CVE-2026-9198: Langflow — компрометация за 34 минуты, XMRig и Mirai

Реальное расследование с использованием системы-приманки, honeypot, показало, что доступные из интернета экземпляры Langflow могут быть скомпрометированы с применением уязвимости CVE-2026-9198. Атакующие выполняли команды от имени пользователя www-data, устанавливали вредоносные импланты, запускали майнеры XMRig и разворачивали узлы Mirai для DDoS-атак.

Эксплуатация CVE-2026-9198

Злоумышленники использовали конечную точку /api/v1/validate/code для выполнения команд оболочки. Команды запускались от имени пользователя www-data. В ходе наблюдения были зафиксированы обращения к sh -c /tmp/abc&, загрузка полезной нагрузки с помощью wget и создание файлов через gnucp.

Три узла-приманки оценили в течение 37 минут. Для дальнейшего развертывания атакующие выбрали один из них. Первая компрометация происходила приблизительно через 34 минуты после появления Langflow в интернете.

Имплант AdaptixC2 Gopher

После получения доступа злоумышленники устанавливали кастомный имплант AdaptixC2 Gopher. Он поддерживал удаленное выполнение команд, файловые операции, перечисление процессов и захват экрана. Во время наблюдения команды через имплант не выполнялись.

XMRig и добыча Monero

Другие атакующие разворачивали майнеры XMRig для добычи Monero. Среди обнаруженных образцов была версия 6.22.2, защищенная Python-скриптом-надзирателем. Скрипт перезапускал майнер каждые 10 секунд.

Майнинг выполнялся от имени пользователя www-data. Для ригов использовались имена, специфичные для каждой жертвы. Кошелек, связанный с этой операцией, также получал доли от майнеров, развернутых через другие уязвимости. Это указывает на эксплуатацию нескольких уязвимостей в рамках одной операции.

Отдельный загрузчик доставлял сборки XMRig 6.26.0 для разных архитектур. В кампании использовались варианты для Linux x86-64, ARM64 и FreeBSD amd64.

Некоторые образцы применяли зашифрованные по TLS соединения с пулом, не содержали захардкоженных настроек кошелька и пула, а после выполнения удаляли себя.

Mirai для DDoS-атак

В рамках другой кампании атакующие пытались установить вредоносное ПО на несколько архитектур. После этого на системы загружался бинарный файл семейства Mirai, замаскированный под /tmp/klogd.

Этот самораспространяющийся узел ботнета взаимодействовал по HTTP, принимал удаленные команды и использовался для проведения DDoS-атак. В отличие от кампаний с XMRig, его не применяли для майнинга криптовалюты.

Злоупотребление auto_login

Атакующие также использовали функциональность auto_login в Langflow. Некоторые источники получали токен SUPERUSER и напрямую обращались к /api/v1/flows. Из возвращаемого JSON-файла с определением потока они извлекали учетные данные, не используя конечную точку /api/v1/validate/code.

Общий объем сканирования не был связан напрямую с эксплуатацией уязвимостей. Компрометации происходили даже в относительно тихие периоды. При этом в некоторые временные интервалы с высокой интенсивностью сканирования успешных атак не зафиксировали.

Рекомендации администраторам

Администраторам Langflow рекомендуется обновить систему до версии 1.10.1 или более поздней. Версии с 1.0.0 по 1.10.0, в которых включена функция автоматического входа, следует рассматривать как потенциально скомпрометированные.

В ходе расследования необходимо:

• проанализировать журналы событий на наличие последовательности auto_login и validate/code;
• проверить несанкционированные запросы к полному потоку данных;
• обновить скомпрометированные учетные данные;
• проверить удаленные, но все еще работающие процессы;
• отследить аномальные процессы оболочки и утилиты загрузки, запущенные Langflow;
• проверить необычные исходящие соединения.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.