AIエージェントによってエンドツーエンドで実行された恐喝オペレーションの実行犯として先日明らかになった脅威アクター「JadePuffer」が、今度はAI・機械学習(ML)インフラを標的とする新種のランサムウェア「ENCFORGE」の悪用を試みています。
このランサムウェアに埋め込まれた恐喝用連絡先は、Sysdigの研究者が以前のキャンペーンを分析した際に発見したものと同一でした。研究者らは「これは同一のオペレーターによる、大幅にアップグレードされたツールキットです」と指摘しています。
JadePufferが最初に浮上した経緯
今月初め、Sysdigの研究者は、ある脅威アクターがLLM搭載のAIエージェントを使って以下を行っていたことを明らかにしていました。
- AIエージェントやワークフロー構築用の人気オープンソースフレームワークであるLangflowのインターネット公開インスタンスを、既知の脆弱性(CVE-2025-3248)を悪用して侵害
- インターネットに公開された本番サーバーへの侵入拡大
- MySQLデータベースとAlibaba Nacos設定サービスの暗号化・破壊(データの窃取が行われたかどうかは未確認)
Sysdigがこの攻撃をLLM主導と判断した根拠はいくつかあります。ペイロード内にLLM生成コードに特有の自然言語によるコメントが含まれていたこと、そしてエージェントが自らの失敗を診断・修正する速度が異常なまでに速かったことなどです。
研究者らは「今回標的となった二次攻撃は、2021年のNacos認証バイパスやデフォルトの署名鍵が変更されていないといった、何年も前から存在する問題を突いたものであり、放置されてインターネットに公開されたインフラを狙ったものでした」と述べ、「エージェントの登場により、これまでに知られた脆弱性を総当たりで試すコストが事実上ゼロになるため、未パッチのシステムが積み残されるほど、危険性はむしろ高まっていきます」と指摘しています。
ENCFORGEの登場
月曜日、Sysdigの脅威リサーチ担当ディレクターであるMichael Clark氏が新たな展開を明らかにしました。この脅威アクターは以前標的にしたLangflowインスタンスに再び戻り、Go言語で書かれたランサムウェア「ENCFORGE」を展開したというのです。このランサムウェアは「約180種類のファイル拡張子を標的とし、モデルのチェックポイント、ベクトルデータベース、トレーニングデータセット、そしてほぼすべての現行フォーマットの埋め込みインデックスなど、最新のAI/MLスタック全体を意図的かつ広範に狙い撃ちします」。
研究者らは、攻撃者(つまりAIエージェント)がクラウドプロバイダーの鍵、データベース接続文字列、APIトークンを抽出し、それらを使い回して内部のデータベースおよびキャッシュサービスへアクセスする様子を観測しました。
その後、エージェントはランサムウェアの取得と展開を試みました。1回目の試行は失敗しましたが、すぐさま別の手法を考案し、2回目の試行で成功しています。
「侵入経路としてのLangflowと、ペイロードとしてのENCFORGEの組み合わせは偶然ではありません。Langflowの展開環境は、ENCFORGEが破壊するよう設計されているインフラのすぐそばに存在します。モデルの重み、ベクトルストア、トレーニングパイプラインはまさに、AIオーケストレーションフレームワークがやり取りするために作られたものだからです」とClark氏は説明しています。
「AIインフラを構築・運用している組織にとって、脅威モデルは拡大しています。暗号化された業務ファイルはバックアップから復元できますが、暗号化された本番モデルは復元できないことが少なくありません。身代金だけで数百万ドルのコストがかかる可能性がある上、モデルの再構築・再学習にはそれぞれ7万5000ドルから50万ドルものコストがかかることもあります」。
Clark氏は防御側への助言として、インターネットに公開されたインフラの既知の脆弱性にパッチを適用して攻撃対象領域を縮小すること、そしてDockerソケットへのアクセスを制限しLangflowコンテナを非rootで実行するとともに、Langflowプロセスが書き込みを許可されているディレクトリにnoexec(「実行禁止」)フラグを設定することでコンテナ環境を強化することを挙げています。
さらに、インターネットに公開されたAIオーケストレーションツールを厳重に管理すること、本番モデルの成果物のオフラインスナップショットを保持すること、AIプロバイダーのAPIキーをLangflowの実行環境に保存しないこと、そしてデフォルトの認証情報や侵害の可能性がある認証情報を廃止することも推奨しています。
そして、Sysdigの研究者が以前指摘していた通り、LLMがペイロード内で自らの意図を語ってしまうという特性は、防御側による検知やトリアージに活用できる材料でもあります。
翻訳元: https://www.helpnetsecurity.com/2026/07/21/jadepuffer-encforge-ransomware/
