- Автор темы
- #1
Аналитики из компании Sysdig предупредили об обнаружении шифровальщика JadePuffer. Специалисты считают, что это первый задокументированный случай вымогательской атаки, которой от начала до конца управлял ИИ-агент. LLM самостоятельно провела разведку, похитила учетные данные, осуществила латеральное перемещение по сети, закрепилась в инфраструктуре, повысила привилегии и зашифровала данные.
Исследователи пишут, что первоначальный доступ к системе жертвы был получен через эксплуатацию проблемы CVE-2025-3248. Это уязвимость удаленного выполнения кода в опенсорсном фреймворке Langflow, предназначенном для создания приложений на базе LLM. Разработчики исправили этот баг 1 апреля 2025 года, но уже в начале мая Агентство по кибербезопасности и защите инфраструктуры США (CISA) сообщило, что уязвимость начали использовать в реальных атаках.
Получив возможность выполнять Python-код, ИИ-агент выгрузил базу PostgreSQL, собрал информацию о хосте и начал искать секреты. Его интересовали API-ключи LLM-провайдеров, учетные данные облачных платформ, криптовалютные кошельки и пароли от баз данных. При этом ИИ искал не только данные AWS, Azure и Google Cloud, но и Alibaba, Aliyun, Tencent и Huawei.
Также JadePuffer исследовал объектное хранилище MinIO и адаптировал свои пейлоады под ответы сервера. Например, когда один из запросов вернул XML вместо ожидаемого JSON, следующий скрипт уже был подготовлен соответствующим образом. Для закрепления на сервере Langflow агент создал cron-задачу, которая связывалась с инфраструктурой атакующего каждые 30 минут.
Следующей целью стал отдельный продакшен-сервер с MySQL и Alibaba Nacos. JadePuffer подключился к открытому порту MySQL с правами root. Исследователи подчеркивают, что им не удалось понять, откуда взялись эти учетные данные, так как в окружении первой жертвы их не было.
После этого агент атаковал Nacos сразу несколькими способами. Он эксплуатировал уязвимость обхода аутентификации CVE-2021-29441, подделывал JWT с помощью стандартного ключа подписи и напрямую добавил бэкдор-аккаунт администратора в базу. Параллельно с этим ИИ искал возможность осуществить побег из контейнера и подготавливал вымогательский пейлоад.
В итоге JadePuffer зашифровал все 1342 элемента конфигурации Nacos с помощью функции MySQL AES_ENCRYPT(), удалил исходные таблицы config_info и history, а затем создал таблицу README_RANSOM с требованием выкупа, биткоин-адресом и контактом в Proton Mail.
В записке утверждалось, что данные зашифрованы алгоритмом AES-256, однако специалисты считают, что на самом деле в атаке использовался более слабый AES-128-ECB. При этом ключ генерировался случайным образом, нигде не сохранялся и не отправлялся операторам малвари. То есть даже после выплаты выкупа восстановить данные не представлялось возможным. Указанный биткоин-адрес тоже оказался широко известным примером из публичной документации, и эксперты полагают, что LLM почерпнула его из обучающих данных.
На участие ИИ в атаке указывали подробные комментарии в сгенерированном коде, где модель описывала логику своих действий и выбор целей. Кроме того, агент не просто повторял неудачные команды, а анализировал свои ошибки и менял параметры. К примеру, в одном случае прошла всего 31 секунда между неудачной попыткой входа и созданием рабочего решения.
Исследователи отмечают, что JadePuffer не применял каких-либо сложных или новых техник. Но LLM самостоятельно объединила различные методы в полноценную вымогательскую операцию и применила их против плохо защищенной инфраструктуры.
По оценке специалистов, теперь порог входа для таких атак снизился до цены запуска ИИ-агента, а в случае использования похищенного доступа к LLM расходы злоумышленников могут быть практически нулевыми.
Исследователи пишут, что первоначальный доступ к системе жертвы был получен через эксплуатацию проблемы CVE-2025-3248. Это уязвимость удаленного выполнения кода в опенсорсном фреймворке Langflow, предназначенном для создания приложений на базе LLM. Разработчики исправили этот баг 1 апреля 2025 года, но уже в начале мая Агентство по кибербезопасности и защите инфраструктуры США (CISA) сообщило, что уязвимость начали использовать в реальных атаках.
Получив возможность выполнять Python-код, ИИ-агент выгрузил базу PostgreSQL, собрал информацию о хосте и начал искать секреты. Его интересовали API-ключи LLM-провайдеров, учетные данные облачных платформ, криптовалютные кошельки и пароли от баз данных. При этом ИИ искал не только данные AWS, Azure и Google Cloud, но и Alibaba, Aliyun, Tencent и Huawei.
Также JadePuffer исследовал объектное хранилище MinIO и адаптировал свои пейлоады под ответы сервера. Например, когда один из запросов вернул XML вместо ожидаемого JSON, следующий скрипт уже был подготовлен соответствующим образом. Для закрепления на сервере Langflow агент создал cron-задачу, которая связывалась с инфраструктурой атакующего каждые 30 минут.
Следующей целью стал отдельный продакшен-сервер с MySQL и Alibaba Nacos. JadePuffer подключился к открытому порту MySQL с правами root. Исследователи подчеркивают, что им не удалось понять, откуда взялись эти учетные данные, так как в окружении первой жертвы их не было.
После этого агент атаковал Nacos сразу несколькими способами. Он эксплуатировал уязвимость обхода аутентификации CVE-2021-29441, подделывал JWT с помощью стандартного ключа подписи и напрямую добавил бэкдор-аккаунт администратора в базу. Параллельно с этим ИИ искал возможность осуществить побег из контейнера и подготавливал вымогательский пейлоад.
В итоге JadePuffer зашифровал все 1342 элемента конфигурации Nacos с помощью функции MySQL AES_ENCRYPT(), удалил исходные таблицы config_info и history, а затем создал таблицу README_RANSOM с требованием выкупа, биткоин-адресом и контактом в Proton Mail.
В записке утверждалось, что данные зашифрованы алгоритмом AES-256, однако специалисты считают, что на самом деле в атаке использовался более слабый AES-128-ECB. При этом ключ генерировался случайным образом, нигде не сохранялся и не отправлялся операторам малвари. То есть даже после выплаты выкупа восстановить данные не представлялось возможным. Указанный биткоин-адрес тоже оказался широко известным примером из публичной документации, и эксперты полагают, что LLM почерпнула его из обучающих данных.
На участие ИИ в атаке указывали подробные комментарии в сгенерированном коде, где модель описывала логику своих действий и выбор целей. Кроме того, агент не просто повторял неудачные команды, а анализировал свои ошибки и менял параметры. К примеру, в одном случае прошла всего 31 секунда между неудачной попыткой входа и созданием рабочего решения.
Исследователи отмечают, что JadePuffer не применял каких-либо сложных или новых техник. Но LLM самостоятельно объединила различные методы в полноценную вымогательскую операцию и применила их против плохо защищенной инфраструктуры.
По оценке специалистов, теперь порог входа для таких атак снизился до цены запуска ИИ-агента, а в случае использования похищенного доступа к LLM расходы злоумышленников могут быть практически нулевыми.