Wie CVE-2025-3248 Angreifern initialen Zugang zu Langflow-Servern verschafft

Langflow, eine Open-Source-Plattform zum Erstellen und Orchestrieren von KI-Agent-Workflows, ist zum Einstiegspunkt einer neuen Ransomware-Kampagne geworden. Untersuchungen von Sysdig zufolge nutzen Angreifer CVE-2025-3248 aus, eine Schwachstelle in Langflow, die es ihnen ermöglicht, exponierte Instanzen zu erreichen und Code auszuführen, ohne zuvor gültige Anmeldeinformationen zu benötigen. Dieser initiale Zugang ist derselbe, den eine von Sysdig als JadePuffer verfolgte Bedrohungsgruppe bereits bei einer früheren Operation genutzt hat – allerdings hat sich die darüber ausgelieferte Nutzlast dramatisch verändert.

Was diese Kampagne bemerkenswert macht, ist nicht allein die Schwachstelle selbst. Vielmehr ist eine Schwachstelle in einem KI-Entwicklungswerkzeug inzwischen ein nachgewiesener, wiederholbarer Pfad in die Infrastruktur eines Unternehmens, und Angreifer betrachten sie als Startrampe für zunehmend schwerwiegendere Folgeangriffe, nicht als einmaligen Raubzug.

Von JadePuffer-Skripten zu kompilierter Encforge-Ransomware: Wie sich der Angriff weiterentwickelte

Sysdigs frühere Untersuchung der JadePuffer-Aktivitäten zeigte ein noch relativ einfaches Vorgehen: improvisierte Skripte, kombiniert mit nativen Datenbank-Verschlüsselungsfunktionen, um nach dem Eindringen Daten zu sperren. Es funktionierte, war aber im Vergleich zu dem, was dedizierte Ransomware-Gruppen üblicherweise einsetzen, grob.

Die jüngste Welle zeigt eine deutliche Verbesserung. Anstatt auf spontan zusammengestückelte Skripte zu setzen, platziert der Angreifer nun eine kompilierte Ransomware-Binärdatei namens Encforge, sobald er über die Langflow-Schwachstelle Zugang erlangt hat. Diese Binärdatei ist so konzipiert, dass sie das Dateisystem systematisch durchsucht und gezielt maschinelle Lernobjekte ins Visier nimmt, anstatt generische Dateien zu verschlüsseln und darauf zu hoffen, dass dabei etwas Wertvolles getroffen wird.

Sysdig stellte eine Verbindung zwischen der neueren Encforge-Aktivität und der früheren JadePuffer-Kampagne her, und zwar anhand eines Details in der Lösegeldforderung: einer Kontaktadresse, die in beiden Operationen wiederverwendet wurde. Diese Überschneidung deutet darauf hin, dass dieselbe Gruppe – oder zumindest dieselbe Infrastruktur- und Werkzeuglinie – ihre Vorgehensweise im Laufe der Zeit verfeinert, anstatt bei Null anzufangen. Der Wechsel von improvisierten Skripten zu einer eigens erstellten Binärdatei ist ein bedeutsamer Reifesprung und signalisiert, dass die Gruppe davon ausgeht, diesen Zugangsweg auch künftig zu nutzen.

Warum KI- und ML-Workloads zu Ransomware-Zielen werden

Es gibt einen Grund, warum Angreifer jetzt Werkzeuge entwickeln, die gezielt auf maschinelle Lernobjekte abzielen, statt einfach nur beliebige Dateien auf der Festplatte zu verschlüsseln. KI-Infrastrukturen enthalten oft Dinge, die teuer und langwierig nachzubilden sind: trainierte Modelle, Pipeline-Konfigurationen, Datensätze und die Orchestrierungslogik, die alles zusammenhält. Den Zugang dazu zu verlieren oder diesen Daten ausgesetzt und mit einer Erpressungsbotschaft bedroht zu werden, kann für ein Unternehmen ebenso störend sein wie der Verlust von Kundendatenbanken oder Finanzunterlagen.

