{"id":1647,"date":"2026-07-21T09:40:30","date_gmt":"2026-07-21T09:40:30","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/21\/el-nuevo-ransomware-encforge-apunta-a-archivos-de-modelos-de-ia-en-el-ataque-langflow-rce-cyberdefensa-mx\/"},"modified":"2026-07-21T09:40:30","modified_gmt":"2026-07-21T09:40:30","slug":"el-nuevo-ransomware-encforge-apunta-a-archivos-de-modelos-de-ia-en-el-ataque-langflow-rce-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/21\/el-nuevo-ransomware-encforge-apunta-a-archivos-de-modelos-de-ia-en-el-ataque-langflow-rce-cyberdefensa-mx\/","title":{"rendered":"El nuevo ransomware ENCFORGE apunta a archivos de modelos de IA en el ataque Langflow RCE \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Los investigadores de Sysdig han vinculado un segundo ataque en el mismo servidor Langflow con JADEPUFFER, el operador impulsado por agentes de inteligencia artificial que document\u00f3 por primera vez a principios de este mes.<\/p>\n

Ahora se ha visto al mismo operador desplegando APLICAR<\/strong>un nuevo ransomware Go compilado dise\u00f1ado para cifrar pesos de modelos, \u00edndices de vectores, conjuntos de datos de entrenamiento y otros archivos de infraestructura de IA en todo el sistema de archivos del host.<\/p>\n

El punto de entrada no cambi\u00f3. Versiones de Langflow anteriores a 1.3.0<\/a> exponer el \/api\/v1\/validate\/code<\/code> punto final sin autenticaci\u00f3n, lo que permite que cualquier atacante remoto ejecute Python arbitrario en el servidor. el defecto, CVE-2025-3248<\/code><\/a>tiene una puntuaci\u00f3n CVSS de 9,8 y ha estado en las vulnerabilidades explotadas conocidas de CISA. catalogar<\/a> desde el 5 de mayo de 2025.<\/p>\n

Como inform\u00f3 The Hacker News a principios de este mes, la operaci\u00f3n anterior utiliz\u00f3 c\u00f3digo Python desechable y MySQL. AES_ENCRYPT()<\/code> funci\u00f3n para cifrar y destruir datos en Nacos (el servidor de configuraci\u00f3n de Alibaba) y bases de datos de producci\u00f3n.<\/p>\n

el nuevo Carga \u00fatil ENCFORGE<\/a> reemplaza esos scripts improvisados \u200b\u200bcon herramientas compiladas dirigidas a las tiendas de modelos, bases de datos vectoriales y canales de capacitaci\u00f3n que la primera campa\u00f1a barri\u00f3 en busca de credenciales.<\/p>\n

La carga \u00fatil de ENCFORGE<\/h2>\n

Los investigadores recuperaron el binario del servidor de comando y control del atacante, donde estaba oculto como \/.lockd<\/code>; una solicitud directa a \/lockd<\/code> devuelve 404 y el punto inicial lo mantiene fuera de una lista de directorio simple. El archivo es un ELF Go 1.22.12 est\u00e1tico empaquetado en UPX 5.20.<\/p>\n

Las plataformas de inteligencia de amenazas no arrojaron detecciones ni en el hash empaquetado ni desempaquetado en el momento del an\u00e1lisis de Sysdig. El nombre interno del proyecto es encfile<\/code>; El texto de error del binario hace referencia a una herramienta keygen complementaria llamada keyforge<\/code>. Ambas cadenas sobreviven a la recompilaci\u00f3n del mismo c\u00f3digo base y sirven como anclajes de detecci\u00f3n estables.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Su lista de extensiones predeterminada cubre puntos de control de PyTorch y TensorFlow, Hugging Face SafeTensors, formato de intercambio ONNX, GGUF (el est\u00e1ndar actual para LLM implementados localmente) y su predecesor GGML, \u00edndices vectoriales FAISS, conjuntos de datos de entrenamiento Parquet y Arrow, matrices NumPy y registros TensorFlow.<\/p>\n

Un --include<\/code> flag permite al operador agregar globs de archivos adicionales; el texto de ayuda incorporado utiliza adaptadores de ajuste fino LoRA y pesos GGML heredados como ejemplos. La lista completa incluye aproximadamente 180 extensiones. Esos ejemplos apuntan directamente a entornos de IA; un casillero de archivos gen\u00e9rico tendr\u00eda pocas razones para nombrar adaptadores LoRA o pesos GGML heredados. Los investigadores interpretaron la elecci\u00f3n como un objetivo deliberado, no como una cobertura incidental.<\/p>\n

ENCFORGE utiliza AES-256-CTR para datos de archivos, con la clave sim\u00e9trica por ejecuci\u00f3n incluida en una clave p\u00fablica RSA-2048 integrada compilada en esta compilaci\u00f3n. En lugar de cifrar archivos completos, cifra regiones seleccionadas, la misma optimizaci\u00f3n de velocidad que utilizan los casilleros LockBit y BlackCat.<\/p>\n

