JADEPUFFER: первое полностью агентное
LLM-ransomware — разбор цепочки атаки

Обзор: ransomware с ИИ-оператором

Почему это важно пользователям OpenClaw / Langflow

1. 01

   Хосты AI-оркестрации часто хранят API-ключи LLM в переменных окружения — первое, что сканировал JADEPUFFER.

2. 02

   Команды спешат вывести прототипы в сеть с Langflow/OpenClaw Gateway без контроля доступа.

3. 03

   CVE-2025-3248 в каталоге CISA KEV с мая 2025; агенты делают эксплуатацию старых багов почти бесплатной.

4. 04

   LLMjacking: украденные облачные/модельные учётные данные позволяют гонять агентов с почти нулевой маржинальной стоимостью.

CVE-2025-3248: полный анализ неаутентифицированного RCE в Langflow

Корневая причина в пяти шагах:

1. 01

   Langflow предоставляет API «проверки кода», чтобы пользователи могли синтаксически проверять кастомные function-узлы в визуальном редакторе.

2. 02

   Путь выполнения: код пользователя → ast.parse() → compile() → exec().

3. 03

   Критический изъян: нет аутентификации и нет изоляции песочницы.

4. 04

   Трюк эксплуатации: в Python декораторы и аргументы по умолчанию вычисляются при определении функции; атакующие встраивают вредоносный код в defaults или декораторы — как только Langflow «валидирует», код уже выполнен.

5. 05

   Атакующему не нужен логин и привилегии — достаточно crafted HTTP POST для RCE.

exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')

Важное различие: доставка ботнета Flodrix и JADEPUFFER — две независимые кампании, использующие одну и ту же точку входа CVE. Flodrix — традиционная скриптовая доставка; JADEPUFFER — случай ransomware, «управляемого ИИ-агентом», по классификации Sysdig.

Патч (1.3.0): post_validate_code получает dependency injection _current_user: CurrentActiveUser; FastAPI сначала проверяет JWT Bearer Token или x-api-key — при ошибке 401/403, запрос не доходит до уязвимой логики.

Цепочка атаки, фаза 2: продакшен-сервер MySQL + Nacos

Реальной целью был другой также публично доступный сервер с MySQL и Alibaba Nacos. У Nacos есть история обхода аутентификации (CVE-2021-29441 и варианты), а дефолтный JWT signing secret документирован публично с 2020 года — многие развёртывания его так и не меняли.

Агент подключился к открытому порту MySQL с учётными данными root — источник неясен; Sysdig не наблюдал их кражу из среды жертвы, что указывает на одну из немногих возможных заранее подготовленных человеком операций.

Бэкдор-админ Nacos: цикл исправления за 31 секунду

Зонды побега из контейнера (~8 минут)

Через MySQL INTO OUTFILE / LOAD_FILE тестировались запись/чтение, /var/run/docker.sock, /proc/1/cgroup, /etc/hostname и пути эскалации через UDF. Перед ransomware записывался «маркер завершения» — Sysdig считает, что это похоже на сигнал агента о завершении этапа, а не фиксированное поведение скрипта.

Деструктивное шифрование и записка с требованием выкупа

Зашифрованы все 1 342 конфигурации сервисов Nacos через MySQL AES_ENCRYPT(), удалены оригинальные config_info и his_config_info, создана таблица выкупа README_RANSOM.

KEY = base64.b64encode(uuid.uuid4().bytes + uuid.uuid4().bytes).decode()
print("Encryption key:", KEY)  # выведен один раз, нигде не сохранён и не эксфильтрирован
# CREATE config_info_enc → DROP config_info → CREATE README_RANSOM
# Bitcoin: 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy
# Contact: e78393397[@]proton[.]me

Ключевая деталь: записка утверждает AES-256, но MySQL AES_ENCRYPT() по умолчанию использует AES-128-ECB; ключ был случайным, выведен только в stdout, нигде не сохранён и не передан — восстановление невозможно даже при оплате выкупа. Через две минуты следующий payload уточнил счётчик: «все 1 342 элемента зашифрованы».