Selbst gehostete KI-Plattformen wie Langflow werden zudem häufig schnell bereitgestellt, manchmal von Teams, die mehr darauf bedacht sind, einen Workflow zum Laufen zu bringen, als die Netzwerkexposition abzusichern. Diese Kombination – wertvolle Daten und hastige Bereitstellung – ist genau das Profil, nach dem Ransomware-Betreiber suchen. Diese Kampagne ist ein konkretes Beispiel für einen breiteren Trend, den Sysdig dokumentiert: KI-Systeme sind nicht nur nützliche Werkzeuge für Verteidiger und Angreifer gleichermaßen, sie werden selbst zu Angriffszielen. Die Berichterstattung desselben Forschungsteams über einen vollständig autonomen KI-Ransomware-Angriff zeigt die andere Seite dieser Entwicklung, bei der KI-Agenten eingesetzt werden, um ganze Eindringvorgänge mit nur wenig menschlicher Steuerung durchzuführen. Zusammengenommen deuten diese Erkenntnisse darauf hin, dass sich KI-Infrastrukturen nun an beiden Enden der Ransomware-Gleichung befinden – sowohl als Ziel als auch als Werkzeug.

Praktische Schritte zur Absicherung selbst gehosteter KI-Tools und Cloud-Workloads

Unternehmen, die Langflow oder ähnliche KI-Orchestrierungsplattformen betreiben, sollten diese mit derselben Sicherheitsdisziplin behandeln wie jeden aus dem Internet erreichbaren Server und nicht wie eine experimentelle Sandbox. Das bedeutet, den Patch für CVE-2025-3248 so schnell wie möglich einzuspielen und zu überprüfen, ob Langflow-Instanzen ohne klaren geschäftlichen Grund aus dem öffentlichen Internet erreichbar sind.

Über das Patchen hinaus sollten KI-Workloads von umfassenderen Produktionsnetzwerken segmentiert werden, damit eine kompromittierte Instanz nicht ohne Weiteres auf andere Systeme übergreifen kann. Halten Sie insbesondere Offline- oder unveränderliche Backups trainierter Modelle und Pipeline-Konfigurationen vor, da diese inzwischen nachgewiesene Ransomware-Ziele sind. Achten Sie auf ungewöhnliche Dateisystem-Durchlauf-Aktivitäten und unerwartete Binärdateien auf Servern, die KI-Tools hosten – genau dieses Verhalten hat Sysdig bei Encforge beobachtet.

Was das für Sie bedeutet

Wenn Ihr Unternehmen Langflow oder eine ähnliche selbst gehostete KI-Entwicklungsplattform eingesetzt hat, ist diese Kampagne ein direktes Signal, Ihre Exposition jetzt zu überprüfen – nicht erst nach einem Vorfall. Die hier beobachtete Langflow-Ransomware-CVE-Angriffskette erforderte keine fortschrittlichen Techniken, um die Opfer zu erreichen; sie brauchte lediglich eine ungepatchte, aus dem Internet erreichbare Instanz. Für Sicherheitsteams lautet die Lehre, dass KI-Werkzeuge genauso sorgfältig inventarisiert, gepatcht und überwacht werden müssen wie jede andere kritische Infrastruktur und nicht als nachrangiges experimentelles System behandelt werden dürfen.

Umsetzbare Erkenntnisse

  • Patchen Sie jede Langflow-Bereitstellung umgehend gegen CVE-2025-3248 und überprüfen Sie, ob der Fix auf allen Instanzen – einschließlich Test- und Staging-Umgebungen – angewendet wurde.
  • Überprüfen Sie, welche KI- und ML-Plattformen dem öffentlichen Internet ausgesetzt sind, und schränken Sie den Zugriff wo immer möglich ein.
  • Sichern Sie trainierte Modelle, Pipeline-Konfigurationen und Datensätze getrennt von allgemeinen Dateibackups, da es sich dabei inzwischen um spezifische Ransomware-Ziele handelt.
  • Achten Sie auf Anzeichen von kompilierten Binärdateien oder ungewöhnlichen Dateisystemaktivitäten auf Servern, die KI-Workflows hosten, da dies auf einen laufenden Kompromittierungsversuch hindeuten kann.

Das Aufkommen von Ransomware, die speziell auf KI-Assets abzielt, zeigt, dass diese Plattformen nicht länger eine Nischenecke des Netzwerks sind. Behandeln Sie sie als die kritische Infrastruktur, zu der sie geworden sind.