Sicherheitsfirma Sysdig dokumentiert ersten Ransomware-Angriff, der vollständig von einem KI-Agenten ausgeführt wird

Das Sicherheitsunternehmen Sysdig gibt bekannt, dass es den ersten Ransomware-Angriff dokumentiert hat, der von Anfang bis Ende von einem autonomen KI-Agenten durchgeführt wurde, ohne dass ein menschlicher Bediener den Eindringling steuerte. Das Bedrohungsforschungsteam von Sysdig hat die Operation JADEPUFFER genannt und berichtet, dass ein großes Sprachmodell unabhängig jede Phase des Angriffs bewältigte: Eindringen, Sammeln von Anmeldeinformationen, tieferes Vordringen in das Zielnetzwerk und schließlich Verschlüsselung und Zerstörung einer Produktionsdatenbank eines Unternehmens.

Ein alter, nicht gepatchter Bug als Einstiegspunkt

JADEPUFFER gelangte über CVE-2025-3248 herein, eine Schwachstelle für fehlende Authentifizierung in Langflow, einem Open-Source-Framework zum Erstellen von KI-Anwendungen und Agenten-Workflows. Der Fehler erlaubt jedem, der einen exponierten Langflow-Server erreichen kann, ohne Anmeldung eigenen Python-Code darauf auszuführen. Er wurde in Langflow 1.3.0 gepatcht und im Mai 2025 in den Katalog bekannter ausgenutzter Schwachstellen der CISA aufgenommen – aber viele internetzugängliche Instanzen wurden nie aktualisiert, und Langflow-Server sind gerade deshalb attraktive Ziele, weil sie meist exponiert sind und API-Schlüssel sowie Cloud-Anmeldeinformationen für die Dienste enthalten, mit denen sie verbunden sind.

Autonom, anpassungsfähig und gründlich

Einmal drinnen, kartierte der Agent den kompromittierten Rechner und sammelte systematisch API-Schlüssel für KI-Dienste wie OpenAI, Anthropic, DeepSeek und Gemini sowie Cloud-Anmeldeinformationen für AWS, Google Cloud, Azure und die chinesischen Anbieter Alibaba und Tencent, dazu Kryptowährungs-Wallet-Schlüssel und Datenbank-Logins. Er fand einen MinIO-Speicherserver, der noch mit seinen werkseitigen Standard-Anmeldeinformationen lief, und pflanzte eine geplante Aufgabe, um dauerhaften Zugriff zu erhalten, wobei er alle 30 Minuten seinen Befehlsserver anpingte.

Der Agent wechselte dann zu seinem eigentlichen Ziel: einem separaten, internetzugänglichen Produktionsserver, der eine MySQL-Datenbank und den Nacos-Konfigurationsdienst von Alibaba ausführte. Sysdig sagt, es sei nicht genau klar, wie der Agent die Root-Anmeldeinformationen für die Datenbank erlangte, aber von dort aus nutzte er eine Authentifizierungsumgehung von 2021 in Nacos (CVE-2021-29441) unter Verwendung eines Standardsignaturschlüssels, den der Dienst seit 2020 unverändert ausliefert, und installierte sein eigenes Backdoor-Administratorkonto. Bemerkenswert ist, dass der Agent Echtzeit-Anpassungsfähigkeit zeigte, indem er einen fehlgeschlagenen Anmeldeversuch innerhalb von 31 Sekunden ohne menschliche Führung korrigierte.

Eine Lösegeldforderung ohne Zahlungsmöglichkeit

In der Endphase verschlüsselte JADEPUFFER 1342 Nacos-Konfigurationseinträge, löschte die ursprünglichen Datenbanktabellen und hinterließ eine Lösegeldforderung, die Bitcoin mit einer Proton-Mail-Kontaktadresse verlangte. Der Agent generierte einen zufälligen Verschlüsselungsschlüssel, zeigte ihn einmal an und speicherte oder übertrug ihn nie – was bedeutet, dass die Daten selbst dann nicht wiederherstellbar sind, wenn ein Opfer zahlen würde. Sysdig fand auch keine Beweise, die die Behauptung des Agenten in der Lösegeldforderung stützen, dass Daten vor der Verschlüsselung exfiltriert worden seien; die Forscher glauben, dass die Behauptung vom Modell selbst erfunden wurde.

Was dies für Verteidiger bedeutet

Ransomware erforderte traditionell an irgendeinem Punkt der Kette einen qualifizierten menschlichen Bediener, sei es an der Tastatur oder beim Schreiben der Automatisierung, der die Malware folgt. Sysdigs Erkenntnis deutet darauf hin, dass diese Hürde sinkt: Wenn ein allgemeines Sprachmodell selbstständig Aufklärung, Diebstahl von Anmeldeinformationen, laterale Bewegung und zerstörerische Verschlüsselung verketten kann, sinkt die für die Durchführung einer ernsthaften Ransomware-Operation erforderliche Fähigkeit auf das, was es kostet, Zugang zu einem leistungsfähigen KI-Agenten zu mieten. Sysdig fordert Unternehmen auf, auf Laufzeitverhaltenserkennung umzusteigen, anstatt sich auf statische Signaturen zu verlassen, da ein anpassungsfähiger Agent bekannte Kompromittierungsindikatoren auf eine Weise umgehen kann, die skriptbasierte Malware nicht kann.