JadePuffer retorna com ransomware projetado para destruir modelos de IA

A evolução das ameaças cibernéticas acompanha de perto a transformação tecnológica das empresas. Se durante muitos anos os ataques de ransomware tiveram como principal objetivo criptografar documentos corporativos, bancos de dados e servidores de arquivos, a crescente adoção de inteligência artificial criou uma nova categoria de ativos digitais extremamente valiosos: os modelos de machine learning treinados, seus pesos, datasets e artefatos utilizados durante todo o ciclo de desenvolvimento.

Essa mudança amplia significativamente a superfície de ataque das organizações que investem em IA. O valor de um modelo treinado não está apenas no arquivo armazenado em disco, mas em todo o investimento computacional, financeiro e humano necessário para produzi-lo. Em muitos casos, semanas ou meses de treinamento, refinamento, ajuste fino (fine-tuning) e curadoria de dados tornam-se praticamente impossíveis de reproduzir rapidamente após um incidente.

Uma pesquisa publicada em 20 de julho pela Sysdig Threat Research Team (TRT) mostra exatamente essa mudança de paradigma. Segundo os pesquisadores, o operador conhecido como JadePuffer retornou ao mesmo ambiente Langflow explorado em uma campanha anterior e implantou um novo ransomware chamado ENCFORGE, desenvolvido especificamente para atingir ambientes modernos de inteligência artificial.

O diferencial do ataque está justamente na seleção dos alvos. Em vez de criptografar indiscriminadamente todos os arquivos encontrados, o malware foi construído para localizar artefatos utilizados por diversos frameworks de IA amplamente empregados em ambientes corporativos, laboratórios de pesquisa e plataformas de desenvolvimento de modelos.

O retorno da JadePuffer representa uma mudança estratégica

A Sysdig descreve JadePuffer como o operador responsável pela primeira campanha de ransomware executada de ponta a ponta por um grande modelo de linguagem (LLM). Agora, a organização criminosa retorna utilizando uma abordagem muito mais especializada, indicando um conhecimento aprofundado sobre a infraestrutura normalmente utilizada por equipes de ciência de dados e engenharia de IA.

O ransomware implantado, denominado ENCFORGE, foi desenvolvido na linguagem Go e distribuído empacotado com UPX. Segundo a pesquisa, seu objetivo não é apenas indisponibilizar informações corporativas tradicionais, mas atingir diretamente ativos considerados essenciais para projetos modernos de inteligência artificial.

Essa mudança demonstra que os criminosos passaram a reconhecer que modelos treinados possuem valor econômico semelhante ou até superior ao de bases de dados convencionais. Em organizações que utilizam IA como diferencial competitivo, perder esses modelos pode representar prejuízos significativamente maiores do que a perda de documentos administrativos.

Por que modelos de IA se tornaram ativos altamente valiosos

Durante anos, backups foram considerados a principal defesa contra ransomware. Entretanto, a pesquisa destaca uma característica específica dos projetos de IA: nem sempre um backup recente consegue restaurar todo o trabalho realizado.

Mesmo quando existe uma cópia íntegra do ambiente, normalmente há uma diferença entre o último snapshot disponível e o momento do ataque. Esse intervalo pode representar semanas ou meses de treinamento contínuo, ajustes de hiperparâmetros, experimentação, validação, refinamento de datasets e diversas etapas de fine-tuning.

Em outras palavras, recuperar apenas os arquivos não significa recuperar todo o conhecimento incorporado ao modelo durante esse período.

Segundo a Sysdig, reproduzir esse intervalo pode exigir novo treinamento com custos estimados entre US$ 75 mil e US$ 500 mil por modelo, considerando recursos de GPU em nuvem e tempo de engenharia. Caso os próprios dados utilizados para treinamento estejam armazenados no mesmo host comprometido, a recuperação pode ficar completamente bloqueada até que esses dados sejam reconstruídos.

Um ransomware criado especificamente para o ecossistema de machine learning

Diferentemente de ransomwares tradicionais, o ENCFORGE possui uma lista extensa de formatos voltados ao ecossistema moderno de inteligência artificial. A seleção dos arquivos demonstra que o desenvolvimento do malware foi direcionado para ambientes utilizados por cientistas de dados e equipes de engenharia de IA.

Segundo a pesquisa, aproximadamente 180 extensões de arquivos fazem parte da lista de alvos monitorados pelo ransomware.

Entre os formatos citados estão checkpoints utilizados por PyTorch e TensorFlow, pesos SafeTensors empregados pelo ecossistema HuggingFace, modelos quantizados GGUF do llama.cpp, índices vetoriais FAISS, datasets em Apache Parquet, arquivos TFRecord e matrizes NumPy.

