JADEPUFFER、AIモデルと学習データの破壊を狙ったランサムウェア「ENCFORGE」を展開

JADEPUFFERは、これまでの自動化されたデータベース恐喝から一歩進み、AIモデルの破壊を目的としたカスタムGo製ランサムウェア「ENCFORGE」の展開に踏み切りました。スタック全体にわたって価値の高いAI・ML関連の資産を暗号化し、事実上使用不能にする手口です。

Antivirus& Malware

問題の起点は、/api/v1/validate/codeエンドポイントに存在する認証欠如の脆弱性です。これにより、認証を経ずにホスト上で任意のPythonコードを実行できてしまいます。

最初の攻撃では、偵察、認証情報の窃取、水平展開、そしてMySQLとAlibaba Nacosを標的とした自動データベース恐喝の一連の手順が連鎖的に実行されました。攻撃過程には自律性を示す明確な兆候が見られ、ペイロード自体が状況を実況するような挙動や、失敗を素早く診断して次の手を打つサイクル、さらには自然言語による罠をセッション内で理解している様子も確認されています。

Sysdigが2026年7月3日に最初の報告を公開した後、JADEPUFFERは同じLangflowインスタンスに再び侵入しました。今回は「lockd」という名称でENCFORGEを設置しており、これは一般的なファイル暗号化ではなく、AI・ML基盤を明確に狙ってコンパイルされ、UPXでパッキングされたGo製のロッカーです。

Langflowは今もJADEPUFFERの主要な侵入経路であり続けており、その役割は戦略的です。Langflowの導入環境にはLLMのAPIキーやクラウド認証情報、ベクトルデータベースやオブジェクトストレージへの接続情報が保存されていることが多く、これを踏み台として攻撃を展開する上で価値の高いオーケストレーション拠点となっています。

JADEPUFFERはまず簡単な識別コマンドでコード実行を確認した後、クラウドの鍵やデータベース接続文字列、APIトークンを一斉に探索しました。続いて/dev/tcp経由で内部サービスを調査し、収集した認証情報を下流のデータベースやキャッシュに対して再利用しています。

34.153.223[.]102:9191にあるリモートC2からlockdを直接取得しようとした試みが失敗すると、攻撃者はセッション内で即座に手法を切り替え、Dockerの特権ソケットを利用したエスケープパイプラインを試行錯誤しながら構築しました。

ホストのPIDを特定し、procfs経由でコピー操作を行うことで、ランサムウェアの実行ファイルをコンテナの外に持ち出しホストへ転送。最終的には、試験的なスキャン、完全な暗号化、実行後の検証までを一括で行う自律型スクリプト「deploy.py v2」による展開に至りました。

研究者らはC2上の隠しパス「.lockd」からパッキングされたENCFORGEの実行ファイルを取得しました。解析の結果、これはUPX 5.20で圧縮されたGo 1.22.12製の実行ファイルであり、当初はアンチウイルスによる検出が一切なく、内部のプロジェクト識別子には「encfile」が使われていることが判明しています。

2026年7月1日、Sysdigの脅威リサーチチーム(TRT)は、CVE-2025-3248を悪用してLangflowを侵害する自律型脅威アクターとしてJADEPUFFERを初めて記録として公表しました。

このロッカーは約180種類のファイル拡張子を標的にしており、AIモデルのチェックポイント、Hugging FaceのSafeTensors、PyTorchやTensorFlowの関連ファイル、llama.cppのGGUF・GGML形式の重みデータ、FAISSのベクトルインデックスまで意図的に網羅しています。

さらに、Parquet、Arrow、TFRecord、NumPy、DuckDB形式の学習データセットに加え、.keychainや.keychain-db、.xcodeproj、.pages、.numbersといったmacOS環境を意識した開発者向けファイルや認証情報ファイルも対象に含まれています。

JADEPUFFER、ランサムウェア「ENCFORGE」を展開

ENCFORGEの「–include」フラグを使えば、攻撃者は標準の許可リストにキャンペーン固有の形式を追加できます。ヘルプテキストにはLoRAアダプターや旧世代のGGML形式が価値の高い追加対象として明記されており、これが既存の汎用型暗号化ツールを流用したものではなく、AI基盤を狙って専用設計されたランサムウェアであることを裏付けています。

Antivirus& Malware

ENCFORGEは、リージョン単位のAES-256-CTR暗号化と、鍵カプセル化機構として組み込まれたRSA-2048公開鍵を組み合わせたハイブリッド方式を採用しています。処理済みのファイルには拡張子「.locked」が付与され、処理の再開（冪等性）や完了後の自己削除機能にも対応しています。

この実行ファイルには、vssadmin.exeやbcdedit.exeを明示的に呼び出すWindows向けの復旧妨害ロジックがそのまま組み込まれているほか、データベースや生産性向上アプリケーションを対象としたプロセス強制終了リストも存在します。これは単一のGoコードベースを標的OSごとにコンパイルしていることを示しており、今回解析されたLinux版サンプル以外にも、クロスプラットフォーム版が存在する可能性をうかがわせます。

Sysdigの解析では、「軍事レベルの暗号化」を謳う典型的な脅迫文が発見されました。被害者固有のIDを添えて[email protected]へメールを送るよう指示し、サードパーティ製の復旧ツールの使用を強く警告する内容で、被害者ごとに異なる鍵を用いる方式となっていますが、ネットワーク経由でのデータ持ち出し経路は確認されていません。

Torの支払いポータルやリークサイトのインフラも見つかっておらず、ENCFORGEは単一恐喝型、すなわちAI資産を取り返しのつかない形で失わせることそのものを交渉材料とする、破壊優先のランサムウェアと位置づけられます。

共有ストレージ上に存在するモデルの重み、チェックポイント、ベクトルインデックス、学習データを暗号化することで、ENCFORGEを一度実行するだけで、複数の本番運用レベルのファインチューニング済みモデルを同時に破壊できてしまいます。

その結果、被害組織は数週間から数か月かけて行った学習をやり直さざるを得なくなり、モデル1つあたりの直接的な復旧コストは、計算資源とエンジニアリング工数を合わせて75,000ドルから500,000ドルに上ると見積もられています。

バックアップが存在する場合でも、組織はスナップショット取得時点の状態まで巻き戻されてしまい、それ以降に蓄積された中間実験やファインチューニングの試行、精査済みデータはすべて失われます。併設されている学習データや推論用の成果物も再構築しなければ再学習を始めることすらできず、AI依存度の高い環境ではダウンタイムと運用リスクが一段と増幅されます。

恐喝連絡先として[email protected]が繰り返し使われている点、簡易なPythonおよびMySQLネイティブのAES暗号化からコンパイル済みGoロッカーへと手法が進化している点、そしてC2上に用意されながら未使用のまま残る同形異字（ホモグリフ）名のCPythonインタプリタが存在する点は、いずれも再利用可能なツールに投資を続ける、進化途上の攻撃者像を示しています。

AIを意識したこの一連のツール群が最終的に狙うのは、もはやデータの窃取ではなく、AIモデルと学習パイプラインを恒久的に破壊することそのものです。

侵害指標(IoC)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記（例: [.]）にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤の中でのみ行ってください。

𝗔𝗜 𝗦𝗢𝗖 𝘃𝘀 𝗠𝗗𝗥 𝘃𝘀 𝗠𝗦𝗦𝗣 2026年、どちらが最適か? コスト、自動化、対応力を比較: 無料ガイドをダウンロード