🔥 Fique por dentro das novidades mais quentes do momento! 🔥
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Pesquisadores da Sysdig vincularam um segundo ataque no mesmo servidor Langflow ao JADEPUFFER, o operador orientado por agente de IA que foi documentado pela primeira vez no início deste mês.
O mesmo operador foi localizado implantando o ENCFORGE, um novo ransomware Go compilado projetado para criptografar pesos de modelos, índices vetoriais, conjuntos de dados de treinamento e outros arquivos de infraestrutura de IA em todo o sistema de arquivos host.
O ponto de entrada não mudou. Versões do Langflow anteriores a 1.3.0 expõem o endpoint /api/v1/validate/code sem autenticação, permitindo que qualquer invasor remoto execute Python arbitrário no servidor. A falha, CVE-2025-3248, carrega uma pontuação CVSS de 9,8 e está no catálogo de vulnerabilidades exploradas conhecidas da CISA desde 5 de maio de 2025.
Como o The Hacker News relatou no início deste mês, a operação anterior usou código Python descartável e a função AES_ENCRYPT() do MySQL para criptografar e destruir dados em Nacos (servidor de configuração do Alibaba) e bancos de dados de produção.
A nova carga útil do ENCFORGE substitui esses scripts improvisados por ferramentas compiladas destinadas aos armazenamentos de modelos, bancos de dados de vetores e pipelines de treinamento que a primeira campanha buscou credenciais.
A carga útil ENCFORGE
Os pesquisadores recuperaram o binário do servidor de comando e controle do invasor, onde estava oculto como /.lockd; uma solicitação direta para /lockd retorna 404, e o ponto inicial o mantém fora de uma listagem de diretório simples. O arquivo é um Go 1.22.12 ELF estático compactado com UPX 5.20.
As plataformas de inteligência de ameaças não retornaram detecções no hash compactado ou descompactado no momento da análise do Sysdig. O nome do projeto interno é encfile; o texto de erro do binário faz referência a uma ferramenta keygen complementar chamada keyforge. Ambas as strings sobrevivem à recompilação da mesma base de código e servem como âncoras de detecção estáveis.
Sua lista de extensões padrão cobre pontos de verificação PyTorch e TensorFlow, Hugging Face SafeTensors, formato de intercâmbio ONNX, GGUF (o padrão atual para LLMs implantados localmente) e seu antecessor GGML, índices de vetor FAISS, conjuntos de dados de treinamento Parquet e Arrow, matrizes NumPy e registros TensorFlow.
Um sinalizador --include permite que o operador anexe globs de arquivos adicionais; o texto de ajuda integrado usa adaptadores de ajuste fino LoRA e pesos GGML legados como exemplos. A lista completa abrange aproximadamente 180 extensões. Esses exemplos apontam diretamente para ambientes de IA; um armário de arquivos genérico teria poucos motivos para nomear adaptadores LoRA ou pesos GGML legados. Os pesquisadores interpretam a escolha como um direcionamento deliberado, e não como uma cobertura acidental.
ENCFORGE usa AES-256-CTR para dados de arquivo, com a chave simétrica por execução agrupada em uma chave pública RSA-2048 incorporada compilada nesta compilação. Em vez de criptografar arquivos inteiros, ele criptografa regiões selecionadas, a mesma otimização de velocidade que os armários da classe LockBit e BlackCat usam.
Cada arquivo processado é renomeado com uma extensão .locked. O binário mata processos que mantêm os arquivos abertos antes da criptografia, lida com reinicializações sem criptografar novamente os arquivos concluídos, descarta notas de resgate como README, HOW_TO_DECRYPT e README_DECRYPT e se exclui após a execução.
O binário ENCFORGE recuperado não tem capacidade de exfiltração. Ele não carrega código de rede, cliente de armazenamento em nuvem ou mecanismo de teste, e os pesquisadores não encontraram evidências de exfiltração de dados, site de vazamento ou portal de pagamento Tor durante a sessão observada. Sua única vantagem são os dados criptografados.
O contato de extorsão incorporado nas notas de resgate é e78393397@proton.me, o mesmo endereço do Proton Mail usado na campanha anterior. Sysdig descreve isso como o elo de atribuição mais forte entre as duas operações.
Os pesquisadores divulgaram uma sessão observada, não nomearam a organização e não forneceram contagem de vítimas ou evidências de outra implantação do ENCFORGE.
Do Langflow ao Host
Depois de confirmar a execução do código, JADEPUFFER procurou credenciais no contêiner e encontrou o soquete Docker em /var/run/docker.sock. Sua primeira tentativa de extrair o ENCFORGE do servidor de comando e controle do GCP falhou. Em vez de parar, adaptou-se.
Ao longo de cinco minutos e 24 segundos, o operador criou e revisou seis scripts Python por meio do mesmo canal Langflow RCE até que houvesse um caminho funcional para o host. O primeiro script foi construído uma linha por vez, mantendo qualquer solicitação inerte para inspeção baseada em assinatura.
Começando com o segundo, o operador codificou cada script completo em base64 e o decodificou dentro de uma chamada exec(), evitando pesquisas em nível de shell por comandos como base64 -d. A versão final usou a API Docker para ativar um contêiner privilegiado com o namespace PID do host e o sistema de arquivos raiz montados, localizou o processo de destino, copiou o ENCFORGE por meio de /proc//root e, em seguida, executou-o no host via nsenter.
