(KEV)カタログに掲載されているため、セキュリティチームは直ちにLangflowをバージョン1.3.0以降にアップデートする必要があります。
すぐにパッチを適用できない組織は、脆弱な検証用エンドポイントへの一般公開アクセスを遮断し、ファイアウォールやVPN、プライベートネットワーク制御によってLangflowへのアクセスを制限すべきです。
より強固な予防的防御で、重大インシデントや金銭的損失を未然に防ぎましょう。15,000のSOCが利用するライブ脅威フィードを統合する
翻訳元: https://cyberpress.org/agentic-hacker-encrypts-ai-infrastructure/