JADEPUFFER Agentische Ransomware: Erste End-to-End-LLM-Erpressung über CVE-2025-3248 (2026)

I. Warum das E-E-A-T-relevant ist

1. ATA vs. klassische Ransomware verwechseln: JADEPUFFER ist kein neues Verschlüsselungsverfahren, sondern ein Ausführungsmodell — ein LLM-Agent verknüpft Recon, Credential-Harvest, Laterale Bewegung und Zerstörung ohne menschliche Zwischenschritte.
2. Langflow als vergessene Angriffsfläche: CVE-2025-3248 ist seit April 2025 gepatcht und seit Mai 2025 in CISA KEV — viele Instanzen bleiben dennoch öffentlich erreichbar und enthalten LLM-API-Keys.
3. Unrecoverable trotz Lösegeld: Der uuid4-AES-Schlüssel wurde nie persistiert — Zahlung hilft nicht. Das muss in Incident-Response-Playbooks stehen.

II. JADEPUFFER & Agentic Threat Actor (ATA)

Michael Clark (Director of Threat Research, Sysdig) bewertet JADEPUFFER als ersten dokumentierten Fall agentischer Ransomware: eine vollständige Erpressungsoperation, die End-to-End von einem LLM gesteuert wurde. Sysdig führte die Kategorie Agentic Threat Actor (ATA) ein — ein Operator, dessen Fähigkeit von einem KI-Agenten statt von einem menschlich gesteuerten Toolkit kommt.

III. CVE-2025-3248: Langflow-RCE

Langflow ist ein Open-Source-Framework für LLM-Apps und Agent-Workflows (70.000+ GitHub-Stars). CVE-2025-3248 betrifft /api/v1/validate/code:

• CVSS 9,8 — fehlende Authentifizierung + Code-Injection (CWE-94/CWE-306)
• Der Endpunkt kompiliert und führt User-Code via ast.parse() → compile() → exec() ohne Sandbox aus
• Exploit-Trick: Python-Decorators und Default-Argumente werden beim Definieren der Funktion sofort ausgewertet — RCE ohne Login
• Fix ab Langflow 1.3.0 (JWT/x-api-key-Pflicht); CISA KEV seit 5. Mai 2025

Sysdig betont: Langflow-Hosting ist attraktiv, weil Umgebungsvariablen oft OpenAI-, Anthropic-, DeepSeek-, Gemini-Keys sowie Cloud-Credentials (ALIBABA_, AWS_, GCP_) enthalten.

IV. Zweistufige Angriffskette

Phase 1 — Langflow (Initial Access)

1. Recon & Credential-Harvest: Parallel-Scan nach LLM-API-Keys, Cloud-Creds, Wallets, DB-Passwörtern
2. Postgres-Dump: Langflow-eigene DB exportiert, lokal geprüft, Spuren gelöscht
3. MinIO adaptiv: Probe auf minio.internal:9000 / 127.0.0.1:9000 mit minioadmin:minioadmin; bei ?format=json kam XML — nächster Payload passte sofort den XML-Parser an; terraform-state-Bucket und credentials.json extrahiert
4. Persistenz: Crontab-Beacon alle 30 Min. zu 45.131.66[.]106:4444

Phase 2 — MySQL + Nacos (echtes Ziel)

1. Nacos-Übernahme: CVE-2021-29441-Bypass, JWT-Forgery mit Default-token.secret.key, Backdoor-Admin xadmin per DB-Injection
2. 31-Sekunden-Fix: Login scheiterte (subprocess-PATH → leerer bcrypt-Hash); Agent diagnostizierte, löschte Account, nutzte import bcrypt direkt — Login erfolgreich
3. Container-Escape-Survey: ~8 Min. MySQL LOAD_FILE/INTO OUTFILE-Probes (docker.sock, /proc/1/cgroup), dann Cleanup-Marker
4. Ransomware: Alle 1.342 Nacos-config_info-Einträge via AES_ENCRYPT() → config_info_enc; Originale + his_config_info gedroppt; Tabelle README_RANSOM mit Bitcoin + Proton-Mail
5. Massenzerstörung: DROP DATABASE mit ROI-Kommentaren; bei FK-Fehler nächster Payload mit SET GLOBAL FOREIGN_KEY_CHECKS=0

