Meses de capacitación y medio millón de dólares para recuperarse: esto pierden las empresas tras el ataque JADEPUFFER

Los extorsionadores eligen cada vez más no solo documentos y bases de datos, sino también los activos digitales más valiosos de las empresas. El grupo JADEPUFFER desarrolló un malware dirigido a modelos de inteligencia artificial, conjuntos de datos de entrenamiento y almacenes relacionados; restaurarlos llevará meses y costará cientos de miles de dólares.

Los especialistas del equipo de Sysdig dedicado a investigación de amenazas detectaron una nueva actividad de JADEPUFFER tras un ataque a través de la vulnerabilidad CVE-2025-3248 (10.0 Critical) en la plataforma Langflow. El fallo permite a un atacante ejecutar código arbitrario en el servidor sin autenticación. Anteriormente, los expertos vinculaban ese grupo con ataques autónomos, en los que un agente malicioso realizaba por sí mismo reconocimiento, buscaba credenciales y se movía lateralmente dentro de la infraestructura.

En la nueva campaña JADEPUFFER modificó de forma significativa sus herramientas. En lugar de scripts temporales en Python, el grupo usó un programa de extorsión completo, ENCFORGE, escrito en Go. El malware recibió el nombre lockd y está especialmente configurado para atacar la infraestructura de inteligencia artificial y de aprendizaje automático.

ENCFORGE busca alrededor de 180 tipos de archivos, incluidos los puntos de control de modelos, los pesos de redes neuronales, bases de datos vectoriales y conjuntos de datos para entrenamiento. Entre los objetivos están los formatos populares .ckpt, .h5, .onnx, .pt, .pth, .safetensors, .gguf, .faiss y .parquet. Ese conjunto de extensiones indica que el programa no fue creado como un cifrador genérico, sino para tareas específicas de la infraestructura de IA.

El ataque comienza por un Langflow vulnerable. La plataforma suele almacenar claves de acceso a servicios en la nube, credenciales y conexiones a almacenes que usan las aplicaciones basadas en grandes modelos de lenguaje. Tras acceder al servidor, JADEPUFFER recopila los secretos encontrados, explora los servicios internos y trata de controlar componentes adicionales.

Durante uno de los ataques, el grupo encontró disponible el socket de Docker e intentó ejecutar un contenedor privilegiado con acceso al sistema de archivos del host. Cuando el ransomware no se cargó, JADEPUFFER cambió de enfoque y creó su propio mecanismo de escape del contenedor. Los especialistas registraron cómo el agente malicioso reescribió varios scripts hasta obtener una variante funcional para ejecutar el programa en el servidor principal.

Una vez dentro del sistema, ENCFORGE cifra archivos con el algoritmo AES-256-CTR y protege la clave con RSA-2048. Los archivos cifrados reciben la extensión .locked, y el programa deja una exigencia de pago del rescate con la dirección de correo electrónico e78393397@proton.me. Los especialistas no encontraron indicios de que se hayan robado datos o publicado en sitios de filtraciones. JADEPUFFER apuesta precisamente por dejar a las empresas sin acceso a sus datos.

Perder modelos de IA puede costar mucho más que recuperar archivos normales. Según la estimación de Sysdig, recrear un modelo de producción, considerando recursos computacionales y trabajo de especialistas, puede requerir entre 75.000 y 500.000 dólares. Si junto con los modelos se cifran los datos de entrenamiento, su recuperación es aún más difícil, pues primero haría falta reconstruir los conjuntos de datos originales.

Los especialistas consideran que JADEPUFFER, en poco tiempo, pasó de un conjunto de scripts a una herramienta completa que rastrea campañas, dispone de un generador de claves independiente y soporta diversas plataformas. Sin embargo, el punto de entrada sigue siendo el mismo: Langflow vulnerable.

Para proteger la infraestructura, los especialistas recomiendan actualizar Langflow al menos a la versión 1.3.0, limitar el acceso de las aplicaciones al socket de Docker, prohibir que los contenedores se inicien con privilegios ampliados y proteger por separado los directorios con modelos y datos de entrenamiento. Además, las empresas deberían almacenar copias de seguridad de los artefactos de IA separadas de la infraestructura principal, ya que las copias de seguridad habituales no siempre ayudan a restaurar rápidamente un modelo operativo.