Nach Angaben von Sysdig griff JadePuffer erneut eine bereits kompromittierte Langflow-Instanz an, die für CVE-2025-3248 anfällig war. Nach dem Zugriff suchte der Bedrohungsakteur zunächst nach Cloud-Zugangsdaten, API-Token und erreichbaren internen Diensten. Dabei stieß er auf einen offen erreichbaren Docker-Socket, der Kontrolle mit Root-Rechten ermöglichte.
Als der erste Versuch fehlschlug, die Ransomware-Nutzlast herunterzuladen, reagierte der Operator laut Sysdig unmittelbar. Innerhalb von nur fünf Minuten entwickelte und verteilte er demnach sechs Python-Skripte nacheinander. Die letzte Version, deploy.py v2, beseitigte die Auslieferungsprobleme. Sysdig beschreibt dieses Skript als „die fertige Nutzlast: eine vollständig autonome Pipeline, die die Ziel-PID ermittelt, ENCFORGE über procfs über die Namespace-Grenze kopiert, einen Scan im Testmodus ausführt, den echten Verschlüsselungsdurchlauf startet und anschließend .locked-Dateien zählt, um die Ausführung zu verifizieren“.
Die eigentliche Ransomware läuft laut Bericht als in Go geschriebene Binärdatei namens lockd und ist mit UPX gepackt. Sie zielt auf rund 180 Dateiendungen. Sysdig betont, dass die Auswahl bewusst breit über den modernen KI- und ML-Stack hinweg angelegt sei und unter anderem Modell-Checkpoints, Vektordatenbanken, Trainingsdatensätze und Embedding-Indizes in nahezu allen aktuellen Formaten erfasse.
Auch die Kommandozeilen-Hilfe sieht Sysdig als Hinweis auf die Spezialisierung. Dort werden LoRA-Adapter und ältere GGML-Dateien als Beispiele für zusätzliche Ziele genannt. Für die Forscher ist das ein Indiz dafür, dass EncForge gezielt für KI-Umgebungen entwickelt wurde und nicht nur ein allgemeiner Dateiverschlüsseler ist.
Technisch setzt EncForge auf AES-256 im Zählermodus und verwendet ein hybrides Verfahren, bei dem der symmetrische Schlüssel mit einem öffentlichen RSA-2048-Schlüssel abgesichert wird. Um die Leistung zu steigern, verschlüsselt die Malware nur ausgewählte Teile jeder Datei statt des vollständigen Inhalts. Betroffene Dateien erhalten die Endung .locked. Zusätzlich legt die Schadsoftware eine Lösegeldforderung ab, in der das Opfer darüber informiert wird, dass ihm eine eindeutige Kennung zugewiesen wurde.
Sysdig fand bei der Analyse keine Hinweise darauf, dass JadePuffer während des Eindringens Daten exfiltrierte. Auch EncForge selbst scheint laut Bericht über keinen Mechanismus zum Datendiebstahl zu verfügen. In der Linux-Variante fanden die Forscher allerdings Windows-Funktionen zur Erschwerung einer Wiederherstellung, darunter das Löschen von Schattenkopien und das Deaktivieren der Startwiederherstellung. Eine macOS-Version ist im Code zwar angedeutet, bislang aber nicht bestätigt.
Sysdig weist darauf hin, dass die Verschlüsselung von Modellgewichten, Trainingsdatensätzen und Vektorindizes Unternehmen Wochen oder sogar Monate an Trainings- und Feinabstimmungsarbeit kosten könnte. Den finanziellen Schaden beziffert das Unternehmen je nach Größe und Zweck eines Modells auf 75.000 bis 500.000 US-Dollar pro Modell. Als Gegenmaßnahmen nennt Sysdig verfügbare Sicherheitsupdates, insbesondere Langflow ab Version 1.3.0, die Beschränkung des Zugriffs auf Docker-Sockets, den Betrieb von Langflow-Containern ohne Root-Rechte und Dateisystem-Zugriffskontrollen für Verzeichnisse mit Modellgewichten.