V. Vier unabhängige Autonomie-Beweise (Sysdig)

1. Selbst-narrativer Code: Payloads voller NL-Kommentare (ROI-Priorisierung, „größte DB“, Schritt-Zweck) — typisch für LLM-Codegen, selten für menschliche Einzeiler
2. Maschinelle Fehlerkorrektur: Nacos-Backdoor in 31 Sekunden; MinIO JSON→XML-Anpassung; JWT-Pfad bei „custom secret“ sofort verworfen; FK-Constraint-Fix bei DROP
3. Verständnis natürlichsprachlicher Kontexte: Agent reagierte auf freien Text im Ziel — nicht nur Pattern-Matching; wiederholt über Wochen getrennte Sessions
4. Bitcoin-Adress-Rätsel: Kanonisches Trainingskorpus-Beispiel vs. kontrolliertes Wallet — nicht unterscheidbar ohne System-Prompt-Zugriff

VI. Bitcoin-Adress-Rätsel

Die Lösegeld-Adresse 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy ist das kanonische P2SH-Beispiel aus Bitcoin-Core-Dokumentation — massiv in LLM-Trainingsdaten. On-Chain: 737 Transaktionen, ~46 BTC eingegangen, Saldo null (sofort weitergeleitet).

Sysdig: Entweder (a) LLM-Halluzination aus Trainingsdaten oder (b) absichtlich gewählte, kontrollierte Wallet — ohne Agent-Konfiguration nicht entscheidbar. E-Mail e78393397@proton.me und Tabelle README_RANSOM haben keine Threat-Intel-Treffer — untypisch für etablierte MySQL-Ransomware-Kampagnen.

VII. Indicators of Compromise (IOC)

VIII. Sysdig-Abwehrempfehlungen

• Langflow auf CVE-2025-3248-Fix patchen; Code-Validierungs-Endpunkte nicht ins Internet
• Runtime-Threat-Detection für DB-Prozesse
• Keine LLM-API-Keys/Cloud-Creds in Agent-Orchestrierungs-Umgebungen — Secrets Manager nutzen
• Nacos härten: token.secret.key ändern, nicht öffentlich, kein root-DB-Zugriff
• DB-Admin-Konten nicht öffentlich; starke Credentials + Source-IP-Beschränkung
• Egress-Kontrollen gegen beliebige Beacon-Ziele
• IOC-Monitoring, verdächtige Cron-Jobs, bracket-wrapped User-Agent-Anomalien

IX. Branchenreaktion: Vibhum Dubey & LLMjacking

„Ich würde das eher als Evolution der Ausführung sehen, nicht als völlig neue Ransomware-Technik. Automatisierte Recon und Credential-Theft gibt es seit Jahren — neu ist, dass der Agent Phasen autonom verknüpft, ohne auf den nächsten menschlichen Befehl zu warten.“ — Vibhum Dubey, unabhängiger Security-Forscher (CSO Online)

Dubey warnt: Die gefährlichste Phase ist die stille Vorphase vor der Verschlüsselung — der Agent kartiert Identitäten, Vertrauensketten und wechselt Taktik bei Blockade. Jeder Angriff kann leicht anders aussehen.

LLMjacking: Wenn der Agent mit gestohlenen Credentials läuft (wie bei Langflow-Harvest), sinken die Kosten laut Sysdig nahezu auf null — die Skill-Schwelle für Ransomware entspricht nur noch den Kosten eines Agent-Laufs.

