ENCFORGE-ransomware krypterer KI-modellvekter via Langflow-hull

CVSS 9.8 er alvorlighetsgraden på hullet en KI-drevet angriper nå utnytter til å slippe løs ENCFORGE, et nytt løsepengevirus skrevet i Go som krypterer selve KI-infrastrukturen på en vert. Sysdig knytter angrepet til operatøren JADEPUFFER og til CVE-2025-3248: Langflow-versjoner før 1.3.0 eksponerer endepunktet /api/v1/validate/code uten autentisering, slik at hvem som helst kan kjøre vilkårlig Python på serveren. Feilen har ligget i CISAs katalog over kjente utnyttede sårbarheter siden 5. mai 2025.

Det som skiller ENCFORGE fra generisk løsepengevirus er hva det leter etter. Standard filtypeliste dekker PyTorch- og TensorFlow-sjekkpunkter, Hugging Face SafeTensors, ONNX, GGUF og forgjengeren GGML som er standarden for lokalt kjørte språkmodeller, FAISS-vektorindekser, Parquet- og Arrow-datasett og NumPy-arrayer. Hele lista teller rundt 180 filtyper, og hjelpeteksten bruker LoRA-adaptere og gamle GGML-vekter som eksempler.

«Forskerne leser valget av filtyper som bevisst målretting, ikke tilfeldig dekning.» — Sysdig

Payloaden er en UPX-pakket statisk Go-binær som ingen trusseldatabase gjenkjente da Sysdig analyserte den. Den bruker AES-256-CTR til fildata med en per-kjøring-nøkkel pakket inn under en innbygd RSA-2048-nøkkel, og krypterer kun utvalgte regioner av hver fil for fart, samme knep som LockBit-klassen bruker. Filene får endelsen .locked. Binæren har ingen exfiltrering: det eneste pressmiddelet er de krypterte dataene selv.

Veien fra Langflow til verten er lærerik. Da det første forsøket på å hente ENCFORGE feilet, brukte operatøren fem minutter og 24 sekunder på å skrive og revidere seks Python-skript gjennom samme RCE-kanal, base64-kodet for å unngå signaturdeteksjon, til den fant Docker-socketen på /var/run/docker.sock og spant opp en privilegert container med host-PID og rot-filsystemet montert. Det er host root.

For deg som kjører modeller i produksjon er regnestykket brutalt: Sysdig anslår at å bygge opp igjen én kryptert produksjonsmodell koster mellom 75 000 og 500 000 dollar i GPU-tid og ingeniørarbeid. Ligger flere varianter og treningsdata på samme delte lager, tar én kjøring dem alle.

Hva bør du gjøre?

1. Oppgrader Langflow til 1.9.1 eller nyere: CISA har lagt til to nye Langflow-hull i KEV-katalogen siden 1.3.0, senest CVE-2026-55255 den 7. juli 2026.
2. Roter KI-nøkler, sky- og databasehemmeligheter som Langflow-prosessen har hatt tilgang til, siden patching ikke tilbakekaller allerede høstede nøkler.
3. Fjern /var/run/docker.sock fra containere som ikke trenger den, og varsle på containere startet med Privileged: true eller PidMode: host.
4. Hold modellvekter, vektorindekser og treningsdata i offline eller uforanderlige snapshots, og overvåk katalogene for masseoppretting av .locked-filer.