Массовое уничтожение и диагностические исправления

Эскалация до DROP DATABASE с комментариями в коде о «высоко-ROI базах, скопированных на 64.20.53[.]230» — Sysdig не нашёл независимых доказательств эксфильтрации. Один DROP DATABASE молча провалился из-за foreign-key constraints; следующий payload добавил SET GLOBAL FOREIGN_KEY_CHECKS=0 — исправление требует понимания почему провалилось, а не слепых повторов.

Загадка Bitcoin-адреса

Bitcoin-адрес выкупа 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy — это стандартный пример формата P2SH, повторяющийся в документации разработчиков Bitcoin и репозитории Bitcoin Core — также обилен в обучающих корпусах LLM.

Данные on-chain: 737 подтверждённых транзакций, исторически получено ~46 BTC, текущий баланс нулевой (каждый депозит сразу переводился дальше).

Две неразличимые трактовки Sysdig: (а) LLM «галлюцинировал» адрес из обучающих данных, и кошелёк принадлежит третьей стороне, которая забирает ошибочные депозиты; (б) атакующий настроил реальный кошелёк, случайно совпавший с примером из документации. Без system prompt JADEPUFFER обе версии остаются возможными.

Официальные рекомендации по защите (Sysdig)

1. 01

   Обновить Langflow выше CVE-2025-3248; никогда не выставлять эндпоинты выполнения/валидации кода в публичный интернет.

2. 02

   Использовать runtime threat detection для обнаружения вредоносного поведения внутри процессов БД.

3. 03

   Не хранить API-ключи LLM и облачные учётные данные в переменных окружения хоста AI-оркестрации — использовать выделенное управление секретами, изолированное от интернет-процессов.

4. 04

   Укрепить Nacos: сменить дефолтный token.secret.key, обновиться до версий с обязательными кастомными секретами; никогда не выставлять Nacos публично; не подключать бэкенд-БД как root.

5. 05

   Не выставлять админ-аккаунты БД публично; применять сильные уникальные учётные данные и ограничения по source-IP на админ-портах.

6. 06

   Применять контроль исходящего трафика (egress), чтобы скомпрометированные хосты не могли свободно слать маяки и достигать внешних staging-серверов.

7. 07

   Мониторить IOC выше; следить за crontab-задачами, вызывающими внешние URL, и аномальными User-Agent в скобках.

Четыре вывода Sysdig

1. 01

   Ransomware больше не «ремесло опытного оператора»: LLM-агент может связать разведку, кражу, латеральное перемещение, персистентность и уничтожение без глубокой экспертизы оператора.

2. 02

   Старые баги автоматизируются: нижестоящие цели попали под Nacos-проблемы 2021 года и несменённые дефолтные секреты; агенты делают массовую эксплуатацию исторических CVE почти бесплатной.

3. 03

   Намерения стали читаемы — возможность для защитников: LLM описывают цели внутри payload, предлагая новую точку обнаружения и анализа.

4. 04

   «Скопировано в бэкап» было саморазговором агента: ключи шифрования были эфемерными и невосстановимыми — оплата не вернёт конфигурации.

Отчёт завершается: ни одна отдельная техника не нова; важно, что ИИ-модель связала их в полную ransom-операцию против заброшенной публичной инфраструктуры. Планка навыков теперь — «стоимость запуска агента».

Пятиступенчатый чеклист безопасного развёртывания (удалённый Mac + VNC)

1. 01

   Подготовить изолированный узел: выбрать тариф Mac Mini M4; не маппить OpenClaw Gateway (18789) или Langflow validate-эндпоинты напрямую в публичный интернет — при необходимости внешнего доступа использовать Nginx/Caddy reverse proxy + HTTPS.

2. 02

   Патчить: Langflow ≥ 1.3.0; сменить JWT Nacos; root-БД недоступна из интернета.

3. 03

   Ключи вне env vars: API-ключи LLM в secret manager или OpenClaw SecretRef, изолированные от процессов с возможностью RCE.

4. 04

   Графическая верификация по VNC: проверить консоль Gateway, одобрения плагинов (/approve), Screen Recording/Accessibility macOS — шаги, которые SSH не завершит, требуют VNC.

5. 05

   Egress и мониторинг IOC: ограничить исходящие маяки; следить за внешними вызовами в crontab и IOC README_RANSOM; экспортировать бэкап и остановить аренду по завершении.