Jadepuffer

Microsoft เผยรายงานเชิงลึกครั้งแรกของกลุ่ม JADEPUFFER (ติดตามในชื่อ Storm-3168) ที่ใช้ service principal ที่ถูกยึด 2 ตัวโจมตี Azure นานราว 18 ชั่วโมงในเดือนมิถุนายน 2569 ตัวหนึ่งใช้ลาดตระเวน อีกตัวลงมือทำลายกว่า 150 ปฏิบัติการใน 35 นาที ลบ Storage Account กว่า 100 บัญชี พร้อม Key Vault, Function App และฐานข้อมูล SQL แต่ resource lock และ deletion protection ช่วยกันบางส่วนไว้ได้ ต้นเหตุคือ credential ที่พนักงานเผยใน GitHub issue สาธารณะ ประเมินว่าเป็นการโจมตีอัตโนมัติที่มุ่งขัดขวางการกู้คืน

นักวิจัยจากบริษัท Sysdig พบแรนซัมแวร์ตัวใหม่ชื่อ ENCFORGE ที่เขียนด้วยภาษา Go และออกแบบมาเข้ารหัสไฟล์โครงสร้างพื้นฐาน AI โดยเฉพาะ ทั้งค่าน้ำหนักโมเดล ดัชนีเวกเตอร์ และชุดข้อมูลฝึกสอน รวมราว 180 นามสกุลไฟล์ ผู้โจมตีเข้ามาทางช่องโหว่ CVE-2025-3248 ของ Langflow แล้วใช้ Docker socket ที่เปิดทิ้งไว้แหกออกจากคอนเทนเนอร์ไปรันบนเครื่องโฮสต์

บริษัท Sysdig เปิดเผยสิ่งที่เชื่อว่าเป็นกรณีแรกที่มีการบันทึกของปฏิบัติการแรนซัมแวร์ที่ดำเนินการโดย AI Agent ตั้งแต่ต้นจนจบ ใช้ชื่อ JadePuffer โดย LLM Agent ทำเองทั้งการลาดตระเวน ขโมยข้อมูลรับรอง เคลื่อนที่ในเครือข่าย ฝังตัว ยกระดับสิทธิ์ และเข้ารหัสข้อมูล เข้าถึงระบบผ่านช่องโหว่ CVE-2025-3248 ใน Langflow เฟรมเวิร์กสร้างแอป LLM ยอดนิยม AI ยังปรับตัวแก้ข้อผิดพลาดแบบเรียลไทม์ ครั้งหนึ่งแก้ล็อกอินที่ล้มเหลวได้ใน 31 วินาที Sysdig ชี้ว่ายุคของ ‘agentic threat actors’ มาถึงแล้ว