JADEPUFFER cifra pesi AI con ENCFORGE: riscatto fantasma, meccanismo inoperante

Il 20 luglio 2026 il gruppo ransomware agentic JADEPUFFER ha riconquistato un'infrastruttura Langflow già compromessa venti giorni prima, distribuendo ENCFORGE: un payload Go compilato che cifra selettivamente circa 180 estensioni file di asset AI/ML. La seconda campagna ha dimostrato un salto di qualità rispetto alla prima. L'agente ha trovato un Docker socket esposto, ha generato sei script Python correttivi in cinque minuti e ventiquattro secondi, e ha costruito un escape container privilegiato.

La posta in gioco supera il riscatto tradizionale. Sysdig stima tra 75.000 e 500.000 dollari il costo diretto di recovery per un modello fine-tuned enterprise-ready. ENCFORGE non esfiltra dati, non gestisce pagamenti, non mantiene una leak site. La pressione è tutta sulla non-disponibilità di file che le aziende non sanno di dover proteggere con gli stessi rigori del backup mission-critical.

Key stat

$75.000-$500.000: stima Sysdig del costo diretto di recovery per un singolo modello fine-tuned enterprise-ready, tra cloud GPU e ore ingegneristiche.

ENCFORGE: nota di riscatto con meccanismo di pagamento inoperante

Il meccanismo di cifratura di ENCFORGE rivela intenzioni precise. Il binario Go usa AES-256-CTR con chiave per-esecuzione, wrappata con una chiave pubblica RSA-2048 embedded nel payload stesso. La cifratura opera su regioni di file piuttosto che sull'intero contenuto: una scelta ottimizzata per file di dimensioni estreme come i pesi dei modelli, che possono raggiungere decine di gigabyte.

Le estensioni targetate includono PyTorch (.pt, .pth), SafeTensors (.safetensors), GGUF/GGML, FAISS (.faiss), Parquet (.parquet), NumPy (.npy, .npz), TensorFlow (.tfrecord, .ckpt): un catalogo che copre l'intera catena del valore AI, dai pesi ai training data agli indici vettoriali.

La nota di riscatto contiene lo stesso indirizzo email Proton Mail del primo attacco, collegando le due campagne a JADEPUFFER. Nel primo attacco, Sysdig ha osservato che la chiave era generata casualmente e mai persistita: il payload era di fatto un wiper con nota di riscatto decorativa. Nel secondo attacco, la nota minaccia cancellazione della chiave entro sette giorni, ma il brief segnala come UNKNOWN se la chiave sia effettivamente stata salvata. L'incertezza è aperta: il meccanismo di gestione chiavi potrebbe essere instabile anche per chi lo ha costruito.

L'assenza di codice di rete nel binario è documentata. Sysdig non ha rilevato outbound dial, leak site, portale di pagamento. Come ha formulato il Sysdig Threat Research Team via VentureBeat: "ENCFORGE was built for AI assets, not adapted to them".

Dal database extortion alla distruzione dei modelli: l'evoluzione in venti giorni

La timeline dei due attacchi documenta un'accelerazione rilevante. Il primo luglio JADEPUFFER era entrato nella stessa infrastruttura Langflow, aveva cifrato 1.342 item di configurazione di un database Alibaba Nacos e aveva tentato estorsione classica. Il ritorno il venti luglio con ENCFORGE ha cambiato target e logica: stesso accesso iniziale, stessa piattaforma, diversa finalità.

Il pivoting tecnico del secondo attacco è stato possibile grazie a un Docker socket esposto a /var/run/docker.sock, che l'agente ha rilevato autonomamente. Da lì ha costruito un container privilegiato con PidMode:host e bind /:/host:rw, copiando ENCFORGE via procfs per raggiungere l'host. L'intera sequenza ha richiesto sei tentativi correttivi, generati come script Python dall'agente stesso, in cinque minuti e ventiquattro secondi.

