LONDON (IT BOLTWISE) – Eine Folgeattacke auf dieselbe Langflow-Instanz nutzt die RCE-Schwachstelle CVE-2025-3248, um nun speziell KI-Artefakte zu verschlüsseln. Der neue Go-Locker ENCFORGE zielt auf Model-Weights, Vektorindizes und Trainingsdaten quer über das Host-Dateisystem. Dabei baut der Angreifer den Zugriff über den freigelegten Docker-Socket und startet einen privilegierten Container, um Prozesse und Daten auf dem Host zu erreichen. Für Unternehmen bedeutet das: Selbst nach dem Patchen bleibt das eigentliche Wiederherstellungsrisiko in den unverschlüsselten KI-State-Daten liegen.
In frühen technischen Untersuchungen zu JADEPUFFER tauchte bereits ein Muster auf: Über eine anfällige Langflow-Installation gelingt es Angreifern, Code aus der Ferne auszuführen und dann gezielt Daten zu zerstören. Jetzt zeigt sich ein eng daran gekoppelter zweiter Schritt, der das Schadensprofil deutlich in Richtung KI-Infrastruktur verschiebt. Laut Sysdig wurde auf demselben Langflow-Server eine neue Ransomware-Variante namens ENCFORGE nachgeladen und eingesetzt, wobei der Einstiegspunkt unverändert blieb: Langflow-Versionen vor 1.3.0 legen eine /api/v1/validate/code-Schnittstelle ohne Authentifizierung offen. Der spezifische Schwachstellenbezug ist CVE-2025-3248, bewertet mit CVSS 9,8 und seit dem 5. Mai 2025 im Katalog „Known Exploited Vulnerabilities“ geführt.
Für die Praxis ist dabei weniger entscheidend, dass der Angreifer Python auf dem Server ausführt, sondern was danach passiert. ENCFORGE ist als kompiliertes Go-Binary ausgelegt, das verschlüsselt, was in modernen KI-Stacks typischerweise nicht nur „Dateien“, sondern funktionale Bestandteile eines produktiven Modellsystems sind: Model-Weights, Vektor-Indizes, Trainingsdatensätze und weitere Artefakte auf dem Host-Dateisystem. Sysdig beschreibt, dass der Operator nicht bei einer generischen Dateiverschlüsselung stehen bleibt, sondern eine Extension-Liste nutzt, die sehr klar nach AI-spezifischen Komponenten benannt ist – unter anderem PyTorch- und TensorFlow-Checkpoints, Hugging-Face SafeTensors, ONNX-Formate sowie das für lokal betriebene LLMs inzwischen gängige GGUF mitsamt des Vorgängers GGML. Ebenso fallen FAISS-Vektorindizes und die Datenspeicherformate Parquet und Arrow in den Zielkatalog. Die Operatorlogik lässt sich dabei auch erweitern: Ein --include-Flag erlaubt zusätzlichen Globs, und selbst die eingebauten Hilfetexte nennen als Beispiel LoRA-Fine-Tuning-Adapter und Legacy-GGML-Weights – ein Hinweis, dass der Angriff nicht zufällig „auch mal“ KI-Dateien trifft, sondern darauf ausgelegt ist.
Technisch auffällig ist zudem, wie der Operator den eigentlichen Zugriff auf den Host absichert, wenn die bevorzugte Delivery-Route scheitert. ENCFORGE wird aus einem Command-and-Control-Server abgerufen und als /.lockd abgelegt, wobei die führende Punkt-Notation offenbar dafür sorgt, dass das Binary nicht trivial in einem Standard-Directory-Listing auftaucht. Sysdig fand zudem bei der Analyse zunächst keine Entdeckungen in gängigen Threat-Intelligence-Ansätzen für den gepackten oder entpackten Hash. Das erklärt allerdings nicht den größten Hebel: Nach erfolgreicher Codeausführung räumt JADEPUFFER den Container- bzw. Host-Raum nach Credentials aus und stößt dabei auf den Docker-Socket unter /var/run/docker.sock. Weil ein direkter Pull aus dem GCP-basierten Infrastrukturweg zunächst fehlschlug, baute der Operator iterativ innerhalb von etwa 5 Minuten und 24 Sekunden eine funktionierende Ausführungskette über denselben Langflow-RCE-Kanal. Dabei schrieb er mehrere Python-Skripte, die so getaktet wurden, dass einzelne Requests keine „signaturträchtigen“ Einzelsequenzen enthalten; später wurden komplette Skripte per Base64 in einem exec()-Kontext dekodiert, um Shell-level-Suchen nach typischen Decoding-Kommandos zu vermeiden.
