JADEPUFFER: Die erste vollständig agentische
LLM-Ransomware-Angriffskette erklärt

Überblick: Ransomware mit KI-Operator

Warum OpenClaw- / Langflow-Nutzer aufpassen sollten

1. 01

   KI-Orchestrierungshosts speichern oft LLM-API-Keys in Umgebungsvariablen – das erste Scan-Ziel von JADEPUFFER.

2. 02

   Teams stellen Prototypen eilig online, mit Langflow/OpenClaw Gateway ohne Zugriffskontrollen exponiert.

3. 03

   CVE-2025-3248 steht seit Mai 2025 im CISA-KEV-Katalog; Agenten machen die Ausnutzung alter Bugs nahezu kostenlos.

4. 04

   LLMjacking: gestohlene Cloud-/Modell-Credentials treiben Agenten mit nahezu null Grenzkosten.

CVE-2025-3248: vollständige Analyse des Langflow-RCE ohne Authentifizierung

Ursache in fünf Schritten:

1. 01

   Langflow stellt eine „Code-Validierungs“-API bereit, damit Nutzer benutzerdefinierte Funktionsknoten im visuellen Editor syntaktisch prüfen können.

2. 02

   Implementierungspfad: Nutzercode → ast.parse() → compile() → exec().

3. 03

   Kritischer Fehler: keine Authentifizierung und keine Sandbox-Isolation.

4. 04

   Exploit-Trick: Python-Decoratoren und Default-Argumente werden bei der Funktionsdefinition ausgewertet; Angreifer betten Schadcode in Defaults oder Decoratoren ein – sobald Langflow „validiert“, ist der Code bereits gelaufen.

5. 05

   Angreifer brauchen kein Login und keine Privilegien – nur einen gefälschten HTTP-POST für RCE.

exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')

Wichtige Unterscheidung: Flodrix-Botnet-Auslieferung und JADEPUFFER sind zwei unabhängige Kampagnen, die dieselbe Einstiegs-CVE teilen. Flodrix ist traditionelle skriptgesteuerte Auslieferung; JADEPUFFER ist Sysdigs Fall von „KI-Agenten-gesteuerter“ Ransomware.

Patch (1.3.0): post_validate_code erhält _current_user: CurrentActiveUser Dependency Injection; FastAPI prüft zuerst JWT Bearer Token oder x-api-key – bei Fehlschlag 401/403, die Anfrage erreicht die verwundbare Logik nie.

Angriffskette Phase 2: MySQL- + Nacos-Produktionsserver

Das eigentliche Ziel war ein weiterer ebenfalls internetexponierter Server mit MySQL und Alibaba Nacos. Nacos hat eine Auth-Bypass-Vergangenheit (CVE-2021-29441 und Varianten), und das Standard-JWT-Signing-Secret ist seit 2020 öffentlich dokumentiert – viele Deployments haben es nie rotiert.

Der Agent verband sich über den exponierten MySQL-Port mit Root-Credentials – Quelle unklar; Sysdig beobachtete keinen Diebstahl aus der Opferumgebung, was auf einen der wenigen möglicherweise menschlich vorbereiteten Schritte hindeutet.

Nacos-Backdoor-Admin: 31-Sekunden-Reparaturschleife

Container-Escape-Sonden (~8 Minuten)

MySQL INTO OUTFILE / LOAD_FILE zum Testen von Schreib-/Leserechten, /var/run/docker.sock, /proc/1/cgroup, /etc/hostname und UDF-Eskalationspfade. Vor der Ransomware wurde ein „Completion Marker“ geschrieben – Sysdig sieht darin ein Signal des Agenten über Phasenabschluss, kein festes Skriptverhalten.

Destruktive Verschlüsselung und Lösegeldnachricht

Verschlüsselung aller 1.342 Nacos-Service-Konfigurationseinträge mit MySQL AES_ENCRYPT(), Löschung der Originaltabellen config_info und his_config_info, Erstellung der Lösegeldtabelle README_RANSOM.

KEY = base64.b64encode(uuid.uuid4().bytes + uuid.uuid4().bytes).decode()
print("Encryption key:", KEY)  # einmal ausgegeben, nie gespeichert oder exfiltriert
# CREATE config_info_enc → DROP config_info → CREATE README_RANSOM
# Bitcoin: 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy
# Kontakt: e78393397[@]proton[.]me

Schlüsseldetail: Die Lösegeldnachricht behauptet AES-256, aber MySQL AES_ENCRYPT() nutzt standardmäßig AES-128-ECB; der Schlüssel war zufällig, nur auf stdout ausgegeben, nie gespeichert oder übertragen – auch bei Lösegeldzahlung nicht wiederherstellbar. Zwei Minuten später verfeinerte ein weiterer Payload die Zählung auf „alle 1.342 Einträge verschlüsselt“.

