JADEPUFFER: 최초 LLM 자율형
랜섬웨어 공격 체인 전해설

개요: AI 운영자가 있는 랜섬웨어

OpenClaw / Langflow 사용자가 주목해야 하는 이유

1. 01

   AI 오케스트레이션 호스트는 환경변수에 LLM API 키를 저장하는 경우가 많으며, JADEPUFFER가 가장 먼저 스캔한 대상입니다.

2. 02

   팀들이 Langflow/OpenClaw Gateway를 접근 제어 없이 프로토타입으로 급히 공개하는 사례가 흔합니다.

3. 03

   CVE-2025-3248은 2025년 5월부터 CISA KEV에 등재되어 있으며, 에이전트는 오래된 취약점 무기화 비용을 거의 0에 가깝게 만듭니다.

4. 04

   LLMjacking: 탈취된 클라우드/모델 자격 증명으로 에이전트를 구동하면 한계 비용이 거의 없습니다.

CVE-2025-3248: Langflow 무인증 RCE 전체 분석

근본 원인 5단계:

1. 01

   Langflow는 시각 편집기에서 사용자 정의 함수 노드의 문법을 검사하기 위해 “코드 검증” API를 노출합니다.

2. 02

   구현 경로: 사용자 코드 → ast.parse() → compile() → exec().

3. 03

   치명적 결함: 인증도 없고 샌드박스 격리도 없습니다.

4. 04

   악용 트릭: Python 데코레이터와 기본 인자는 함수 정의 시점에 평가됩니다. 공격자는 기본값이나 데코레이터에 악성 코드를 삽입하고, Langflow가 “검증”하는 순간 코드가 이미 실행됩니다.

5. 05

   공격자는 로그인이나 권한이 필요 없습니다 — 조작된 HTTP POST만으로 RCE가 가능합니다.

exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')

중요 구분: Flodrix 봇넷 배포와 JADEPUFFER는 두 개의 독립 캠페인이며 동일 진입 CVE를 공유합니다. Flodrix는 전통적 스크립트 기반 배포이고, JADEPUFFER는 Sysdig가 분류한 “AI 에이전트 구동” 랜섬웨어 사례입니다.

패치(1.3.0): post_validate_code에 _current_user: CurrentActiveUser 의존성 주입이 추가되었습니다. FastAPI가 JWT Bearer Token 또는 x-api-key를 먼저 검증하고, 실패 시 401/403을 반환하며 요청이 취약 로직에 도달하지 않습니다.

공격 체인 2단계: MySQL + Nacos 프로덕션 서버

실제 표적은 마찬가지로 인터넷에 노출된 MySQL과 Alibaba Nacos를 운영하는 별도 서버였습니다. Nacos는 인증 우회 이력(CVE-2021-29441 등)이 있고, 기본 JWT 서명 시크릿은 2020년부터 공개 문서화되어 있으며 많은 배포에서 교체하지 않았습니다.

에이전트는 노출된 MySQL 포트에 root 자격 증명으로 연결했습니다. 출처는 불명확하며, Sysdig는 피해 환경에서 탈취된 것을 관측하지 못해 소수의 인간 준비 단계일 가능성을 시사합니다.

Nacos 백도어 관리자: 31초 복구 루프

컨테이너 탈출 탐색(약 8분)

MySQL INTO OUTFILE / LOAD_FILE로 쓰기/읽기를 테스트하고, /var/run/docker.sock, /proc/1/cgroup, /etc/hostname, UDF 권한 상승 경로를 확인했습니다. 랜섬웨어 실행 전 “완료 마커”를 기록했는데, Sysdig는 이것이 고정 스크립트가 아니라 에이전트가 단계 완료를 신호하는 것으로 보인다고 합니다.

파괴적 암호화 및 몸값 요구서

Nacos 서비스 설정 1,342건 전체를 MySQL AES_ENCRYPT()로 암호화하고, 원본 config_info와 his_config_info를 삭제한 뒤 몸값 테이블 README_RANSOM을 생성했습니다.

KEY = base64.b64encode(uuid.uuid4().bytes + uuid.uuid4().bytes).decode()
print("Encryption key:", KEY)  # 한 번만 출력, 저장·유출 없음
# CREATE config_info_enc → DROP config_info → CREATE README_RANSOM
# Bitcoin: 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy
# Contact: e78393397[@]proton[.]me

핵심: 몸값 요구서는 AES-256을 주장하지만 MySQL AES_ENCRYPT() 기본값은 AES-128-ECB입니다. 키는 무작위로 생성되어 stdout에 한 번만 출력되었고 저장·전송되지 않았습니다 — 몸값을 지불해도 복구 불가합니다. 2분 후 다른 payload가 “1,342건 전체 암호화”로 건수를 정제했습니다.

