JadePufferランサムウェア、AIエージェント利用し攻撃全体を自動化

JadePufferランサムウェア、AIエージェント利用し攻撃全体を自動化

BleepingComputer – July 4, 2026

攻撃全体をLLMエージェントで自動化した初のランサムウェアオペレーションと思われるものを、クラウドセキュリティ企業Sysdigの研究者らが発見。「JadePuffer」と名付けられたこのランサムウェアは、自律型AIエージェントを使って標的の偵察から認証情報の窃取、ラテラルムーブメント、永続性確立、特権昇格、またデータの暗号化を自動で実施していたとされる。

Sysdigが観測した攻撃において、JadePufferはまず、LLMアプリ構築に使われる人気のオープンソースフレームワーク「Langflow」の脆弱性を悪用。CVE-2025-3248として識別されるこの脆弱性は認証されていない攻撃者によるリモートコード実行を可能にし得るもので、JadePufferはこれを利用して初期アクセスを獲得したとされる。なお同脆弱性は2025年4月1日に修正され、同年5月初旬には悪用事例が観測されたとして米CISAのKEVカタログ（悪用が確認済みの脆弱性カタログ）に追加されていた。

初期アクセスの取得後、JadePufferはLangflowのPostgreSQLデータベースをダンプし、ホスト情報を収集して環境変数および機微なファイルを探索。加えて、認証情報の取得とMinIOのデータの列挙を行ったとされる。なおSysdigによれば、MinIOは自己ホスト型のS3互換オブジェクトストレージであり、攻撃に利用されることは珍しいという。この列挙においては、あるAPIリクエストがJSONではなくXMLを返した場合、次のペイロードはそれに応じて解析ロジックが調整されるという適応型のアプローチが採用されている点にSysdigは注目している。

JadePufferはまた、cronジョブをサーバー上にインストールすることによってLangflowホスト上での永続性を確立。このcronジョブは、30秒ごとに攻撃者のインフラへのビーコン送信を行う設定になっていたとされる。

このLangflowインスタンスから、攻撃者は出どころ不明のroot認証情報を使用し、Alibaba Nacosを実行している本番環境のMySQLサーバーへと展開。NacosはAlibabaのマイクロサービスアーキテクチャで広く使われるサービスディスカバリおよび動的構成プラットフォームで、今回の攻撃においては複数のペイロードにより標的にされたという。これには、不正な管理者アカウントの作成を可能にする認証バイパスの脆弱性CVE-2021-29441を悪用するペイロードも含まれていたとされる。

続いてJadePufferのエージェントはコンテナエスケープの方法を模索し、ランサムウェアペイロードを展開。Nacosのサービス構成アイテム1,342件を暗号化し、オリジナルの方を削除したとされる。また、攻撃者の要求やビットコイン支払い先アドレス、Proton Mailの連絡先が記されたランサムノート（README_RANSOM）を生成。なお、ここに記載されているビットコインアドレスは公開資料で広く使用されている例示用のアドレスであったことから、LLMが学習データからこれを再現した結果である可能性があると指摘されている。

そのほかにも、AIが攻撃を制御していたことを示す兆候として、生成されたコード内にオペレーション上の判断について説明する詳細な自然言語のコメントが含まれていたことや、エラー発生時に単に再試行するのではなく、発生した具体的なエラーを考慮した迅速な攻撃の反復が行われていたことなどが挙げられている。

Sysdigは、JadePufferの事例が「エージェント型脅威アクター（ATA）」の時代の到来を体現していると指摘。結果として、実害につながるサイバー攻撃を実行するために求められるスキルレベルは低下していくだろうと結論付けた。

Sysdigのブログ記事では、IoCや推奨される緩和策なども共有されている。

Avalon：ランサムウェア性能「CrownX」を備えた新たなモジュラー型マルウェアフレームワーク

The Hacker News – Jul 03, 2026

ランサムウェアコンポーネントを備える新たなモジュラー型マルウェア「Avalon」について、Blackpoint Cyberの研究者らが報告。Avalonは、「CrownX」と名付けられたランサムウェア機能のほか、認証情報の窃取および永続化の各機能を個別のマルウェアファミリーに分散させるのではなく、単一のペイロードに統合している点が注目に値するという。

