Hackerlar Flodrix Botnet’i dağıtmak ve sistem kontrolünü ele geçirmek için kritik Langflow güvenlik açığından yararlanıyor

Hızlı AI prototipleme için popüler Python çerçevesi olan Langflow, araştırmacılar CVE-2025-3248’i açıkladıktan sonra kuşatma altında. /api/v1/validate/code Kimlik doğrulanmamış saldırganların tek bir hazırlanmış sonrası isteği ile keyfi Python’u yürütmesini sağlayan uç nokta.

Kamuoyu kavram kanıtı saatleri içinde, tehdit aktörleri, 1.3.0’dan önce versiyonları çalıştıran sunucular için shodan ve fofa’ya başladı ve keşif komutlarından sessizce dönmeye başladı. whoami tam uzak kabuklara.

Bahisler yüksek: tehlikeye girdikten sonra, bir örnek dağıtılmış hizmet reddi (DDOS) saldırıları veya toptan veri hırsızlığı için silahlandırılabilir ve hızlanmak istediği AI iş akışlarını tehlikeye atar.

Polyswarm analistleri, XOR-Obsuscated bir dize tablosunu ve kendi kendini kaplayan bir yükleyici paylaşan yeni kötü amaçlı yazılım örneklerinin ani görünümünü kaydetti-bunları hemen ortaya çıkan flodrix botnet soyuna bağlayan traits.

Leethozer selefinden farklı olarak Flodrix, çocuk süreçlerini yanıltıcı isimlerle doldurmak, adli artefaktları siler ve gizli ise bir ana bilgisayarı yeniden yapılandırmayı reddeder .system_idle Dosya, düğümün zaten köleleştirildiğine işaret ederek mevcuttur.

Kampanyanın genişliği ayık: 1.600’den fazla internete bakan langflow sunucusu bulundu, birçok iç araştırma bulutu ve varsayılan yapılandırmaların savunmasız uç noktayı ortaya çıkardığı başlangıç ​​kümeleri.

Erken kurbanlar, CPU ani artışlarını ve trafiği ihlalden birkaç dakika sonra TOR rölelerine bildirdi ve Botnet’in hem DDOS Canon hem de gizli veri sifonu olarak ikili rolünün altını çiziyor.

Güvenlik açığı, uzlaşmanın ilk saatinde trafik patlama modelini yakalarken, Flodrix işlemi kötü amaçlı yazılımın iyi huylu sistem korumalarını taklit etmek için kendisini nasıl yeniden adlandırdığını göstermektedir.

Enfeksiyon mekanizması: Post’tan kalıcılığa

Saldırı zinciri, Python’u doğrudan Langflow’un işçi sürecine enjekte eden 200 baytlık bir istismarla başlar, yumurtlama /tmp/docker– Ana elf yükünü çiğ TCP veya gizli TOR devreleri üzerinden getiren bir indirici.

Yürütüldükten sonra Flodrix, kök ayrıcalıklarını kontrol eder ve başarılı olursa, adlandırılmış bir Systemd hizmeti yükler langflow-sync.serviceyeniden başlatma kalıcılığını garanti etmek.

Çekirdek bot daha sonra C & C’sini maskelemek için aşağıdaki rutini yürütür:-

seed = 0x5A  
addr_enc = b'\\x13\\x37\\x42\\x1f'  
c2 = bytes([(b ^ seed) for b in addr_enc])  # XOR-decoded C2 IP

Aynı tohum bir öldürme anahtarı ile iki katına çıkar; Savunucular 6666/TCP bağlantı noktasına yayınlarsa, enfekte ana bilgisayarlar anında sonlandırılır.

İşletmeler V1.3.0’a ve güvenlik duvarı genel uç noktalarına kadar olana kadar Flodrix, korumasız AI düğümlerini her seferinde hazırlanmış bir yazı olan itaatkar kuşatma motorlarına dönüştürmeye devam edecek.

Canlı kötü amaçlı yazılım davranışını araştırın, bir saldırının her adımını izleyin ve daha hızlı, daha akıllı güvenlik kararlarını alın -> Herhangi birini deneyin. Şimdi