Ransomware ENCFORGE Serang File Model AI Lewat Eksploitasi Langflow RCE

Ransomware ENCFORGE kini menjadi ancaman baru yang menargetkan file model kecerdasan buatan (AI) melalui eksploitasi kerentanan pada remote code execution (RCE) Langflow. Peneliti dari Sysdig mengungkapkan bahwa operator bernama JADEPUFFER, yang sebelumnya terdeteksi melakukan serangan serupa awal bulan ini, kembali melakukan operasi dengan payload ransomware ini.

Kerentanan Langflow dan Titik Masuk Serangan

Langflow versi sebelum 1.3.0 memiliki endpoint /api/v1/validate/code yang terbuka tanpa autentikasi, memungkinkan penyerang menjalankan kode Python secara bebas di server. Kerentanan ini tercatat sebagai CVE-2025-3248 dengan skor CVSS 9.8 dan sudah masuk dalam katalog Known Exploited Vulnerabilities (KEV) CISA sejak 5 Mei 2025.

Serangan sebelumnya menggunakan skrip Python sederhana dan fungsi AES_ENCRYPT() MySQL untuk mengenkripsi dan merusak data di server konfigurasi Nacos milik Alibaba dan basis data produksi. Namun, kini ENCFORGE menggantikan metode tersebut dengan alat kompilasi yang lebih canggih, dikembangkan menggunakan bahasa Go, yang difokuskan untuk mengenkripsi file model AI seperti bobot model, indeks vektor, dan dataset pelatihan.

Payload ENCFORGE dan Cara Kerjanya

Peneliti yang mendapatkan file biner ENCFORGE dari server command-and-control (C2) menyebutkan bahwa file tersebut disamarkan sebagai /.lockd agar tidak mudah terdeteksi. File ini adalah biner Go statis yang dikemas menggunakan UPX versi 5.20.

ENCFORGE secara spesifik menargetkan berbagai jenis file model AI, termasuk:

• Checkpoint PyTorch dan TensorFlow
• SafeTensors dari Hugging Face
• Format ONNX
• GGUF dan GGML untuk LLM lokal
• Indeks vektor FAISS
• Dataset pelatihan dalam format Parquet dan Arrow
• Array NumPy dan rekaman TensorFlow

Operator dapat menambahkan ekstensi file tambahan menggunakan flag --include, dengan contoh yang disediakan adalah adapter LoRA dan bobot GGML lama, yang menunjukkan bahwa ransomware ini memang dirancang untuk lingkungan AI secara khusus.

Teknologi enkripsi menggunakan AES-256-CTR untuk data file dengan kunci simetris yang dibungkus menggunakan kunci publik RSA-2048 tersemat dalam biner. Alih-alih mengenkripsi seluruh file, ENCFORGE mengenkripsi bagian-bagian tertentu untuk mempercepat proses, mirip dengan teknik yang digunakan oleh ransomware kelas LockBit dan BlackCat.

Setelah mengenkripsi, file diubah ekstensi menjadi .locked. Ransomware ini juga menghentikan proses yang membuka file tersebut, menangani restart agar tidak mengenkripsi ulang file yang sudah terkunci, menurunkan catatan tebusan dalam format README, dan menghapus dirinya sendiri setelah selesai dijalankan.

Menariknya, ENCFORGE tidak memiliki kemampuan untuk mengekstrak data ke luar (exfiltration). Tidak ditemukan kode jaringan, penyimpanan cloud, atau portal pembayaran Tor yang terkait selama sesi serangan yang diamati. Kontak tebusan menggunakan alamat email ProtonMail yang sama dengan kampanye sebelumnya, memperkuat keterkaitan kedua operasi ini.

Metode Eksploitasi dan Penetrasi ke Host

Setelah mengkonfirmasi eksekusi kode di Langflow, operator JADEPUFFER mencari kredensial dan menemukan socket Docker di /var/run/docker.sock. Percobaan awal untuk menarik payload ENCFORGE dari server C2 berbasis GCP gagal, tetapi operator berhasil beradaptasi.