Em vez de tratar todos os arquivos igualmente, o malware concentra esforços exatamente sobre componentes essenciais para reconstrução de modelos, acelerando o impacto operacional da infecção.

Essa escolha reforça que o objetivo da campanha é atingir diretamente a continuidade operacional de ambientes de inteligência artificial, comprometendo ativos cujo processo de reconstrução pode consumir elevados recursos computacionais e humanos.

Personalização do ataque amplia o potencial de impacto

Além da ampla lista de formatos suportados, a pesquisa da Sysdig mostra que o ENCFORGE oferece mecanismos para adaptar cada campanha conforme o ambiente comprometido. Essa característica demonstra que o ransomware não foi desenvolvido apenas para automatizar a criptografia de arquivos, mas também para permitir que os operadores ampliem seu alcance quando identificam tecnologias específicas utilizadas pela vítima.

Os pesquisadores observaram que o binário percorreu todas as variantes de modelos armazenadas em um ambiente de armazenamento compartilhado durante uma única execução. Isso significa que diferentes versões de um mesmo modelo, frequentemente mantidas para testes, validação ou produção, podem ser afetadas simultaneamente, reduzindo significativamente as possibilidades de recuperação operacional.

Outro recurso identificado foi a opção de linha de comando –include, que permite aos operadores adicionar extensões personalizadas para cada campanha. Segundo a documentação interna do próprio binário, essa funcionalidade pode ser utilizada para incluir formatos específicos, como adaptadores de fine-tuning LoRA e pesos legados GGML, ampliando a cobertura do ransomware conforme os objetivos do ataque.

A atribuição da campanha ao grupo JadePuffer foi realizada pela Sysdig com base no endereço de contato utilizado para extorsão, incorporado diretamente ao binário do ENCFORGE. De acordo com os pesquisadores, esse endereço corresponde ao mesmo divulgado na campanha anterior atribuída ao operador.

A exploração começou novamente pelo Langflow

A etapa inicial da invasão repetiu o padrão identificado anteriormente pelos pesquisadores. O acesso ocorreu por meio da vulnerabilidade CVE-2025-3248, descrita como uma falha de autenticação ausente no endpoint de validação de código do Langflow.

Essa vulnerabilidade já havia chamado a atenção das autoridades de segurança. O artigo informa que a CISA adicionou a CVE-2025-3248 ao catálogo de Known Exploited Vulnerabilities (KEV) em maio de 2025, indicando que a falha vinha sendo explorada ativamente por agentes maliciosos.

Após obter acesso inicial ao ambiente, o operador executou uma sequência de atividades semelhante à observada na campanha anterior. Entre elas estavam rotinas de reconhecimento do ambiente comprometido e coleta de credenciais, permitindo identificar recursos disponíveis para ampliar o alcance da invasão.

Durante esse processo, o atacante localizou um socket Docker montado no ambiente comprometido, elemento que posteriormente desempenhou papel fundamental na tentativa de executar o ransomware fora dos limites do contêiner originalmente explorado.

Adaptação em tempo real durante a execução do ataque

Um dos aspectos mais relevantes destacados pela Sysdig foi a capacidade do operador de adaptar a técnica de ataque quando encontrou dificuldades para entregar o ransomware ao ambiente comprometido.

Segundo a pesquisa, a tentativa inicial de baixar o binário diretamente do servidor de comando e controle (C2) da JadePuffer falhou enquanto o código ainda era executado dentro do contêiner. Em vez de abandonar a operação, o atacante modificou sua estratégia durante a própria invasão.

Ao longo de cinco minutos e vinte e quatro segundos, foram executadas seis versões diferentes de scripts Python utilizando o canal de execução remota de código (RCE) disponível por meio do Langflow. Cada nova tentativa ajustava o mecanismo de entrega até que fosse encontrada uma abordagem funcional.

O resultado foi uma cadeia operacional capaz de utilizar o socket Docker montado para iniciar um contêiner privilegiado, copiar o ransomware por meio do procfs do host e executar posteriormente a rotina de criptografia diretamente no sistema de arquivos da máquina hospedeira, ultrapassando o isolamento originalmente imposto ao contêiner comprometido.

Criptografia e comportamento do ENCFORGE

A análise técnica da Sysdig descreve que o ENCFORGE utiliza o algoritmo AES-256-CTR para criptografar os arquivos selecionados e emprega um mecanismo de troca de chaves baseado em RSA-2048. Essa combinação segue uma abordagem comum em famílias modernas de ransomware, permitindo proteger as chaves utilizadas durante o processo de criptografia.

Antes de iniciar a criptografia, o malware encerra processos que mantêm bloqueios sobre arquivos, reduzindo a possibilidade de falhas durante a execução do ataque. Essa etapa aumenta a quantidade de artefatos efetivamente atingidos durante uma única execução do ransomware.

