Ransomware zur Zerstörung von KI-Modellen traf denselben Server zweimal – der zweite Angriff könnte eine halbe Million Dollar kosten, um ihn rückgängig zu machen

Wichtige Punkte

• Die Sicherheitsfirma Sysdig dokumentierte zwei separate Angriffe auf denselben ungepatchten Server am 1. Juli und 20. Juli 2025, beide durchgeführt von einer Gruppe, die sie JADEPUFFER nennt.
• Der zweite Angriff setzte ENCFORGE ein, eine Ransomware, die speziell dazu entwickelt wurde, trainierte KI-Modelldateien statt allgemeiner Geschäftsdaten zu zerstören.
• Sysdig schätzt, dass der Ersatz eines einzelnen zerstörten produktiven KI-Modells zwischen 75.000 und 500.000 Dollar kostet.
• Der Einstiegspunkt war eine öffentlich bekannte Sicherheitslücke namens CVE-2025-3248, die seit dem 5. Mai 2025 von US-Bundesbehörden als aktiv gefährlich eingestuft wurde, doch der Server blieb über 14 Monate lang ungepatchet.
• Beim ersten Angriff wurde der Verschlüsselungsschlüssel zufällig generiert und nie gespeichert, was ihn zu einer Wiper-Attacke machte, die als Ransomware verkleidet war: Eine Zahlung hätte nichts zurückgebracht.

Eine Hackergruppe brach in drei Wochen zweimal in denselben anfälligen Server ein. Beim ersten Mal verschlüsselten sie die Konfigurationsdaten eines Unternehmens. Beim zweiten Mal brachten sie eine Waffe mit, die für einen Zweck gebaut wurde: die Zerstörung trainierter KI-Modelle, die Hunderttausende Dollar und Monate an Arbeit kosten können, um sie zu rekonstruieren.

Die Sicherheitsfirma Sysdig veröffentlichte ihre Erkenntnisse nach der Verfolgung beider Einbrüche. Die Gruppe dahinter, die Sysdig JADEPUFFER nennt, nutzte beide Male die gleiche Eingangstür.

Welche Tür haben sie geöffnet?

Die Anfälligkeit ist CVE-2025-3248, eine kritische Schwachstelle in Langflow, einem beliebten Softwaretool, das Unternehmen ermöglicht, KI-gestützte Anwendungen zu erstellen, indem verschiedene Services visuell verbunden werden, ohne viel Code zu schreiben. Die Schwachstelle erhält eine Bewertung von 9,8 auf der Standardskala für Schweregrad, die von Sicherheitsforschern verwendet wird.

Das Leck ermöglichte es jedem, der den Langflow-Server erreichen konnte, ihm Python-Befehle zu senden und auszuführen. Kein Passwort erforderlich. Die US Cybersecurity and Infrastructure Security Agency nahm es am 5. Mai 2025 in ihre Liste bekannter, aktiv ausgenutzter Schwachstellen auf und setzte eine föderale Frist vom 26. Mai zum Patchen. Langflow behob das Problem in Version 1.3.0. Der zielgerichtete Server war noch ungepatchet, als JADEPUFFER im Juli zurückkehrte, mehr als 14 Monate nachdem das Leck erstmals öffentlich dokumentiert wurde.

Sicherheitsexperte Mike Riemer von der Softwarefirma Ivanti sagte gegenüber VentureBeat, dass Anbieter die offensichtlichen Einstiegspunkte gehärtet haben, daher suchen Angreifer jetzt nach der Hintertür. Nach dem Eindringen fanden sie einen freiliegenden Docker-Socket, einen Pfad, der im Grunde vollständige Kontrolle über den zugrunde liegenden Computer bietet, nicht nur über die darauf laufende Software.

Was macht ENCFORGE von gewöhnlicher Ransomware unterschiedlich?

Gewöhnliche Ransomware verschlüsselt alles, was sie findet, und verlangt Zahlung für den Schlüssel. ENCFORGE, ein benutzerdefiniertes Programm in der Programmiersprache Go geschrieben, wurde speziell um KI-Dateien herum entworfen.

Sysdig fand heraus, dass es etwa 180 Dateitypen zielt. Die Liste liest sich wie ein Katalog der KI-Entwicklung: PyTorch- und TensorFlow-Checkpoints (Dateien, die das erlernte Wissen eines Modells zu einem bestimmten Zeitpunkt speichern), Hugging Face SafeTensors-Gewichte (ein gängiges Format zum Speichern fertiger KI-Modelle), GGUF-Dateien (das Format, das die meisten Menschen verwenden, um KI-Modelle lokal auf ihren eigenen Computern auszuführen), FAISS-Vektorindizes (Datenbanken, die KI-Systemen helfen, schnell durch große Informationsmengen zu suchen), und Trainingsdaten in Parquet- und NumPy-Formaten. Generische Ransomware trifft diese Dateien nur zufällig. ENCFORGE benennt sie bewusst.

