Una nuova ondata di ransomware sta prendendo di mira in modo esplicito gli ambienti di intelligenza artificiale attraverso Langflow, piattaforma spesso usata per orchestrare flussi e agenti. La catena di attacco parte da una vulnerabilità critica di esecuzione di codice da remoto, identificata come CVE 2025 3248, che interessa le versioni di Langflow precedenti alla 1.3.0.
Il problema risiede in un endpoint esposto senza autenticazione che consente a un attaccante remoto di eseguire codice Python arbitrario sul server, aprendo la strada al controllo dell'istanza e alla successiva compromissione dell'host.
Dopo l'accesso iniziale, gli attaccanti hanno distribuito ENCFORGE, un ransomware compilato in Go progettato per cifrare asset tipici delle pipeline AI. Il bersaglio non sono solo file generici, ma elementi ad alto valore come pesi dei modelli, indici vettoriali e dataset di addestramento.
Lista di estensioni e artefatti colpiti
- Checkpoint e formati ML: PyTorch, TensorFlow, SafeTensors, ONNX, GGUF, GGML
- Indici e dati: FAISS, Parquet, Arrow
- Array e record: array NumPy, record TensorFlow
- Fine-tuning: riferimenti a LoRA e ad altri artefatti di fine tuning
La presenza di riferimenti a LoRA e ad altri artefatti di fine tuning rafforza l'idea di un targeting intenzionale verso infrastrutture di machine learning.
Dettagli tecnici di cifratura e impatto
Sul piano tecnico ENCFORGE usa AES 256 in modalità CTR per i dati e protegge la chiave simmetrica con una chiave pubblica RSA 2048 incorporata. Per accelerare l'impatto, non cifra sempre l'intero file ma porzioni selezionate, tecnica tipica dei ransomware moderni. I file vengono rinominati con estensione locked, vengono terminati i processi che mantengono i file aperti e vengono rilasciate note di riscatto con nomi come README e HOW_TO_DECRYPT. In questa variante non sono state osservate funzioni di esfiltrazione, quindi la leva principale resta l'indisponibilità dei dati cifrati.
Docker socket e breakout dall'ambiente container
Un passaggio chiave della compromissione riguarda l'uso del socket Docker esposto nel container. Attraverso le API Docker, gli attaccanti possono avviare container privilegiati con accesso al filesystem dell'host e poi eseguire il ransomware direttamente sul sistema, trasformando una falla applicativa in un breakout verso l'infrastruttura sottostante.
Misure di mitigazione consigliate
- Aggiornamento: aggiornare Langflow a versioni supportate (almeno 1.3.0 o successive)
- Credenziali: ruotare credenziali potenzialmente esposte
- Hardening Docker: rimuovere l'accesso non necessario a /var/run/docker.sock
- Protezione dati AI: proteggere repository di modelli e dataset con snapshot immutabili o offline
- Monitoraggio: rilevare la creazione massiva di file con estensione .locked