Atacantes están aprovechando una vulnerabilidad reciente en Langflow (identificada como CVE-2026-33017) para robar claves de la nube y convertir los sistemas afectados en nodos de una nueva botnet basada en NATS. Esta campaña demuestra cómo la exposición de una herramienta de flujo de trabajo de IA puede derivar en el robo de credenciales a gran escala y el uso indebido de servicios en la nube.

Los atacantes están abusando ahora de una vulnerabilidad reciente de Langflow para robar discretamente claves de la nube y convertir los sistemas de las víctimas en nodos trabajadores para una nueva botnet basada en NATS. Esta campaña muestra cómo una sola herramienta de flujo de trabajo de IA expuesta puede convertirse en el inicio de un robo de credenciales a gran escala y el mal uso de la nube.

Según los investigadores, la operación se centra en CVE-2026-33017, un fallo de ejecución remota de código no autenticado en Langflow que fue añadido al catálogo KEV de la CISA en marzo de 2026.

Al acceder a un punto final público que no requiere inicio de sesión, el atacante puede ejecutar comandos directamente en el contenedor de Langflow y extraer variables de entorno sensibles.

En el incidente analizado, ese sencillo paso fue suficiente para exponer claves de acceso de AWS activas, que posteriormente impulsaron una fase más amplia de reconocimiento y abuso de la nube.

Investigadores de Sysdig documentaron primero esta actividad después de observar a un operador comprometer una instancia de Langflow y luego pivotar hacia la cuenta de la nube de la víctima.

En un breve intervalo de 30 minutos, el actor de la amenaza descargó desde su infraestructura tanto un script de trabajador en Python como un binario basado en Go, revelando cómo pretendían escalar el ataque más allá de un solo host.

Explotación de Langflow CVE-2026-33017

El análisis estático mostró que esta herramienta, que el atacante llamó KeyHunter, fue diseñada para recolectar sistemáticamente claves de API de contenido web y plataformas de desarrollo en la nube.

El impacto se extiende más allá de una sola aplicación vulnerable. Una vez que se explota el servicio de Langflow, las claves de AWS robadas permiten al atacante listar recursos de la nube, sondear servicios de IA e intentar el uso gratuito de modelos de lenguaje de alta gama. El mismo marco de trabajo puede validar claves para otras plataformas como OpenAI o Anthropic, convirtiendo cada instancia de Langflow comprometida en un flujo de credenciales monetizables.

En el caso de Sysdig, el operador también intentó escapar del contenedor utilizando DirtyPipe y DirtyCred, señalando un interés en obtener un control más profundo del host si el acceso inicial lo permitía. Sus esfuerzos para ejecutar un trabajador basado en Go fallaron debido a problemas de memoria, por lo que recurrieron al trabajador de Python como la vía estable para la recolección de datos.

La pieza específica de Langflow en esta historia es el punto final de la API no autenticado que potencia la CVE-2026-33017. Al invocar un punto final de compilación público bajo /api/v1/build_public_tmp//flow, el payload del atacante pudo capturar el entorno del proceso y leer los valores de AWS_ACCESS_KEY_ID y AWS_SECRET_ACCESS_KEY directamente. No fue necesario el phishing ni la ingeniería social; una automatización simple contra nodos de Langflow expuestos a internet sería suficiente para recolectar claves a gran escala.

Desde allí, las credenciales fueron probadas inmediatamente utilizando la API sts:GetCallerIdentity para confirmar que estaban válidas y activas. Durante las horas siguientes, las mismas claves se utilizaron para un barrido clásico de reconocimiento en la nube, incluyendo el listado de buckets de S3, la enumeración de instancias EC2 y comprobaciones contra servicios de registro, costes e identidad.

El operador se dirigió entonces a AWS Bedrock, sondeando los puntos finales de invocación de modelos en un intento aparente de "LLM jacking" para ejecutar modelos de lenguaje extensos sin pagar.

Esta actividad coincide con las capacidades integradas en el trabajador Python de KeyHunter, que expone funciones llamadas validate_aws y validate_ai para comprobar y clasificar automáticamente las claves recolectadas. El trabajador también puede extraer páginas web arbitrarias y plataformas específicas de código en la nube, creando un único conducto donde un host de Langflow comprometido alimenta muchos ataques posteriores.