Em todas as iterações, os contêineres foram criados com Privileged: true, PidMode: host, NetworkMode: host e o root filesys
O mesmo operador foi localizado implantando o ENCFORGE, um novo ransomware Go compilado projetado para criptografar pesos de modelos, índices vetoriais, conjuntos de dados de treinamento e outros arquivos de infraestrutura de IA em todo o sistema de arquivos host.
O ponto de entrada não mudou. Versões do Langflow anteriores a 1.3.0 expõem o endpoint /api/v1/validate/code sem autenticação, permitindo que qualquer invasor remoto execute Python arbitrário no servidor. A falha, CVE-2025-3248, carrega uma pontuação CVSS de 9,8 e está no catálogo de vulnerabilidades exploradas conhecidas da CISA desde 5 de maio de 2025.
Como o The Hacker News relatou no início deste mês, a operação anterior usou código Python descartável e a função AES_ENCRYPT() do MySQL para criptografar e destruir dados em Nacos (servidor de configuração do Alibaba) e bancos de dados de produção.
A nova carga útil do ENCFORGE substitui esses scripts improvisados por ferramentas compiladas destinadas aos armazenamentos de modelos, bancos de dados de vetores e pipelines de treinamento que a primeira campanha buscou credenciais.
A carga útil ENCFORGE
Os pesquisadores recuperaram o binário do servidor de comando e controle do invasor, onde estava oculto como /.lockd; uma solicitação direta para /lockd retorna 404, e o ponto inicial o mantém fora de uma listagem de diretório simples. O arquivo é um Go 1.22.12 ELF estático compactado com UPX 5.20.
As plataformas de inteligência de ameaças não retornaram detecções no hash compactado ou descompactado no momento da análise do Sysdig. O nome do projeto interno é encfile; o texto de erro do binário faz referência a uma ferramenta keygen complementar chamada keyforge. Ambas as strings sobrevivem à recompilação da mesma base de código e servem como âncoras de detecção estáveis.
Sua lista de extensões padrão cobre pontos de verificação PyTorch e TensorFlow, Hugging Face SafeTensors, formato de intercâmbio ONNX, GGUF (o padrão atual para LLMs implantados localmente) e seu antecessor GGML, índices de vetor FAISS, conjuntos de dados de treinamento Parquet e Arrow, matrizes NumPy e registros TensorFlow.
Um sinalizador --include permite que o operador anexe globs de arquivos adicionais; o texto de ajuda integrado usa adaptadores de ajuste fino LoRA e pesos GGML legados como exemplos. A lista completa abrange aproximadamente 180 extensões. Esses exemplos apontam diretamente para ambientes de IA; um armário de arquivos genérico teria poucos motivos para nomear adaptadores LoRA ou pesos GGML legados. Os pesquisadores interpretam a escolha como um direcionamento deliberado, e não como uma cobertura acidental.
ENCFORGE usa AES-256-CTR para dados de arquivo, com a chave simétrica por execução agrupada em uma chave pública RSA-2048 incorporada compilada nesta compilação. Em vez de criptografar arquivos inteiros, ele criptografa regiões selecionadas, a mesma otimização de velocidade que os armários da classe LockBit e BlackCat usam.
Cada arquivo processado é renomeado com uma extensão .locked. O binário mata processos que mantêm os arquivos abertos antes da criptografia, lida com reinicializações sem criptografar novamente os arquivos concluídos, descarta notas de resgate como README, HOW_TO_DECRYPT e README_DECRYPT e se exclui após a execução.
O binário ENCFORGE recuperado não tem capacidade de exfiltração. Ele não carrega código de rede, cliente de armazenamento em nuvem ou mecanismo de teste, e os pesquisadores não encontraram evidências de exfiltração de dados, site de vazamento ou portal de pagamento Tor durante a sessão observada. Sua única vantagem são os dados criptografados.
O contato de extorsão incorporado nas notas de resgate é e78393397@proton.me, o mesmo endereço do Proton Mail usado na campanha anterior. Sysdig descreve isso como o elo de atribuição mais forte entre as duas operações.
Os pesquisadores divulgaram uma sessão observada, não nomearam a organização e não forneceram contagem de vítimas ou evidências de outra implantação do ENCFORGE.
Do Langflow ao Host
Depois de confirmar a execução do código, JADEPUFFER procurou credenciais no contêiner e encontrou o soquete Docker em /var/run/docker.sock. Sua primeira tentativa de extrair o ENCFORGE do servidor de comando e controle do GCP falhou. Em vez de parar, adaptou-se.
Ao longo de cinco minutos e 24 segundos, o operador criou e revisou seis scripts Python por meio do mesmo canal Langflow RCE até que houvesse um caminho funcional para o host. O primeiro script foi construído uma linha por vez, mantendo qualquer solicitação inerte para inspeção baseada em assinatura.
Começando com o segundo, o operador codificou cada script completo em base64 e o decodificou dentro de uma chamada exec(), evitando pesquisas em nível de shell por comandos como base64 -d. A versão final usou a API Docker para ativar um contêiner privilegiado com o namespace PID do host e o sistema de arquivos raiz montados, localizou o processo de destino, copiou o ENCFORGE por meio de /proc/
Em todas as iterações, os contêineres foram criados com Privileged: true, PidMode: host, NetworkMode: host e o root filesys
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #novo #encforge #ransomware #tem #como #alvo #arquivos #de #modelo #de #ia #no #ataque #langflow #rce
⚡ Fique ligado: novidades e promoções em breve por aqui! ⚡
Postar um comentário