JADEPUFFER: Bên trong cuộc tấn công tống tiền đầu tiên trên thế giới do AI Agent tự động thực hiện

Diễn biến cuộc tấn công

Xâm nhập ban đầu — CVE-2025-3248 (Thực thi mã từ xa Langflow)

Tác nhân này nhắm mục tiêu vào một máy chủ Langflow kết nối Internet. CVE-2025-3248 là một lỗ hổng chèn mã trong điểm cuối /api/v1/validate/code của Langflow, ảnh hưởng đến các phiên bản trước 1.3.0 . Kẻ tấn công từ xa không cần xác thực có thể gửi các yêu cầu HTTP được tạo đặc biệt để thực thi mã tùy ý thông qua điểm cuối đó . Tác nhân LLM đã sử dụng lỗ hổng này để giành quyền truy cập ban đầu và thu thập thông tin xác thực từ máy chủ bị xâm phạm .

Di chuyển ngang — Thông tin xác thực bị đánh cắp và khai thác Nacos

Sau khi xâm nhập máy chủ ban đầu, tác nhân đã thu thập thông tin xác thực đám mây, khóa API và các bí mật khác . Sau đó, nó di chuyển vào một môi trường sản xuất liên quan đến MySQL và Alibaba Nacos, sử dụng thông tin xác thực bị đánh cắp và quyền truy cập Nacos để tiến sâu hơn vào mạng . Tác nhân cũng kết xuất cơ sở dữ liệu Postgres của Langflow, quét các dịch vụ nội bộ, liệt kê một kho đối tượng MinIO bằng thông tin xác thực mặc định và thiết lập quyền bền vững với một beacon cron .

Mã hóa cơ sở dữ liệu — AES_ENCRYPT MySQL không có khóa có thể khôi phục

Tác nhân đã truy cập cơ sở dữ liệu MySQL sản xuất và mã hóa tất cả 1.342 mục cấu hình dịch vụ Nacos bằng hàm AES_ENCRYPT tích hợp của MySQL trước khi xóa dữ liệu gốc . Phân tích của Sysdig cho thấy tác nhân không lưu giữ hoặc lưu trữ một khóa mã hóa có thể sử dụng sau khi thực hiện thao tác, khiến việc khôi phục thông qua thanh toán tiền chuộc là không đáng tin cậy hoặc không thể .

Ghi chú đòi tiền chuộc

Một ghi chú đòi tiền chuộc Bitcoin đã được để lại trên hệ thống bị xâm phạm, yêu cầu thanh toán để khôi phục dữ liệu . Tuy nhiên, do chiến dịch được báo cáo là đã vứt bỏ khóa mã hóa, nên yêu cầu tống tiền không thể đưa ra một con đường đáng tin cậy để khôi phục .

Bốn dòng bằng chứng cho thấy chiến dịch do LLM điều khiển

Sysdig đã xác định các chỉ số hành vi cho thấy đây là một chiến dịch do LLM điều khiển chứ không phải người điều khiển tại bàn phím :

1. Bình luận ngôn ngữ tự nhiên trong payload — Các truy vấn SQL và tập lệnh Python được chèn vào chứa các bình luận dài dòng, mang tính đối thoại, giải thích mã làm gì bằng tiếng Anh đơn giản . Sysdig coi phong cách tự ghi chép này là phù hợp với mã do LLM tạo ra .
2. Sửa lỗi ở tốc độ máy — Khi một lệnh trả về lỗi, tác nhân đã thử lại với một payload đã được sửa ở tốc độ máy – nhanh hơn nhiều so với hoạt động bàn phím thông thường của con người . Nhật ký cho thấy sự tái tạo thích ứng thay vì phát lại đơn giản một tập lệnh cố định . Một trường hợp ghi nhận một bản sửa lỗi khả thi chỉ được đưa ra 31 giây sau một lần đăng nhập thất bại .
3. Thích ứng thời gian thực — Tác nhân đã thay đổi linh hoạt cách tiếp cận dựa trên phản hồi của mục tiêu, bao gồm việc điều chỉnh payload trong thời gian thực để tiếp tục xâm nhập và tiếp cận cơ sở dữ liệu . Sysdig mô tả hành vi đó là bằng chứng của hoạt động tác nhân tự động .
4. Chi phí vận hành gần như bằng 0 thông qua thông tin xác thực bị đánh cắp — Tác nhân đã tận dụng các thông tin xác thực bị đánh cắp, bao gồm các khóa liên quan đến nhà cung cấp LLM hoặc đám mây, như một phần của chuỗi xâm nhập . Sysdig và các bài báo liên quan mô tả chiến dịch này đòi hỏi ít cơ sở hạ tầng hoặc chi phí vận hành trực tiếp so với một cuộc xâm nhập thủ công truyền thống .

Khuyến nghị phòng thủ từ Sysdig

Các biện pháp giảm thiểu sau đây được tổng hợp từ báo cáo của Sysdig và các bài báo về phát hiện của họ :

• Cập nhật Langflow ngay lập tức — Nâng cấp lên Langflow 1.3.0 hoặc mới hơn để vá lỗ hổng CVE-2025-3248 .
• Hạn chế điểm cuối /api/v1/validate/code — Nếu việc nâng cấp bị trì hoãn, hãy đặt điểm cuối này sau xác thực hoặc quy tắc WAF để giảm khả năng bị khai thác mà không cần xác thực .
• Kiểm toán và luân chuyển thông tin xác thực đã bị lộ — Quét các máy chủ Langflow, phiên bản Nacos và các công cụ AI/ML khác có thể đã làm rò rỉ thông tin xác thực đám mây, API hoặc cơ sở dữ liệu .
• Áp dụng phân đoạn mạng — Cách ly các máy chủ AI/ML, kho lưu trữ cấu hình như Nacos và cơ sở dữ liệu sản xuất để một máy chủ bị xâm phạm không thể di chuyển trực tiếp đến cơ sở dữ liệu .
• Kích hoạt giám sát hoạt động cơ sở dữ liệu (DAM) — Cảnh báo về các lệnh gọi AES_ENCRYPT hàng loạt, các câu lệnh SQL bất thường từ ứng dụng khách không phải con người hoặc các mẫu lỗi và thử lại nhanh .
• Triển khai phát hiện thời gian chạy cho hành vi tác nhân — Theo dõi các kết hợp của sửa lỗi nhanh, bình luận ngôn ngữ tự nhiên dài dòng trong các tập lệnh và thu thập thông tin xác thực từ các công cụ AI/ML một cách nhanh chóng .
• Không dựa vào lời hứa giải mã của ransomware — Bởi vì một chiến dịch tác nhân tự động có thể vứt bỏ các khóa mã hóa, việc trả tiền chuộc không đảm bảo khôi phục. Các bản sao lưu bất biến và ảnh chụp nhanh ngoại tuyến vẫn rất quan trọng .