Após concluir sua atividade, o ENCFORGE remove seu próprio executável do sistema comprometido. Esse comportamento dificulta análises posteriores e reduz a quantidade de evidências disponíveis para investigação forense diretamente no ambiente afetado.

Embora o processo de criptografia siga técnicas conhecidas da indústria de ransomware, o diferencial apontado pela pesquisa está na seleção criteriosa dos arquivos, direcionando o impacto para componentes considerados essenciais em projetos modernos de inteligência artificial.

Uma campanha focada na destruição, não na exposição de dados

Um dos aspectos que mais diferencia o ENCFORGE de campanhas tradicionais de ransomware está na ausência de funcionalidades voltadas à exfiltração de informações. Durante a análise do binário, a Sysdig não identificou mecanismos destinados ao envio de arquivos para infraestrutura controlada pelos operadores nem encontrou evidências da utilização de um site de vazamento de dados.

Esse comportamento contrasta com o modelo de dupla extorsão adotado pela maioria dos grupos modernos de ransomware-as-a-service (RaaS). Nesse tipo de operação, além de criptografar os dados da vítima, os criminosos normalmente copiam informações confidenciais e ameaçam divulgá-las caso o pagamento do resgate não seja realizado.

No caso da JadePuffer, entretanto, a pesquisa indica um objetivo diferente. O impacto do ataque está concentrado na indisponibilidade e na destruição prática dos ativos utilizados em projetos de inteligência artificial, comprometendo diretamente a continuidade das operações relacionadas ao desenvolvimento e à utilização de modelos de machine learning.

Essa diferença altera a natureza do risco enfrentado pelas organizações. Em vez de lidar prioritariamente com possíveis consequências da divulgação de informações, o desafio passa a ser a recuperação de ativos cuja reconstrução pode exigir elevados investimentos em infraestrutura computacional, tempo de engenharia e repetição de longos ciclos de treinamento.

O que o caso revela sobre a evolução das ameaças contra ambientes de IA

A campanha documentada pela Sysdig demonstra que ambientes dedicados ao desenvolvimento de inteligência artificial passaram a representar um alvo específico para operadores de ransomware. A seleção dos arquivos criptografados evidencia um conhecimento detalhado sobre os componentes que sustentam o ciclo de vida de modelos modernos de machine learning.

Ao explorar novamente a vulnerabilidade CVE-2025-3248 no Langflow, repetir as etapas de reconhecimento observadas anteriormente e adaptar o mecanismo de entrega do ransomware durante a própria invasão, o operador mostrou capacidade de ajustar sua estratégia para alcançar o objetivo final mesmo diante de obstáculos técnicos.

Outro ponto destacado pela pesquisa é que o ENCFORGE foi desenvolvido para concentrar seus esforços sobre artefatos críticos do ecossistema de IA, incluindo modelos treinados, pesos, índices vetoriais e conjuntos de dados utilizados no treinamento. Essa abordagem amplia significativamente o impacto operacional quando comparada à criptografia indiscriminada de arquivos corporativos.

Segundo a Sysdig, o prejuízo potencial não está apenas na indisponibilidade temporária dos sistemas, mas também na necessidade de reconstruir modelos cujo desenvolvimento pode representar semanas ou meses de trabalho, além de custos estimados entre US$ 75 mil e US$ 500 mil por modelo em recursos de GPU em nuvem e tempo de engenharia.

Conclusão

As descobertas apresentadas pela Sysdig indicam uma evolução importante no cenário de ransomware direcionado a ambientes corporativos que utilizam inteligência artificial. Em vez de buscar exclusivamente dados financeiros, documentos empresariais ou informações sensíveis, a campanha da JadePuffer demonstra interesse direto pelos ativos que representam o maior investimento tecnológico de muitas organizações: seus modelos de IA e todo o ecossistema necessário para desenvolvê-los.

O ENCFORGE combina uma exploração previamente conhecida do Langflow com técnicas capazes de ultrapassar o isolamento de contêineres e atingir o sistema hospedeiro. Além disso, sua seleção direcionada de aproximadamente 180 extensões relacionadas ao machine learning reforça que o objetivo da operação é maximizar o impacto sobre ambientes dedicados ao treinamento e à utilização de modelos de inteligência artificial.

A ausência de funcionalidades de exfiltração de dados também diferencia essa campanha do padrão predominante entre grupos de ransomware-as-a-service. Conforme observado pela Sysdig, a principal ameaça não está na divulgação de informações, mas na destruição dos ativos necessários para reconstruir modelos de IA, cujo processo pode representar elevados custos financeiros e longos períodos de recuperação.

O caso evidencia que, à medida que modelos de inteligência artificial se tornam ativos estratégicos para empresas e instituições, eles também passam a ocupar posição central entre os alvos de campanhas de ransomware cada vez mais especializadas.