Die finale Strategie nutzt anschließend den Docker-API-Zugriff, um einen Container mit kompromittierenden Laufzeitparametern zu starten: Privileged: true, PidMode: host und NetworkMode: host sowie ein bind-mount auf das Host-Root-Filesystem. Damit entsteht ein klassischer Host-Breakout-Pfad, der dann über Linux-Namensräume umgesetzt wird: Der Operator lokalisierte Zielprozesse, kopierte ENCFORGE durch einen /proc//root-Pfad in den Host-Zielraum und führte es anschließend auf dem Host aus – mit nsenter. Für die Verschlüsselungsphase nennt Sysdig konkrete Details zum Kryptoschema und zum Ablauf: ENCFORGE arbeitet mit AES-256-CTR für die Daten, wobei der pro Run erzeugte symmetrische Schlüssel über eine eingebettete RSA-2048-Public-Key-Komponente verpackt wird. Statt ganze Dateien pauschal zu verschlüsseln, werden selektive Regionen verarbeitet, ein Ansatz, der aus bekannten Locker-Familien stammt und vor allem die Geschwindigkeit erhöht. Danach benennt ENCFORGE jede betroffene Datei mit der Endung .locked, beendet Prozesse, die noch offene Dateihandles halten, übernimmt Neustarts so, dass bereits „fertig“ behandelte Dateien nicht erneut verschlüsselt werden, schreibt Erpressernotizen in Form von README, HOW_TO_DECRYPT und README_DECRYPT und löscht sich anschließend selbst wieder. Weder beschreibt Sysdig eine Exfiltrationsfähigkeit noch fand sich im beobachteten Session-Umfeld ein Hinweis auf Datenabfluss, Leak-Seiten oder einen Tor-basierten Zahlungsportalmechanismus; der Druck entsteht damit ausschließlich aus der Nichtwiederherstellbarkeit der verschlüsselten KI-Artefakte.
Auch die Attribution gewinnt an Struktur, weil mehrere Indikatoren konsistent zusammenlaufen. Das Erpressungskontaktfeld in den Notizen ist [email protected], also dieselbe Proton-Mail-Adresse, die bereits im vorangegangenen JADEPUFFER-Angriff verwendet worden war. Sysdig bewertet das als stärkste direkte Verbindung zwischen beiden Operationen. Zusätzlich bleiben technische Strings als Erkennungsanker stabil: ENCFORGE trägt intern den Projekt-/Compile-Name encfile und verweist im Fehltext auf ein Companion-Keygen-Tool namens keyforge; diese Benennungen überstehen laut Bericht die Recompilierung aus derselben Codebasis. Die beobachtete Session trägt zudem eine --task-id gcp_h1-Kennzeichnung, was darauf hindeutet, dass der Operator diese Instanz als GCP-Ziel innerhalb einer größeren Kampagne im Blick hatte; ein früherer „try-run“ verwendete gcp_test. Der Bericht nennt keine Victim-Zahl und auch keine weiteren betroffenen Deployment-Sites für ENCFORGE in diesem Kontext.
Für Verteidiger verschiebt diese Entwicklung die Priorität: „Patchen“ reicht nicht als Abschluss, weil bereits kompromittierte Systeme die Nutzdaten der KI-Stack-Schicht enthalten. Sysdig schätzt, dass die Wiederherstellung eines verschlüsselten Modells in der Produktion – einmalig bis mehrmals, je nach Variantendichte im Storage – zwischen $75.000 und $500.000 pro Modell kosten kann, wenn man GPU-Rechenzeit, Engineering-Aufwände und Validierungszyklen zusammenrechnet. Praktisch heißt das: Viele Umgebungen speichern mehrere spezialisierte Varianten auf gemeinsamem Storage; ein einzelner ENCFORGE-Lauf könnte dadurch mehrere Varianten gleichzeitig getroffen haben. Werden Trainingsdaten auf dem gleichen Host gehalten, ist Rekonstruktion nötig, bevor Retraining überhaupt beginnen kann. Sysdig empfiehlt daher, Langflow auf 1.9.1 oder eine aktuell unterstützte Version zu aktualisieren; Version 1.3.0 schließt zwar CVE-2025-3248, aber im KEV-Katalog sind inzwischen weitere Langflow-Schwachstellen hinzugekommen: CVE-2026-33017 (authentifizierungsfreie RCE, Fix in 1.9.0, seit 25. März 2026 gelistet) und CVE-2026-55255 (Cross-User-Authorization-Bypass, Fix in 1.9.1, seit 7. Juli 2026). Dazu kommen operative Maßnahmen, die über „Software aktualisieren“ hinausgehen: AI-Provider-Keys, Cloud-Credentials, Datenbankgeheimnisse und Tokens müssen rotiert werden, weil ein Patch kompromittierte Secrets nicht „zurückdreht“. Ebenso sollte /var/run/docker.sock konsequent aus Containern entfernt werden, sofern es nicht zwingend erforderlich ist; wenn Socket-Zugriff unvermeidbar ist, braucht es eine eng gefasste Proxy-Schicht. Monitoring sollte insbesondere Prozesse erkennen, die Docker-Container-Erstellung per API auslösen, Container mit Privileged: true oder PidMode: host starten, Host-Root-Bind-Mounts einbinden oder nsenter innerhalb eines Containers verwenden. Und vor allem: Model-Weights, Vektorindizes und Trainingsdaten gehören in eine Wiederherstellungsstrategie, die sie wie Source-Code behandelt – nur, dass ein Unternehmen, das die Anwendung restaurieren kann, aber die KI-State-Schicht nicht zurückholen kann, keinen sauberen Rückweg in den Betrieb hat.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Langflow RCE: ENCFORGE verschlüsselt KI-Modelle, Vektoren und Trainingsdaten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Langflow RCE: ENCFORGE verschlüsselt KI-Modelle, Vektoren und Trainingsdaten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Langflow RCE: ENCFORGE verschlüsselt KI-Modelle, Vektoren und Trainingsdaten« bei Google Deutschland suchen, bei Bing oder Google News!