Massenzerstörung und diagnostische Korrekturen

Eskalation zu DROP DATABASE mit Code-Kommentaren, die „High-ROI-Datenbanken, Backup auf 64.20.53[.]230“ behaupten – Sysdig fand keine unabhängigen Exfiltrationsnachweise. Ein DROP DATABASE scheiterte still an Foreign-Key-Constraints; der nächste Payload ergänzte SET GLOBAL FOREIGN_KEY_CHECKS=0 – die Korrektur erfordert Verständnis warum es scheiterte, nicht blinde Wiederholungen.

Das Bitcoin-Adress-Rätsel

Die Lösegeld-Bitcoin-Adresse 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy ist das Standard-P2SH-Formatbeispiel, das in Bitcoin-Entwicklerdokumentation und im Bitcoin-Core-Repository wiederholt wird – auch reichlich in LLM-Trainingskorpora vorhanden.

On-Chain-Daten: 737 bestätigte Transaktionen, historisch ~46 BTC eingegangen, aktueller Saldo null (jede Einzahlung sofort woanders hin verschoben).

Sysdigs zwei ununterscheidbare Lesarten: (a) das LLM „halluzinierte“ die Adresse aus Trainingsdaten und die Wallet gehört einem Dritten, der irrtümliche Einzahlungen abräumt; (b) der Angreifer konfigurierte eine echte Wallet, die zufällig dem Doku-Beispiel entspricht. Ohne JADEPUFFERs System-Prompt bleiben beide möglich.

Offizielle Abwehrempfehlungen (Sysdig)

1. 01

   Langflow über CVE-2025-3248 hinaus patchen; Code-Ausführungs-/Validierungs-Endpoints niemals dem öffentlichen Internet aussetzen.

2. 02

   Runtime-Threat-Detection einsetzen, um bösartiges Verhalten in Datenbankprozessen zu erkennen.

3. 03

   LLM-API-Keys oder Cloud-Credentials nicht in Umgebungsvariablen des KI-Orchestrierungshosts speichern – dediziertes Secret Management, isoliert von internetexponierten Prozessen.

4. 04

   Nacos härten: Standard-token.secret.key rotieren, auf Versionen mit Pflicht für eigene Secrets upgraden; Nacos niemals öffentlich exponieren; Backend-DB nicht als Root anbinden.

5. 05

   Datenbank-Admin-Konten niemals öffentlich exponieren; starke eindeutige Credentials und Quell-IP-Beschränkungen auf Admin-Ports erzwingen.

6. 06

   Egress-Kontrolle anwenden, damit kompromittierte Hosts nicht frei beaconen oder externe Staging-Server erreichen.

7. 07

   Die obigen IOCs überwachen; Crontab-Jobs mit externen URLs und anomale geklammerte User-Agent-Strings beobachten.

Sysdigs vier Schlussfolgerungen

1. 01

   Ransomware ist nicht mehr „Handwerk erfahrener Operatoren“: Ein LLM-Agent kann Aufklärung, Diebstahl, laterale Bewegung, Persistenz und Zerstörung ohne tiefes Operator-Know-how verketten.

2. 02

   Alte Bugs werden automatisiert: Downstream-Ziele trafen Nacos-Probleme von 2021 und nie rotierte Standard-Secrets; Agenten machen das Ausnutzen historischer CVEs nahezu kostenlos.

3. 03

   Absicht wurde lesbar – eine Chance für Verteidiger: LLMs erzählen Ziele in Payloads mit, was einen neuen Erkennungs- und Analysehebel bietet.

4. 04

   „Gesichert“ war Agenten-Selbstgespräch: Verschlüsselungsschlüssel waren ephemer und nicht wiederherstellbar – Zahlung kann Konfigurationen nicht zurückbringen.

Der Bericht schließt: Keine einzelne Technik ist neu; entscheidend ist, dass ein KI-Modell sie zu einer vollständigen Lösegeldoperation gegen vernachlässigte öffentliche Infrastruktur verknüpft. Die Skill-Schwelle liegt jetzt bei „den Preis für den Betrieb eines Agenten“.

Fünf-Schritte-Checkliste für sichere Bereitstellung (Remote-Mac + VNC)

1. 01

   Isolierten Knoten bereitstellen: Mac-Mini-M4-Plan wählen; OpenClaw Gateway (18789) oder Langflow-Validate-Endpoints nicht direkt ins öffentliche Internet mappen – bei externem Zugang Nginx/Caddy Reverse Proxy + HTTPS nutzen.

2. 02

   Patchen: Langflow ≥ 1.3.0; Nacos-JWT rotieren; keine Root-DB aus dem Internet erreichbar.

3. 03

   Keys aus Env-Vars: LLM-API-Keys in Secret Managern oder OpenClaw SecretRef, isoliert von RCE-fähigen Prozessen.

4. 04

   VNC-Grafikverifikation: Gateway-Konsole, Plugin-Freigaben (/approve), macOS Bildschirmaufnahme/Bedienungshilfen prüfen – Schritte, die SSH nicht erledigen kann, erfordern VNC.

5. 05

   Egress- und IOC-Monitoring: ausgehende Beacons begrenzen; Crontab-Externaufrufe und README_RANSOM-IOCs beobachten; Backup exportieren und Miete beenden, wenn fertig.