JADEPUFFER

JADEPUFFER ne s'appuie ni sur un leurre, ni sur un e-mail d'hameçonnage, ni sur une action de l'utilisateur. L'entrée se fait par une seule requête HTTP non authentifiée vers le terminal de validation de code de Langflow, /api/v1/validate/code, que Sysdig identifie comme une faille d'authentification manquante suivie sous CVE-2025-3248. Ce terminal sert à vérifier qu'un extrait de code soumis par l'utilisateur est syntaxiquement valide ; la faille le transforme en exécution de code à distance.

Langflow est une cible attractive pour des raisons dépassant la faille elle-même. Ce framework open source largement déployé sert à créer des applications LLM et de nombreuses instances restent exposées sur des serveurs accessibles depuis Internet. Ces serveurs orchestrant des services d'IA connectés, ils contiennent souvent des clés API de fournisseurs LLM, des identifiants cloud et des connexions à des bases vectorielles et stockages d'objets directement dans leur environnement d'exécution. Ils sont aussi fréquemment déployés rapidement sans contrôles réseau. La CISA a ajouté CVE-2025-3248 à son catalogue Known Exploited Vulnerabilities en mai 2025, et la faille est restée le vecteur d'entrée de JADEPUFFER lors des deux campagnes documentées.

Toutes les charges utiles des deux campagnes ont été livrées de la même manière : du Python encodé en Base64 soumis via ce canal RCE unique. Aucun programme d'installation n'est déposé, aucune macro ni astuce de presse-papiers n'est utilisée. Toute l'opération passe par un seul terminal d'une seule application.

Immédiatement après l'exécution, l'agent établit l'empreinte de l'hôte : contexte utilisateur, version du noyau et de l'OS, nom d'hôte, interfaces réseau et liste des processus actifs. Il parcourt ensuite l'environnement en parallèle à la recherche de secrets dans plusieurs catégories : clés API de fournisseurs LLM de plusieurs éditeurs, identifiants de fournisseurs cloud avec prise en compte explicite des préfixes de variables d'environnement de clouds chinois aux côtés d'AWS, GCP et Azure, portefeuilles de cryptomonnaies et phrases de récupération, ainsi que chaînes de connexion de bases de données.

Il extrait ensuite la base Postgres sous-jacente de Langflow, collecte les identifiants et enregistrements utilisateurs stockés dans des fichiers locaux, les examine puis supprime les fichiers de préparation. Il sonde ensuite l'espace d'adresses interne et, après avoir trouvé une API de stockage d'objets MinIO réactive, s'authentifie avec la paire d'identifiants par défaut bien connue et déroule un scénario complet d'énumération des buckets : liste de tous les buckets, priorité à celui contenant l'état Terraform et à un bucket de configuration interne, puis récupération de fichiers d'identifiants nommés par leur chemin.

Pour assurer la persistance sur ce premier hôte, il écrit une seule entrée crontab qui envoie un beacon sortant vers l'infrastructure de l'attaquant toutes les 30 minutes en utilisant uniquement la bibliothèque standard Python. Dans la seconde campagne, après avoir localisé un socket Docker, le même agent a construit une chaîne d'évasion de conteneur fonctionnelle au cours d'une session active, découvert le PID de l'hôte via l'API Docker, copié le binaire ENCFORGE à travers la frontière du conteneur via le système de fichiers /proc de l'hôte et l'a lancé directement sur l'hôte, en dehors de l'isolation du conteneur initial. Chaque étape, y compris la récupération après un échec, a été générée et exécutée par le même agent dans une seule session continue.

L'évasion de cette opération est architecturale plutôt que fondée sur l'obfuscation des fichiers. Chaque charge utile arrive via la surface légitime d'exécution de code de l'application elle-même : aucun dropper externe, aucune pièce jointe d'e-mail et aucun téléchargement suspect à signaler lors de la livraison. L'application constitue elle-même le mécanisme de livraison.

ENCFORGE est compressé avec UPX et n'a généré aucune détection dans les outils courants de veille sur les menaces, sur l'échantillon compressé comme sur l'échantillon décompressé, au moment de l'analyse Sysdig. Dans la session RCE, la technique de l'agent a mûri au fil des itérations : un premier script construisait sa logique ligne inerte par ligne inerte afin d'éviter de déclencher une signature sur une requête unique, puis il est passé à une charge utile Base64 en ligne à exécution unique, décodée directement dans un point exec(), invisible pour les outils recherchant uniquement des motifs base64 -d au niveau du shell.

L'artefact d'évasion le plus évident est un homoglyphe. En plus de deux interpréteurs CPython nommés normalement, le serveur de préparation de l'opérateur hébergeait un troisième binaire dont le nom remplaçait la lettre p par un caractère pi mathématique Unicode, conçu pour contourner les vérifications de nom de fichier telles que basename in ("python","python3") ou une commande d'arrêt de processus ne correspondant qu'à la chaîne littérale. L'évasion via le socket Docker est en elle-même une technique d'évasion : plutôt que de tenter une action détectable dans le conteneur restreint, l'agent créait pour chaque commande un conteneur privilégié temporaire monté sur l'hôte, puis le détruisait immédiatement, réduisant l'empreinte laissée par chaque artefact.

Sur l'hôte Langflow, l'objectif est d'obtenir des identifiants et un accès de préparation : données applicatives du stockage d'objets MinIO, sauvegardes et buckets d'artefacts de machine learning, ainsi que tout fichier .env ou credentials.json accessible. Rien de cela n'est la cible finale ; ce sont des accessible. Rien de cela n'est la cible finale ; ce sont des moyens d'atteindre un serveur de base de données de production distinct.

Sur ce second serveur, l'agent modifie directement la base du service de configuration Nacos : il insère un compte administrateur backdoor dans les tables users et roles, corrige le compte lorsque la première tentative d'insertion échoue, puis utilise la session obtenue pour chiffrer directement les éléments de configuration du service avec la fonction de chiffrement propre à la base, supprimer les tables originales et historiques et les remplacer par une table d'extorsion contenant une demande de paiement.

Dans la campagne ENCFORGE, la cible s'étend au système de fichiers lui-même : environ 180 extensions couvrant les points de contrôle et poids de modèles (formats PyTorch, TensorFlow, HuggingFace, llama.cpp), les fichiers d'index vectoriels et les formats colonnaires de jeux de données d'entraînement. Une option de ligne de commande permet à l'opérateur d'ajouter des extensions personnalisées par campagne, et le texte d'aide du binaire cite comme exemples les adaptateurs de fine-tuning LoRA et les anciens poids de modèles, preuve que le ciblage est volontairement conçu autour de l'infrastructure IA. Le binaire compilé contient également du code anti-récupération propre à Windows, avec des appels littéraux à vssadmin.exe et bcdedit.exe, indiquant qu'un build Windows existe ou est prévu même si la session observée par Sysdig s'exécutait sous Linux.