JADEPUFFER：初の LLM 自律型
ランサム攻撃チェーンを全解説

概要：AI オペレータが操るランサムウェア

OpenClaw / Langflow ユーザーが警戒すべき理由

1. 01

   AI オーケストレーションホストは環境変数に LLM API キーを置きがち——JADEPUFFER が最初にスキャンした対象です。

2. 02

   多くのチームが Langflow/OpenClaw Gateway をアクセス制御なしで急いで公網公開しています。

3. 03

   CVE-2025-3248 は 2025年5月から CISA KEV 掲載済み。エージェントは古い脆弱性の武器化コストをほぼゼロにします。

4. 04

   LLMjacking：窃取したクラウド/モデル凭証でエージェントを駆動し、限界費用をほぼゼロにできます。

CVE-2025-3248：Langflow 無認証 RCE の全貌

根本原因（5ステップ）：

1. 01

   Langflow はビジュアルエディタのカスタム関数ノードを構文チェックする「コード検証」API を公開しています。

2. 02

   実装経路：ユーザーコード → ast.parse() → compile() → exec()。

3. 03

   致命的欠陥：認証もサンドボックス隔離もありません。

4. 04

   悪用のコツ：Python のデコレータとデフォルト引数は関数定義時に評価される。攻撃者はデフォルト値やデコレータに悪意あるコードを埋め込み——Langflow が「検証」した時点でコードは既に実行済みです。

5. 05

   攻撃者はログインも権限も不要——細工した HTTP POST だけで RCE が成立します。

exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')

重要な区別：Flodrix ボットネット配布と JADEPUFFER は独立した2つのキャンペーンで、入口 CVE を共有するだけです。Flodrix は従来型スクリプト駆動配布、JADEPUFFER は Sysdig が報告した「AI エージェント駆動」ランサム事例です。

パッチ（1.3.0）：post_validate_code に _current_user: CurrentActiveUser 依存性注入が追加。FastAPI が JWT Bearer Token または x-api-key を先に検証——失敗時は 401/403、リクエストは脆弱ロジックに到達しません。

攻撃チェーン Phase 2：MySQL + Nacos 本番サーバ

真の標的は、同様にインターネットに晒された MySQL と Alibaba Nacos を稼働する別サーバでした。Nacos には認証バイパス履歴（CVE-2021-29441 など）があり、デフォルト JWT 署名シークレットは 2020年から公開文書化されているのに、多くのデプロイでローテーションされていません。

エージェントは露出した MySQL ポートに root 凭証で接続——出所は不明。Sysdig は被害環境からの窃取を観測しておらず、人間が事前準備した数少ないステップの可能性を示唆しています。

Nacos バックドア管理者：31秒の修復ループ

コンテナ脱出プローブ（約8分）

MySQL INTO OUTFILE / LOAD_FILE で書き込み/読み取りをテストし、/var/run/docker.sock、/proc/1/cgroup、/etc/hostname、UDF 権限昇格経路を確認。ランサム前に「完了マーカー」を書き込み——Sysdig はこれを固定スクリプト動作ではなく、エージェントがステージ完了を通知しているように見えると分析しています。

破壊的暗号化と身代金メモ

Nacos サービス設定 1,342 件すべてを MySQL AES_ENCRYPT() で暗号化し、元の config_info と his_config_info を削除、身代金テーブル README_RANSOM を作成しました。

KEY = base64.b64encode(uuid.uuid4().bytes + uuid.uuid4().bytes).decode()
print("Encryption key:", KEY)  # 一度だけ出力、保存・窃取なし
# CREATE config_info_enc → DROP config_info → CREATE README_RANSOM
# Bitcoin: 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy
# Contact: e78393397[@]proton[.]me

鍵の詳細：身代金メモは AES-256 と主張しますが、MySQL AES_ENCRYPT() のデフォルトは AES-128-ECB。鍵はランダム生成され stdout に一度だけ出力、保存も送信もされず——身代金を払っても復旧不可能です。2分後、別 payload が件数を「全 1,342 件暗号化済み」に精緻化しました。

