Атакующие эксплуатируют Langflow для доставки майнера через LF3

Ханипоты с развернутым Langflow с 13 мая 2025 года по 31 июля 2026 года зафиксировали 1180 запросов с 70 исходных адресов к POST /api/v1/validate/code. Активность эксплуатировала поведение модуля валидации Python, при котором декораторы и значения аргументов по умолчанию выполняются на этапе компиляции. В зависимости от версии Langflow и состояния аутентификации трафик был связан с CVE-2025-3248, CVE-2026-0770 или CVE-2026-0768. Исследователи также выявили ранее не задокументированный фреймворк доставки LF3.

Эксплуатация Langflow и получение сессий

Атакующие обращались к GET /api/v1/auto_login для получения сессий в случаях, когда в Langflow была включена анонимная аутентификация. Зафиксированная активность затрагивала модуль проверки кода, который выполняет декораторы и значения аргументов по умолчанию во время компиляции.

Связь трафика с уязвимостями зависела от целевой версии Langflow и состояния аутентификации. Исследователи сопоставили активность с CVE-2025-3248, CVE-2026-0770 и CVE-2026-0768.

Устройство фреймворка LF3

Загрузчики LF3 содержат манифест сборки в формате JSON. В нём описываются платформа, канал сборки, параметры шифрования, случайное зерно, флаги возможностей и параметры управления C&C. Для управления по HTTP фреймворк использовал домен apt-update[.]com и собственный протокол с такими запросами:

• обращение к /ch;
• обращение к /ts;
• обращение к /cr;
• обращение к /dl.

Загрузка полезных нагрузок выполнялась отдельными запросами для инструмента повышения привилегий и майнера. Трафик загрузчика в некоторых случаях содержал абсолютные URL или запросы CONNECT через прокси. Такая схема позволяет обходить средства обнаружения, которые анализируют только узкий набор путей.

Во всех восстановленных каналах сборки повторно использовались жёстко заданные ключ и вектор инициализации для AES-256-CBC. Зерно сборки менялось для каждого канала. Загрузчик проверял ответ на запрос /ts на наличие строки DL_T3ST_0K.

Доставка, закрепление и полезные нагрузки

Три инцидента компрометации продемонстрировали разные способы доставки. Операторы использовали Meterpreter и интерактивные обратные шеллы для доступа вне канала. В другом случае эксплойт доставлял загрузчик непосредственно через конвейер оболочки.

После запуска загрузчик завершал конкурирующие процессы и выбирал рабочую директорию с правами на запись. Он пытался обеспечить закрепление через службу или crontab. Когда привилегии root и утилита crontab были недоступны, загрузчик устанавливал цикл имитации cron. Цикл каждые 180 секунд извлекал и выполнял содержимое с C&C без повышения привилегий.

LF3 использовала общедоступные инструменты, а не специализированное вредоносное ПО. Среди восстановленных полезных нагрузок были стандартный XMRig 6.22.2 для майнинга Monero и общедоступный эксплойт для проверки концепции PwnKit, эксплуатирующий CVE-2021-4034.

Ни один из восстановленных бинарных файлов не содержал доменов, конфигураций или артефактов протоколов, специфичных для LF3. Авторы отчёта рекомендуют в первую очередь ориентироваться на следующие признаки:

• паттерн эксплуатации Langflow;
• схему манифеста LF3;
• строки загрузчика, включая DL_T3ST_0K;
• повторно используемые материалы шифрования;
• домен apt-update[.]com;
• поведение фреймворка управления C&C.

Авторы отчёта не рекомендуют полагаться на хеши полезных нагрузок.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.