Al tratar las claves robadas de Langflow como un simple flujo de entrada, el atacante puede maximizar el valor de cada variable de entorno que capture.

Para reducir el riesgo, Sysdig recomienda parchear Langflow a una versión que corrija la CVE-2026-33017, ya que la falta de autenticación del punto final vulnerable hace que el escaneo sea trivial.

Cualquier instancia de Langflow que haya estado expuesta antes del parcheado debe considerarse comprometida, procediendo a la rotación inmediata de las claves de AWS, OpenAI, Anthropic y Hugging Face que pudieran haber sido accesibles desde ese entorno.

El trabajador NATS convierte los hosts de Langflow en nodos de C2

Lo que hace destacar a esta campaña es el uso de un agente de mensajes NATS como canal de comando y control (C2) en lugar de un panel web tradicional. El trabajador del atacante se conecta a un servidor NATS en 45.192.109.25:14222 mediante una sesión autenticada y se suscribe a temas como task.scan_cde, task.scan_web, task.validate_aws y task.validate_ai.

Esta configuración permite al operador encolar el trabajo de forma centralizada, hacer que los trabajadores extraigan las tareas y luego recibir resultados estructurados utilizando consumidores de extracción JetStream con acuse de recibo explícito.

NATS también impone permisos a nivel de tema, que el atacante tuvo que sortear en tiempo real. Cuando sus mensajes iniciales de "latido" (heartbeat) fueron bloqueados, enviaron un script de enumeración rápido para ver a qué temas podía publicar el usuario trabajador, decantándose finalmente por canales como heartbeat.worker y worker.result. Esto es, efectivamente, la aplicación del principio de menor privilegio a una botnet, evitando que un trabajador capturado pueda husmear en los propios mensajes de control del operador.

El binario en Go y su script de instalación muestran que el objetivo era un grupo de trabajadores duradero y multiplataforma. El script deploy.sh instala el trabajador bajo /opt/keyhunter-worker/ como un servicio de systemd, configurado para reiniciarse automáticamente y sobrevivir a reinicios tanto en sistemas x86_64 como aarch64. Una vez desplegado, cada trabajador puede mantener múltiples conexiones salientes y extraer sandboxes de código ricos en credenciales mientras se mimetiza como tráfico normal de navegador.

Quienes defienden la red pueden buscar varias pistas. Sysdig señala que las reglas existentes para cambios sospechosos en servicios del sistema, conexiones C2 salientes y analíticas de tiempo de ejecución de AWS ya marcan partes de este comportamiento, aunque el canal C2 utilice un servidor de mensajería legítimo.

También aconsejan bloquear el tráfico saliente hacia los hosts de NATS y de almacenamiento conocidos implicados en este incidente, y restringir la salida de las herramientas de IA para que estos servicios solo puedan comunicarse con puntos finales específicos de LLM y bases de datos en lugar de con la internet abierta.

Indicadores de Compromiso:-

Tipo	Indicador	Descripción
IP:Puerto	45.192.109.25:14222	Servidor NATS C2 utilizado como agente de mensajes de comando y control.
IP:Puerto	159.89.205.184:8888	Servidor HTTP de despliegue que aloja binarios y scripts del trabajador.
Hash de archivo	dbee863ad2a39f939be2c7ed76f7d5a8fe000aad2d2b2d32b3e8ec3ee42f	SHA-256 del binario Go worker-linux-amd64.
Hash de archivo	323bbf3064d4b83df7920d752636b1acb36f462e58609a815bd8084d1e6	SHA-256 del script de trabajador Python keyhunter_worker.py.
Hash de archivo	16b279aa018c64294d58280636e538f86e3dd9bdcb5734c203373394b7	SHA-256 del script instalador deploy.sh que configura el servicio del trabajador.

Nota: Las direcciones IP y los dominios han sido "desactivados" intencionadamente (por ejemplo, [.]) para evitar la resolución o el enlace accidental. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/langflow-cve-2026-33017-exploited/