Ransomware ENCFORGE lợi dụng lỗ hổng Langflow để mã hóa tệp mô hình AI
"Researchers reported a new ENCFORGE ransomware campaign that targets AI model artifacts such as weights, vector indexes, training datasets, and related files after exploiting an unauthenticated Langflow RCE flaw, CVE-2025-3248. The malware uses AES-256-CTR with an embedded RSA-2048 key, appends a .locked extension, and the recommended fix is to upgrade Langflow to 1.9.1 or a supported release while removing unnecessary Docker socket access and protecting AI assets with offline or immutable backups."
Tác động chính là mã hóa diện rộng các hiện vật AI, làm gián đoạn huấn luyện và triển khai. Điểm đáng chú ý gồm: CVE-2025-3248 cho phép thực thi mã từ xa không xác thực; cơ chế mã hóa dùng AES-256-CTR và đổi hậu tố .locked; đồng thời kẻ tấn công có thể break out qua Docker socket để đạt quyền trên host.
Rủi ro vận hành tập trung vào chi phí khôi phục và tái huấn luyện khi dữ liệu mô hình/huấn luyện bị mã hóa; Sysdig ước tính có thể tốn $75.000–$500.000 mỗi mô hình. Ngoài ra, một lần xâm nhập có thể ảnh hưởng nhiều biến thể mô hình dùng chung lưu trữ, làm tăng thời gian gián đoạn dịch vụ và chi phí kỹ thuật.
Các nhà nghiên cứu của Sysdig ghi nhận một chiến dịch ransomware mới mang tên ENCFORGE nhắm vào máy chủ Langflow đã bị khai thác. Điểm khởi đầu vẫn là lỗ hổng CVE-2025-3248: các phiên bản Langflow trước 1.3.0 để lộ endpoint /api/v1/validate/code mà không cần xác thực, cho phép kẻ tấn công thực thi mã Python tùy ý từ xa. Lỗ hổng này có CVSS 9.8 và được đưa vào danh mục CISA KEV từ ngày 5/5/2025.
Sau khi chiếm quyền thực thi, kẻ tấn công triển khai ENCFORGE (binary Go tĩnh, nén UPX 5.20) để mã hóa các tệp trọng số mô hình, vector index, tập dữ liệu huấn luyện và nhiều hiện vật hạ tầng AI khác trên toàn bộ hệ thống tệp. Mã hóa dùng AES-256-CTR; khóa đối xứng được bọc bằng RSA-2048 nhúng trong bản build. Mỗi tệp bị đổi tên thêm hậu tố .locked, đồng thời tiến trình có thể dừng ứng dụng đang giữ file mở, ghi ghi chú tống tiền (README / HOW_TO_DECRYPT), và tự xóa sau khi chạy.
ENCFORGE không thấy khả năng exfiltration trong phiên quan sát. Khuyến nghị: nâng cấp Langflow lên 1.9.1 (hoặc bản đang được hỗ trợ), loại bỏ quyền truy cập Docker socket (/var/run/docker.sock) nếu không cần thiết, giám sát hành vi tạo container đặc quyền (Privileged: true, PidMode: host) và bảo vệ mô hình bằng offline/immutable backups để giảm rủi ro mất khả năng khôi phục.