Langflowの脆弱性を突く新ランサムウェア「ENCFORGE」出現、AIモデルや訓練データを標的に暗号化

要点

• AIアプリケーション開発ツール「Langflow」の既知の脆弱性を悪用し、AI関連ファイルを狙う新しいランサムウェア「ENCFORGE」が確認された。

• 攻撃を実行したのは、AIエージェントを駆動する脅威アクターとして知られる「JADEPUFFER」と特定されている。

• 暗号化の対象は、AIモデルの重みデータやベクトルインデックス、訓練用データセットなど、AIインフラを構成するファイル群に特化している。

• 悪用されたのは「CVE-2025-3248」で、認証なしでリモートから任意のコードを実行できる深刻な脆弱性である。

• 攻撃者はコンテナ内のDockerソケットからホストOSへの侵入経路を確立し、検知を避けるためにスクリプトをBase64で難読化して実行していた。

• セキュリティ企業のSysdigは、AIアプリ開発フレームワーク「Langflow」の既知の脆弱性を悪用し、AIモデルや訓練データなどのAIインフラを標的とする新たなランサムウェア「ENCFORGE」の存在を公表した。この攻撃は、同社が今月上旬に報告したAIエージェント駆動の脅威アクター「JADEPUFFER」によるものと特定されている。攻撃者は、AI環境の資産を直接的に狙う姿勢を強めているという。

悪用されたLangflowの脆弱性

今回の攻撃の侵入経路となったのは、Langflowのバージョン1.3.0未満に存在する脆弱性（セキュリティ上の欠陥）「CVE-2025-3248」である。この脆弱性は、認証なしでコード検証用エンドポイント（/api/v1/validate/code）が露出しているため、外部から任意のPythonコードを実行（リモートコード実行＝RCE）できるものである。CVSS深刻度スコアは10点満点中9.8と評価されており、2025年5月からCISA（米サイバーセキュリティ・インフラセキュリティ庁）の悪用確認済み脆弱性カタログに登録されている。

以前の攻撃キャンペーンでは、使い捨てのPythonコードとデータベース管理ソフト「MySQL」の暗号化関数を用いてデータを暗号化・破壊していたが、今回の攻撃ではコンパイル済みの専用ツールである「ENCFORGE」へと置き換えられた。

AIインフラファイルに特化した暗号化対象

回収された「ENCFORGE」は、ドットから始まるファイル名「/.lockd」で隠蔽されていた。実行ファイルを圧縮するツール「UPX 5.20」でパックされた、Go 1.22.12でビルドされたLinux向け実行ファイル（ELF形式＝Linuxで標準的な実行ファイルの形式）で、分析時点での検出例はない。バイナリ内には、プロジェクト名「encfile」やキー生成ツール「keyforge」の文字列が含まれている。

このマルウェアは、ランサムウェア（システムを暗号化して身代金を要求する不正プログラム）の中でもAI関連ファイルの暗号化に特化しており、約180種類の拡張子を狙う。主な対象は以下の通りである。

• PyTorchやTensorFlowのチェックポイント（学習途中のモデルの状態を保存したファイル）
• Hugging FaceのSafeTensors（安全にAIモデルデータを保存するファイル形式）
• ONNX（異なるフレームワーク間でモデルを相互利用するための規格）
• GGUF（ローカルで動作する大規模言語モデルの標準ファイル形式）および旧形式のGGML
• FAISS（ベクトルの高速検索ライブラリ）のベクトルインデックス
• ParquetやArrowなどの訓練用データセット、NumPy配列、TensorFlowレコード

さらに、暗号化対象を追加できる「--include」フラグのヘルプテキストには、LoRAファインチューニングアダプターや旧式のGGMLウェイトが例示されていた。AI環境特有のファイルを名指しで指定しているため、Sysdigは意図的な標的設定であると見ている。

暗号化の仕様とアクターの特定

暗号化方式は「AES-256-CTR」で、対称キーは埋め込まれた「RSA-2048」公開キーで暗号化される。処理高速化のため、ファイル全体ではなく特定の領域のみを暗号化する手法を採用しており、これは大手のマルウェアと同様のアプローチだという。

暗号化されたファイルは拡張子が「.locked」に変更される。ファイルを開いているプロセスを強制終了する機能や、二重暗号化を避ける処理を備え、実行後は身代金要求書を配置して自身を削除する。

回収されたバイナリには外部へのデータ送信機能はなく、情報流出やリークサイトも確認されていない。人質は暗号化されたローカルデータのみとなる。身代金要求書に記載された連絡先「e78393397@proton.me」は以前のキャンペーンと同一であり、Sysdigはこれが同一アクターを示す最も強力な証拠だとしている。

コンテナからホストOSへの侵入プロセス

今回の攻撃において、アクター「JADEPUFFER」は侵入したコンテナ内を探索し、Dockerコンテナを操作するソケットファイル「/var/run/docker.sock」を発見した。

C2サーバーからの「ENCFORGE」ダウンロードに一度失敗したものの、5分24秒の間にLangflowのRCEチャネルを介して6つのPythonスクリプトを順次修正・実行し、ホストOSへの侵入経路を確保した。最初のスクリプトは検知回避のために1行ずつ構築され、以降はコード全体をBase64（データを特定の文字セットに変換するエンコード方式）でエンコードし、実行関数内でデコードすることで検出を防いでいたという。

補足

Sysdigは観測されたセッションの技術的詳細を公開したが、被害に遭った具体的な組織名や、被害数、他のシステムでの展開事例については言及していない。