Die Verschlüsselung selbst verwendet AES-256-CTR, eine starke Verschlüsselungsmethode, mit einem eindeutigen Schlüssel für jeden Angriff, wobei dieser Schlüssel dann im Programm mit RSA-2048 gesperrt wird. Anstatt ganze große Dateien zu verschlüsseln, werden Abschnitte davon verschlüsselt, ein Geschwindigkeitstrick, den etablierte Ransomware-Familien verwenden, um große Dateien schnell lahm zu legen.

Es gibt eine außergewöhnliche Wendung. Beim ersten Angriff wurde der Verschlüsselungsschlüssel einmal auf einem Computerbildschirm ausgedruckt und nie irgendwo gespeichert. Eine Lösegeldzahlung hätte nichts zurückgebracht. Das Tool war eine Wiper, die eine Lösegeldnachricht als Verkleidung trug. Beide Lösegeldnoten teilten dieselbe Proton Mail-Kontaktadresse und verbanden die Kampagnen mit derselben Crew.

Warum ist der Verlust eines trainierten KI-Modells so viel schlimmer als der Verlust anderer Daten?

Die Wiederherstellung einer gelöschten Datenbank aus einem Freitag-Backup kostet ein Wochenende verlorener Transaktionen. Die Wiederherstellung eines zerstörten KI-Modells kostet alles, was das Modell je gelernt hat, ohne dass es einen zeilenweisen Datensatz zum Abspielen gibt.

Sysdig setzt die direkten Kosten für die Neuerstellung eines einzelnen produktionsreifen, feinabgestimmten Modells (eines, das mit den spezifischen Daten eines Unternehmens trainiert wurde, um eine bestimmte Aufgabe auszuführen) auf 75.000 bis 500.000 Dollar. Diese Zahl spiegelt die Kosten für die Anmietung der spezialisierten Computerchips wider, die zum Training erforderlich sind, plus die beteiligten Ingenieurkosten. Die meisten Teams führen mehrere Modellversionen auf freigegebenen Speichern. Falls die Trainingsdaten auf demselben Server wie die Modelldateien gespeichert sind, wird die Rekonstruktion blockiert, bis dieser Datensatz auch rekonstruiert ist.

Michael Clark, der Sydigs Threat-Research-Team leitet, beschrieb das Ziel als die Zerstörung von „dem einen Ding, das eine Organisation einfach nicht wiederherstellen kann".

Sicherheitsstratege Kayne McGladrey, Senior Member des IEEE (der weltweit größten Berufsorganisation für Ingenieure und Technologen), sagte, dass das Problem darin besteht, dass Sicherheitsteams diese Risiken in der falschen Kategorie ablegen. Wenn es als Cybersicherheitsproblem dargestellt wird, verliert es Budgetkämpfe. Wenn es als 500.000-Dollar-Geschäftsverlust dargestellt wird, handelt ein CFO.

Was sollten Organisationen mit KI-Infrastruktur jetzt tun?

Sofort patchen. CVE-2025-3248 wurde in Langflow 1.3.0 behoben. Falls Sie oder Ihr Team Langflow irgendwo betreiben, bestätigen Sie heute die Version.

Die breitere Lehre betrifft das, was auf demselben Server wie ein öffentlich zugängliches Tool lebt. JADEPUFFER fand Cloud-Anmeldedaten, Datenbankverbindungszeichenfolgen und API-Token (digitale Schlüssel, mit denen Software auf andere Services zugreifen kann) neben den Modelldateien. Interne Systeme, von denen angenommen wurde, dass sie sicher sind, weil sie hinter einem anderen System liegen, waren erreichbar, sobald diese äußere Schicht fiel.

Angriff	Datum	Payload	Zieldateien	Geschätzter Schaden
Erste Kampagne	1. Juli 2025	1.342 Konfigurationselemente verschlüsselt, Datenbanktabellen gelöscht	Konfigurationsdaten	Datenverlust, Wiederherstellungszeit
Zweite Kampagne	20. Juli 2025	ENCFORGE-Binärdatei	KI-Modellgewichte, Trainingsdaten	75.000 bis 500.000 Dollar pro Modell
Flaw zuerst dokumentiert	5. Mai 2025	CVE-2025-3248, Score 9,8	Alle Langflow-Server	N/A
Patch verfügbar	Langflow 1.3.0	Fix vor beiden Angriffen veröffentlicht	Alle vorherigen Versionen	Vermeidbar

Etwa 7.000 Langflow-Instanzen sitzen freiliegend im öffentlichen Internet, die meisten davon in Nordamerika, was VentureBeat im Juni zum ersten Mal berichtete. Jede hält Anmeldedaten und Live-Verbindungen, die genau das aussehen, nach dem JADEPUFFER gesucht hat.

Die ehrliche Schlussfolgerung: Sichern Sie Ihre Modellgewichte auf die gleiche Weise wie Ihre Datenbanken, speichern Sie sie getrennt von Ihren Trainingsdaten, und behandeln Sie eine Patch-Mitteilung mit Schweregrad 9,8 als 72-Stunden-Frist, nicht als To-Do-Listen-Element.