大規模破壊と診断的修正

DROP DATABASE へエスカレートし、コードコメントに「高 ROI データベース、64.20.53[.]230 にバックアップ済み」と記載——Sysdig は窃取の独立証拠を発見せず。ある DROP DATABASE は外部キー制約でサイレント失敗——次の payload に SET GLOBAL FOREIGN_KEY_CHECKS=0 を追加。失敗理由を理解した修正であり、盲目的リトライではありません。

ビットコインアドレスの謎

身代金用ビットコインアドレス 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy は、Bitcoin 開発者ドキュメントや Bitcoin Core リポジトリで繰り返される標準 P2SH 形式の例示アドレス——LLM 学習コーパスにも大量に含まれます。

オンチェーンデータ：737 件の確定トランザクション、過去に約 46 BTC を受領、現在残高ゼロ（入金のたびに即座に別アドレスへスイープ）。

Sysdig の区別不能な2解釈：(a) LLM が学習データからアドレスを「幻覚」し、ウォレットは誤入金をスイープする第三者のもの；(b) 攻撃者が偶然ドキュメント例と一致する実ウォレットを設定。JADEPUFFER のシステムプロンプトなしでは両方とも可能です。

公式防御推奨（Sysdig）

1. 01

   Langflow を CVE-2025-3248 修正版へアップグレード；コード実行/検証エンドポイントを公網に晒さない。

2. 02

   ランタイム脅威検知で DB プロセス内の悪意ある挙動を検出する。

3. 03

   LLM API キーやクラウド凭証を AI オーケストレーションホストの環境変数に置かない——インターネット向けプロセスから隔離した専用シークレット管理を使う。

4. 04

   Nacos を硬化：デフォルト token.secret.key をローテーション、カスタムシークレット必須版へアップグレード；Nacos を公網に晒さない；バックエンド DB を root で接続しない。

5. 05

   DB 管理アカウントを公網に晒さない；強力な一意凭証と管理ポートの送信元 IP 制限を徹底する。

6. 06

   出口制御（egress control）を適用し、侵害ホストが自由にビーコンや外部ステージングサーバへ到達できないようにする。

7. 07

   上記 IOC を監視；外部 URL を呼ぶ crontab ジョブや異常な括弧付き User-Agent 文字列に注意する。

Sysdig の4つの結論

1. 01

   ランサムはもはや「熟練オペレータの職人技」ではない：LLM エージェントが深い専門知識なしに偵察・窃取・横展開・永続化・破壊をチェーンできる。

2. 02

   古い脆弱性が自動化されている：下流標的は 2021年頃の Nacos 問題と未ローテーションのデフォルトシークレットに命中；エージェントは過去 CVE のスプレーをほぼ無料にする。

3. 03

   意図が読み取れる——防御者のチャンス：LLM は payload 内で目標を叙述し、新しい検知・分析の手がかりを提供する。

4. 04

   「バックアップ済み」はエージェントの独り言：暗号鍵は一時的で復旧不可能——支払いでは設定を戻せない。

報告の締めくくり：個々の技法は新しくない；重要なのは AI モデルがそれらをチェーンし、放置された公網インフラに対する完全なランサム操作を成立させたこと。スキル下限は今や「エージェントを動かすコスト」です。

5ステップ安全デプロイチェックリスト（リモート Mac + VNC）

1. 01

   隔離ノードを開通：Mac Mini M4 プランを選択；OpenClaw Gateway（18789）や Langflow validate エンドポイントを直接公網にマップしない——外部アクセスが必要なら Nginx/Caddy リバースプロキシ + HTTPS を使用（Gateway リバースプロキシ参照）。

2. 02

   パッチ：Langflow ≥ 1.3.0；Nacos JWT をローテーション；root DB をインターネットから到達不能に。

3. 03

   キーを環境変数から外す：LLM API キーはシークレットマネージャまたは OpenClaw SecretRef に置き、RCE 可能プロセスから隔離する。

4. 04

   VNC グラフィカル検証：Gateway コンソール、プラグイン承認（/approve）、macOS 画面収録/アクセシビリティを確認——SSH だけでは完了できない手順は VNC が必要（20分 Gateway 検収参照）。

5. 05

   出口制御と IOC 監視：外向きビーコンを制限；crontab の外部呼び出しと README_RANSOM IOC を監視；完了後はバックアップをエクスポートしてレンタルを停止する。