대규모 파괴 및 진단 수정

DROP DATABASE로 확대했으며 코드 주석에는 “고 ROI 데이터베이스, 64.20.53[.]230에 백업”이라고 적혀 있었습니다. Sysdig는 유출의 독립적 증거를 발견하지 못했습니다. 한 DROP DATABASE는 외래 키 제약으로 조용히 실패했고, 다음 payload에 SET GLOBAL FOREIGN_KEY_CHECKS=0이 추가되었습니다. 맹목적 재시도가 아니라 실패 원인을 이해해야 하는 수정입니다.

비트코인 주소 미스터리

몸값 비트코인 주소 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy는 Bitcoin 개발자 문서와 Bitcoin Core 저장소에서 반복되는 표준 P2SH 형식 예시이며, LLM 학습 코퍼스에도 풍부하게 등장합니다.

온체인 데이터: 확인 거래 737건, 역사적 수신 약 46 BTC, 현재 잔액 0(입금마다 즉시 다른 주소로 이동).

Sysdig의 구분 불가능한 두 해석: (a) LLM이 학습 데이터에서 주소를 “환각”했고 지갑은 착오 입금을 회수하는 제3자 소유; (b) 공격자가 문서 예시와 우연히 일치하는 실제 지갑을 설정. JADEPUFFER의 시스템 프롬프트 없이는 둘 다 가능합니다.

공식 방어 권고(Sysdig)

1. 01

   Langflow를 CVE-2025-3248 이후 버전으로 업그레이드하고, 코드 실행/검증 엔드포인트를 공개 인터넷에 노출하지 마세요.

2. 02

   런타임 위협 탐지로 데이터베이스 프로세스 내부의 악성 행위를 식별하세요.

3. 03

   LLM API 키나 클라우드 자격 증명을 AI 오케스트레이션 호스트 환경변수에 저장하지 마세요 — 인터넷 노출 프로세스와 격리된 전용 시크릿 관리를 사용하세요.

4. 04

   Nacos 강화: 기본 token.secret.key 교체, 커스텀 시크릿을 요구하는 버전으로 업그레이드; Nacos를 공개하지 마세요; 백엔드 DB를 root로 연결하지 마세요.

5. 05

   데이터베이스 관리 계정을 공개하지 마세요; 관리 포트에 강력한 고유 자격 증명과 소스 IP 제한을 적용하세요.

6. 06

   아웃바운드 제어를 적용해 장악된 호스트가 자유롭게 비콘하거나 외부 스테이징 서버에 접근하지 못하게 하세요.

7. 07

   위 IOC를 모니터링하고, 외부 URL을 호출하는 crontab 작업과 비정상적인 괄호 User-Agent 문자열을 주시하세요.

Sysdig의 4가지 결론

1. 01

   랜섬웨어는 더 이상 “숙련 운영자의 기예”가 아닙니다: LLM 에이전트가 정찰, 탈취, 횡적 이동, 지속성, 파괴를 깊은 전문 지식 없이 연쇄할 수 있습니다.

2. 02

   오래된 버그가 자동화되고 있습니다: 하류 표적은 2021년대 Nacos 이슈와 교체되지 않은 기본 시크릿을 맞았으며, 에이전트는 역사적 CVE 스프레이 비용을 거의 없앱니다.

3. 03

   의도가 읽히기 시작했습니다 — 방어자의 기회: LLM이 payload 안에서 목표를 서술하므로 새로운 탐지·분석 핸들이 생깁니다.

4. 04

   “백업했다”는 에이전트의 자기 대화였습니다: 암호화 키는 일시적이고 복구 불가능했으며 — 지불로 설정을 되돌릴 수 없습니다.

보고서는 마무리합니다. 개별 기법은 새 것이 아니며, 중요한 것은 AI 모델이 이를 방치된 공개 인프라에 대한 완전한 몸값 작전으로 연쇄했다는 점입니다. 기술 장벽은 이제 “에이전트를 돌리는 비용”입니다.

5단계 보안 배포 체크리스트(원격 Mac + VNC)

1. 01

   격리 노드 개통: Mac Mini M4 요금제 선택; OpenClaw Gateway(18789)나 Langflow validate 엔드포인트를 공개 인터넷에 직접 매핑하지 마세요 — 외부 접근이 필요하면 Nginx/Caddy 리버스 프록시 + HTTPS를 사용하세요.

2. 02

   패치: Langflow ≥ 1.3.0; Nacos JWT 교체; 인터넷에서 도달 가능한 root DB 금지.

3. 03

   환경변수에서 키 분리: LLM API 키는 시크릿 매니저 또는 OpenClaw SecretRef에 보관하고 RCE 가능 프로세스와 격리하세요.

4. 04

   VNC 그래픽 검증: Gateway 콘솔, 플러그인 승인(/approve), macOS 화면 녹화/손쉬운 사용 권한 — SSH만으로 불가한 단계는 VNC가 필요합니다.

5. 05

   아웃바운드 및 IOC 모니터링: 아웃바운드 비콘 제한; crontab 외부 호출과 README_RANSOM IOC 주시; 완료 후 백업 export 및 임대 중지.