Il comportamento agentic è documentato anche nel primo attacco, dove l'agente ha corretto un login fallito in trentun secondi. Sysdig sottolinea che l'autonomia è circoscritta: un operatore umano sceglieva ancora target e infrastruttura. L'agente ottimizza l'esecuzione, non la strategia. La supervisione umana rimane presente, ma i tempi di manovra operativa si comprimono drasticamente.

Perché Langflow è il punto di ingresso ideale

CVE-2025-3248 è una vulnerabilità di missing authentication nell'endpoint /api/v1/validate/code di Langflow, piattaforma di orchestrazione visiva per flussi LLM. Il National Vulnerability Database le assegna CVSS 9.8 con vettore AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H: accesso remoto, bassa complessità, nessun privilegio richiesto. CISA l'ha inserita nel Known Exploited Vulnerabilities Catalog il 5 maggio 2025.

Il ritorno di JADEPUFFER nel luglio 2026 significa che almeno un'organizzazione è rimasta esposta per oltre quattordici mesi dopo la disponibilità della patch nella versione 1.3.0. VentureBeat stima circa 7.000 istanze Langflow esposte, principalmente in Nord America. La finestra di esposizione è vasta e il target è appetibile: piattaforme di orchestrazione LLM che spesso girano con privilegi elevati e accesso a repository di modelli.

Cosa fare adesso

Le raccomandazioni difensive derivano dal pattern osservato nel brief. La priorità è il patching di CVE-2025-3248 su tutte le istanze Langflow, con verifica che la versione installata sia almeno la 1.3.0. Il brief riporta raccomandazioni difensive generiche da Sysdig via SC World, non un piano dettagliato.

La mappatura degli asset AI/ML nei backup è il secondo pilastro. Come ha dichiarato Diana Kelley, CISO di Noma Security, via SC World: "It's no longer enough to back up servers and applications. Organizations need to identify their AI crowned jewels and be prepared to recover the entire AI supply chain". La citazione di Mike Riemer, Ivanti SVP, via VentureBeat — "If I release a patch and a customer doesn't patch within 72 hours of that release, they're open to exploit, because that's how fast they can now do it" — è un'osservazione generica sull'industria, non una metrica specifica per questo incidente.

Il monitoraggio dei Docker socket esposti e la segmentazione dei container che ospitano carichi AI completano il perimetro. Il costo di inazione è quantificato: tra 75.000 e 500.000 dollari per ogni modello da ricostruire, più il tempo di training irrecuperabile.

Chiusura editoriale

ENCFORGE segnala un punto di svolta nella criminalità informatica agentic: il passaggio dalla minaccia generica alla distruzione selettiva di asset strategici. La nota di riscatto resta, ma il meccanismo di pagamento è inoperante o assente. Le aziende che trattano i modelli AI come beni ripristinabili con un semplice backup stanno sottovalutando un rischio che Sysdig ha già quantificato. La domanda non è se pagare, ma se ricostruire.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://venturebeat.com/security/new-ransomware-targets-ai-model-weights-and-cant-even-collect-the-ransom
• https://gbhackers.com/agentic-ransomware-to-target-ai-models/
• https://www.scworld.com/news/jadepuffer-agentic-ransomware-returns-targets-ai-assets-with-encforge-payload
• https://nvd.nist.gov/vuln/detail/CVE-2025-3248
• https://github.com/advisories/GHSA-36hp-jr8h-556f
• https://github.com/advisories/GHSA-qrpv-q767-xqq2
• https://www.bleepingcomputer.com/news/security/cisa-orders-feds-to-patch-actively-exploited-langflow-rce-flaw/
• https://www.sysdig.com/blog/jadepuffer-agentic-ransomware-for-automated-database-extortion
• https://www.hexnode.com/blogs/jadepuffer-encforge-ai-model-ransomware-defense/
• https://atlas.mitre.org/
• https://www.ncsc.gov.uk/paper/understanding-adversarial-attacks-against-machine-learning-and-ai