Avalonはこれまで文書化されたことのなかったマルウェアフレームワークで、多段階のフィッシングチェーンを通じて標的に配布される。同マルウェアには、その開発においてAIが支援的に使用されていたであろうことを示す兆候が見受けられるという。

Blackpointが観測した攻撃はまず、法律関連の文書に見せかけたEメールでスタート。このメールは、受信者にパスワードで保護されたProton Drive上のアーカイブファイルを開かせようとするものだったとされる。ここでは、悪意あるコンテンツをメールに直接添付するのではなくアーカイブ内のISOイメージに埋め込むという、Eメールレイヤで検出されてしまう確率を下げる試みが行われていた。

当該ISOイメージ（Secure_Document_CA-283505_pdf.iso）をマウントすると、「Mimecast Secure File Logs」という名前のフォルダとともに「Secure Document CA-283505.pdf.lnk」という名前のショートカットが表示され、メール受信者はこのショートカットを操作。これにより、段階的なマルウェアの感染シーケンスがトリガーされ、最終的にAvalonが展開されたという。

Avalonは検出回避を目的とする広範な防御回避サブシステムを有するほか、Microsoft Defender、SentinelOne、CrowdStrike、Sophos、Elastic Endpoint、FortiEDR、ESET、McAfee、Bitdefenderに関連するセキュリティツールから身を隠すためのメソッドも備えているとされる。

Blackpointによれば、Avalonの機能一覧は以下の通り。

• ChromiumベースのブラウザおよびMozilla Firefoxからの認証情報、Cookie、履歴、ブックマーク情報の窃取
•  MetaMask、Phantom、Coinbase Walletなどの暗号資産ウォレットアプリや、Discord、Slack、Teams、OpenVPN、WireGuard、Windows Credential Managerといったアプリケーションからのデータ収集
• SSHの既知ホスト、保存済みのRDP接続、Wi-Fiプロファイル、およびグループポリシー設定のcpasswordアーティファクトに関する詳細情報の収集
• リモートのサーバー（helloxcherry[.]com）へのデータ抽出と、タスク実行コマンドの受信のためのサーバーへのポーリング
• システムの偵察および優先順位付け
• 事業運営やソフトウェアデプロイメント、エンジニアリング、データストレージ、および仮想インフラに関連するファイルのWindows Cryptography APIを用いた暗号化と、支払いに関する指示や期限などを記したランサムノートの配布
• ボリュームシャドウコピーサービスを終了させ、シャドウコピーを削除することによるシステム復元の抑止
• アンチフォレンジッククリーンアップサブシステムによる痕跡の除去
• ディスク構造への直接アクセス。（パーティション情報、ブートレコード、またはドライブのその他の重要な領域を破壊するための機能とみられており、結果としてシステムが事実上使用不能になる恐れがある）

ランサムウェアコンポーネントであるCrownXは最後の恐喝フェーズを担当するが、ランサムノートが配布されるまでの間にすでに認証情報が収集され、C2通信も確立されてラテラルムーブメントのための複数の経路が準備される上、ローカルでの復元オプションまで弱体化させられるとBlackpointは説明している。

このモジュラー構造に加え、Avalonにおけるもう1つの重要なポイントが、AIを開発支援に使用した痕跡が見られる点。高度な戦術や運用上のセキュリティはおざなりにして複数のコンポーネントが組み上げられており、従来であれば相当な専門知識が必要とされた作業だとBlackpointは指摘。この事例は、AIによって参入障壁が下がり、時間や労力をほとんどかけずにマルウェア開発へ取り組めるようになったこと、また技術的専門知識やリソースの少ないアクターでも高度なツールを利用できるようになったことなどを示している。

Blackpointの記事では、IoCや推奨される緩和策が共有されている。