Cada archivo procesado se renombra con un .locked<\/code> extensi\u00f3n. El binario elimina los procesos que mantienen los archivos abiertos antes de cifrarlos, maneja los reinicios sin volver a cifrar los archivos completados y arroja notas de rescate como README<\/code>, HOW_TO_DECRYPT<\/code>y README_DECRYPT<\/code>y se elimina despu\u00e9s de ejecutarse.<\/p>\n

\"\"<\/a><\/div>\n

El binario ENCFORGE recuperado no tiene capacidad de exfiltraci\u00f3n. No lleva c\u00f3digo de red, cliente de almacenamiento en la nube ni mecanismo de preparaci\u00f3n, y los investigadores no encontraron evidencia de filtraci\u00f3n de datos, un sitio de filtraci\u00f3n o un portal de pago Tor durante la sesi\u00f3n que observ\u00f3. Su \u00fanica ventaja son los datos cifrados.<\/p>\n

El contacto de extorsi\u00f3n incluido en las notas de rescate es e78393397@proton.me<\/code>la misma direcci\u00f3n de Proton Mail utilizada en la campa\u00f1a anterior. Sysdig describe esto como el v\u00ednculo de atribuci\u00f3n m\u00e1s fuerte entre las dos operaciones.<\/p>\n

Los investigadores revelaron una sesi\u00f3n observada, no nombraron la organizaci\u00f3n y no proporcionaron ning\u00fan recuento de v\u00edctimas ni evidencia de otro despliegue de ENCFORGE.<\/p>\n

De Langflow al anfitri\u00f3n<\/h2>\n

Despu\u00e9s de confirmar la ejecuci\u00f3n del c\u00f3digo, JADEPUFFER barri\u00f3 el contenedor en busca de credenciales y encontr\u00f3 el socket Docker en \/var\/run\/docker.sock<\/code>. Su primer intento de extraer ENCFORGE del servidor de comando y control de GCP fall\u00f3. En lugar de detenerse, se adapt\u00f3.<\/p>\n

Durante cinco minutos y 24 segundos, el operador cre\u00f3 y revis\u00f3 seis scripts de Python a trav\u00e9s del mismo canal Langflow RCE hasta que tuvo una ruta funcional hacia el host. El primer script se cre\u00f3 l\u00ednea por l\u00ednea, manteniendo inerte cualquier solicitud para la inspecci\u00f3n basada en firmas.<\/p>\n

A partir del segundo, el operador codific\u00f3 cada script completo en base64 y lo decodific\u00f3 dentro de un exec()<\/code> llamada, evitando b\u00fasquedas a nivel de shell de comandos como base64 -d<\/code>. La versi\u00f3n final utiliz\u00f3 la API de Docker para activar un contenedor privilegiado con el espacio de nombres PID del host y el sistema de archivos ra\u00edz montado, ubic\u00f3 el proceso de destino y copi\u00f3 ENCFORGE a trav\u00e9s de \/proc\/\/root<\/pid><\/code>luego lo ejecut\u00f3 en el host a trav\u00e9s de nsenter<\/code>.<\/p>\n

En todas las iteraciones, los contenedores se crearon con Privileged: true<\/code>, PidMode: host<\/code>, NetworkMode: host<\/code>y el sistema de archivos ra\u00edz de lectura y escritura montado en enlace. Esa es la ra\u00edz del host.<\/p>\n

Antes de la ejecuci\u00f3n en vivo, el operador lanz\u00f3 --try-run<\/code> para escanear el sistema de archivos, luego --lock<\/code> para el pase de cifrado en vivo. El script final verific\u00f3 el estado del proceso, ley\u00f3 el registro de bloqueo y cont\u00f3 los archivos que terminaban en .locked<\/code>.<\/p>\n

Los investigadores no publicaron el recuento resultante; la evidencia revelada establece un intento de cifrado en vivo, no cu\u00e1ntos archivos de modelo o conjunto de datos se cifraron con \u00e9xito.<\/p>\n

Sysdig evalu\u00f3 la --task-id gcp_h1<\/code> marcar como evidencia que el operador estaba rastreando este host como un objetivo de GCP dentro de una campa\u00f1a m\u00e1s amplia; una prueba de ejecuci\u00f3n anterior en la sesi\u00f3n utiliz\u00f3 el ID de tarea gcp_test<\/code>. El informe no revel\u00f3 v\u00edctimas adicionales ni sitios de despliegue.<\/p>\n

Los investigadores documentaron la campa\u00f1a anterior de JADEPUFFER corrigiendo un inicio de sesi\u00f3n fallido en Nacos en 31 segundos. El mismo patr\u00f3n se mantuvo aqu\u00ed frente a un problema m\u00e1s dif\u00edcil: el operador construy\u00f3 una ruptura de host a trav\u00e9s del socket Docker expuesto cuando su ruta de entrega preferida estaba bloqueada.<\/p>\n