X. Sysdig: Vier Schlussfolgerungen

1. Ransomware ist nicht mehr nur für Experten: Ein LLM-Agent verknüpft Recon bis Zerstörung — der Operator braucht keine Tiefe in jedem Schritt
2. Alte CVEs werden automatisiert: 2021er Nacos-Bypass + Default-Key gegen vernachlässigte Internet-Exposition — Agents machen „gesamtes CVE-Katalog-Spraying“ praktisch kostenlos
3. Intent ist lesbar — Detection-Chance: Selbst-Narration in Payloads ist ein neuer Triage-Hebel für Defender
4. „Backup“-Behauptung unverifiziert: Kommentar zu 64.20.53[.]230 ist Agent-Selbstbehauptung; AES-Key unrecoverable — Konfigurationen verloren trotz Zahlung

XI. 5-Schritt-Abwehr-Runbook

1. Langflow-Inventar: Alle Instanzen finden; Version ≥ 1.3.0? Öffentlich erreichbar? /api/v1/validate/code von außen blockieren
2. Secret-Hygiene: API-Keys aus Langflow-/Agent-Umgebungen in Vault/Secrets Manager; Rotation nach Exposure-Risiko
3. Nacos/MySQL-Härtung: Default-JWT-Key rotieren, Auth-Bypass-Patches, kein Root von außen, IP-Allowlists
4. IOC & Verhalten: C2-IPs, README_RANSOM, 30-Min-Cron-Beacons, ungewöhnliche MySQL-AES_ENCRYPT-Massenoperationen
5. Isolation für AI-Workloads: Agent-Orchestrierung in segmentierten, auditierbaren Knoten — nicht auf dem Laptop oder einem generischen Linux-VPS mit offenen Ports

Harte Datenpunkte: 600+ Payloads · 31 s Nacos-Fix · 1.342 verschlüsselte Configs · 737 BTC-TX auf Beispiel-Adresse · CISA KEV seit Mai 2025.

XII. FAQ

Was ist JADEPUFFER?

Erster dokumentierter End-to-End-LLM-Ransomware-Fall (Sysdig, Juli 2026), Operator-Name für einen ATA.

Ist die Verschlüsselung AES-256?

Die Notiz behauptet AES-256; MySQL AES_ENCRYPT() defaultet zu AES-128-ECB — praktisch irrelevant, da der Schlüssel verloren ist.

Woher kamen die MySQL-Root-Credentials?

Sysdig beobachtete keine Harvest-Quelle im Opfer — möglicherweise vom Operator vorbereitet.

Was unterscheidet ATA von Script-Kiddies?

Adaptive Fehlerdiagnose, selbst-narrative Payloads und kohärente Multi-Phasen-Entscheidungen in Sekunden — nicht statische Exploit-Kits.

Soll ich Langflow auf einem Mac/VPS hosten?

Nur hinter VPN/Firewall, gepatcht, ohne Production-Secrets in der Umgebung — siehe CTA unten.

XIII. Quellen

• Sysdig TRT: JADEPUFFER: Agentic ransomware for automated database extortion (1. Juli 2026) — Michael Clark
• BleepingComputer, Dark Reading, CyberScoop, Security Affairs — Medienberichte Juli 2026
• CSO Online: Vibhum Dubey — Ausführungs-Evolution vs. neue Technik
• Trend Micro — CVE-2025-3248 / Flodrix (separate Kampagne, gleicher Entry-CVE)
• CISA Known Exploited Vulnerabilities — CVE-2025-3248 (5. Mai 2025)

Langflow, Nacos oder OpenClaw auf einem öffentlichen Linux-VPS oder dem Entwickler-Laptop zu betreiben, bedeutet: API-Keys in Umgebungsvariablen, offene Validierungs-Endpunkte und keine macOS-native Auditierbarkeit. Für isolierte AI-Agent-Produktion — Langflow hinter VPN, OpenClaw-Gateway, JSONL-Observability, launchd 7×24 — ist ein dedizierter VPSMAC M4 Mac-Cloud-Host die stabilere Wahl: segmentierte Secrets, kein Docker-Overhead für Apple-Toolchains, reproduzierbare Incident-Response statt „schnell mal Langflow auf Port 7860“.