Selama lebih dari lima menit, operator mengembangkan dan menguji enam skrip Python yang dikirim melalui kerentanan Langflow. Skrip terakhir memanfaatkan API Docker untuk membuat container dengan hak istimewa penuh (privileged), namespace PID host, dan sistem file root host terpasang. Dengan cara ini, ENCFORGE bisa dijalankan langsung di sistem host.

Strategi ini menggunakan mekanisme nsenter untuk mengeksekusi ransomware di lingkungan host, melewati isolasi container. Semua container dibuat dengan pengaturan Privileged: true, PidMode: host, dan NetworkMode: host, serta mount sistem file root host dalam mode baca-tulis, yang secara efektif memberikan akses penuh ke sistem.

Rekomendasi Keamanan dan Penanganan

Kerusakan akibat ransomware ini sangat serius. Memulihkan model AI produksi yang terenkripsi diperkirakan memakan biaya antara Rp1,1 miliar hingga Rp7,5 miliar per model, tergantung kebutuhan komputasi GPU cloud dan waktu rekayasa ulang.

Untuk mencegah serangan serupa, para peneliti menyarankan langkah-langkah berikut:

1. Perbarui Langflow ke versi 1.9.1 atau rilis yang lebih baru. Versi 1.3.0 telah menutup CVE-2025-3248, sementara versi 1.9.0 dan 1.9.1 menambal dua kerentanan tambahan yang masuk KEV tahun 2026.
2. Rotasi kredensial penting seperti kunci penyedia AI, kredensial cloud, dan rahasia database karena patch tidak membatalkan kredensial yang sudah dicuri.
3. Hapus atau batasi akses socket Docker di container yang tidak membutuhkannya. Jika akses diperlukan, gunakan proxy yang dikonfigurasi ketat untuk membatasi dampak.
4. Monitor aktivitas mencurigakan seperti proses aplikasi yang membuat container Docker dengan hak istimewa, container dengan pengaturan host PID dan mount root filesystem host, serta penggunaan nsenter dari dalam container.
5. Simpan file model AI dan dataset pelatihan dalam snapshot offline atau dalam format yang tidak dapat diubah, serta awasi perubahan massal file dengan ekstensi .locked.

Analisis Redaksi

Menurut pandangan redaksi, serangan ransomware ENCFORGE menandai babak baru dalam ancaman keamanan siber terhadap ekosistem AI yang sedang berkembang pesat. Target yang dipilih, yaitu file model dan data pelatihan, merupakan aset berharga dan sering kurang mendapat perlindungan sebanding dengan infrastruktur TI tradisional.

Fokus ransomware pada file spesifik seperti bobot model dan indeks vektor menunjukkan bahwa penjahat siber kini semakin mengerti nilai strategis dari aset AI. Ini bukan sekadar serangan data biasa, melainkan serangan yang dapat menghancurkan kemampuan organisasi untuk menjalankan solusi AI yang telah dibangun dengan investasi besar.

Ke depan, organisasi yang mengandalkan AI harus mengintegrasikan perlindungan model dan data pelatihan sebagai bagian utama strategi keamanan siber mereka. Selain itu, pengelolaan kredensial dan pembatasan akses ke komponen container dan Docker perlu menjadi prioritas untuk mencegah eskalasi serangan seperti ini.

Untuk pembaruan terbaru dan langkah tanggap keamanan, disarankan mengikuti laporan resmi dari Sysdig dan The Hacker News yang terus memantau perkembangan serangan ini.

Model AI kini harus dianggap sebagai aset kritis yang memerlukan perlindungan setara dengan kode sumber dan database produksi. Tanpa strategi pemulihan yang matang, serangan seperti ENCFORGE berpotensi melumpuhkan operasi berbasis AI secara signifikan.