Parche Langflow y luego proteja los modelos<\/h2>\n

Los investigadores estiman que reconstruir un modelo de producci\u00f3n de IA una vez cifrado podr\u00eda costar entre 75 000 y 500 000 d\u00f3lares por modelo en tiempo de ingenier\u00eda y computaci\u00f3n de GPU en la nube.<\/p>\n

Los entornos de producci\u00f3n a menudo ejecutan m\u00faltiples variantes especializadas en almacenamiento compartido, por lo que una sola ejecuci\u00f3n de ENCFORGE podr\u00eda cifrar m\u00faltiples variantes almacenadas en el mismo sistema de archivos accesible. Si los datos de capacitaci\u00f3n se encuentran en el mismo host, la organizaci\u00f3n debe reconstruirlos antes de que pueda comenzar cualquier reentrenamiento.<\/p>\n

Binario SHA-256: empaquetado 8cb0c223b018cecef1d990ec81c67b826eb3c30d54f06193cf69969e9a8baea2<\/code>; desempaquetado ea7822eac6cecef7746c606b862b4d3034856caf754c4cf69533662637905328<\/code>.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Sysdig ha publicado las direcciones fuente y C2, la huella digital de la clave RSA-2048 integrada y una regla YARA en su informe completo.<\/p>\n

    \n
  • Actualice Langflow a 1.9.1 o una versi\u00f3n compatible actual. Versi\u00f3n 1.3.0 cerrada CVE-2025-3248<\/code>el vector de entrada para esta campa\u00f1a, pero desde entonces CISA ha agregado dos vulnerabilidades Langflow m\u00e1s a su cat\u00e1logo KEV: CVE-2026-33017<\/code>una falla de RCE no autenticada corregida en 1.9.0, agregada a KEV el 25 de marzo de 2026; y CVE-2026-55255<\/code>una omisi\u00f3n de autorizaci\u00f3n entre usuarios corregida en 1.9.1, agregada el 7 de julio de 2026.<\/li>\n
  • Rote las claves del proveedor de IA, las credenciales de la nube, los secretos de la base de datos y cualquier otro token accesible al proceso de Langflow. La aplicaci\u00f3n de parches no revoca las credenciales ya recopiladas a trav\u00e9s de una instancia vulnerable.<\/li>\n
  • Eliminar \/var\/run\/docker.sock<\/code> desde cualquier contenedor que no lo requiera. Cuando el acceso al socket sea inevitable, alcancelo a trav\u00e9s de un proxy de configuraci\u00f3n limitada; una implementaci\u00f3n est\u00e1ndar de Langflow generalmente no necesita crear contenedores, y el acceso sin restricciones al socket Docker debe tratarse como una configuraci\u00f3n incorrecta.<\/li>\n
  • Alerta sobre procesos de aplicaciones que llaman a las API de creaci\u00f3n de contenedores de Docker, contenedores lanzados con Privileged: true<\/code> o PidMode: host<\/code>montajes de enlace host-ra\u00edz y nsenter<\/code> ejecuci\u00f3n desde el interior de un contenedor.<\/li>\n
  • Mantenga los pesos de los modelos, los \u00edndices vectoriales y los conjuntos de datos de entrenamiento en instant\u00e1neas inmutables o fuera de l\u00ednea. Supervise esos directorios para detectar .locked<\/code> creaci\u00f3n de archivos.<\/li>\n<\/ul>\n

    Hacker News se puso en contacto con el equipo de investigaci\u00f3n de amenazas de Sysdig para obtener m\u00e1s detalles sobre el alcance de la campa\u00f1a de la flota y la confianza en la atribuci\u00f3n; Sysdig no hab\u00eda respondido mediante publicaci\u00f3n.<\/p>\n

    Los artefactos del modelo ahora pertenecen al mismo nivel de recuperaci\u00f3n que el c\u00f3digo fuente y las bases de datos de producci\u00f3n. Una organizaci\u00f3n que puede reconstruir la aplicaci\u00f3n pero no puede restaurar sus pesos, \u00edndices o estado de entrenamiento no tiene una ruta de regreso limpia.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

    Los investigadores de Sysdig han vinculado un segundo ataque en el mismo servidor Langflow con JADEPUFFER, el operador impulsado por agentes de inteligencia artificial que document\u00f3 por primera vez a principios de este mes. Ahora se ha visto al mismo operador desplegando APLICARun nuevo ransomware Go compilado dise\u00f1ado para cifrar pesos de modelos, \u00edndices de […]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[27,1339,181,24,3906,1119,2993,169,508,779],"class_list":["post-1647","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-apunta","tag-archivos","tag-ataque","tag-cyberdefensa-mx","tag-encforge","tag-langflow","tag-modelos","tag-nuevo","tag-ransomware","tag-rce"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1647","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1647"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1647\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1647"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1647"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1647"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}