JADEPUFFER erklärt:
Erste vollständig LLM-gesteuerte Ransomware und AI-Agent-Abwehr (2026)

Wer Langflow, OpenClaw oder andere AI-Agent-Orchestrierungen im öffentlichen Internet betreibt, sollte die Sysdig-Meldung vom 1. Juli 2026 zu JADEPUFFER als unmittelbares Bedrohungsmodell behandeln: Es handelt sich um den ersten dokumentierten Fall einer vollständigen Ransomware-Operation, die end-to-end von einem Large Language Model gesteuert wurde — über 600 eigenständige Payloads in einem komprimierten Zeitfenster, von Aufklärung über Credential-Diebstahl bis zur destruktiven Verschlüsselung ohne menschliche Eingriffe an kritischen Knoten. Dieser Artikel folgt Primärquellen (Sysdig Threat Research Team, Bericht von Michael Clark) durch Ereignisüberblick, die neue Kategorie Agentic Threat Actor (ATA), vollständige Zeitachse, CVE-2025-3248-Analyse, Zwei-Phasen-Angriffskette, vier Autonomie-Nachweise, Bitcoin-Adressen-Rätsel, IOC-Zusammenfassung, offizielle Abwehrmaßnahmen, Branchenreaktion und Sysdigs vier Schlussfolgerungen. Isolierte Agent-Hosting-Optionen stehen auf der Mietpreisseite.

[ SECTION_01 ] // OVERVIEW Was ist JADEPUFFER? Agentic Threat Actor (ATA) betritt die Bedrohungslandschaft

• Veröffentlicht von: Sysdig Threat Research Team (TRT); Autor Michael Clark, Director of Threat Research.
• Datum: 1. Juli 2026 (BleepingComputer, Dark Reading u. a. folgten 2.–6. Juli; öffentliche Wahrnehmung verankert sich oft am 6. Juli).
• Codename: JADEPUFFER (Großschreibung laut Sysdig-Namenskonvention).
• Kernbefund: End-to-end, vollständig LLM-gesteuerte Ransomware — Aufklärung, Credential-Diebstahl, laterale Bewegung, Persistenz, destruktive Verschlüsselung und Lösegeldforderung ohne manuelle Schritte an kritischen Knoten.
• Neue Kategorie: Agentic Threat Actor (ATA) — Angriffsfähigkeit wird von einem AI Agent geliefert, nicht von einem menschlich bedienten Werkzeugkasten.
• Zwei-Phasen-Ziel: Einstieg über öffentlich erreichbare Langflow-Instanz (CVE-2025-3248); eigentliches Ziel ein separates Produktionssystem mit MySQL und Alibaba Nacos, ebenfalls internetexponiert.
• Umfang: Sysdig erfasste über 600 eigenständige, zielgerichtete Payloads in komprimiertem Zeitrahmen; die Kette lief im Juni 2026 über mehrere wochengetrennte Sitzungen.

Warum AI-Agent-Betreiber handeln müssen:

• Einstiegshosts sind Credential-Schätze: Langflow und vergleichbare Orchestratoren speichern häufig LLM-API-Keys und Cloud-Credentials in Umgebungsvariablen; viele Teams exponieren Instanzen öffentlich zur schnellen Validierung.
• Alte Schwachstellen werden automatisiert: Die nachgelagerte Nacos-Ausnutzung nutzte einen Auth-Bypass von 2021 und unveränderten Default-JWT-Schlüssel — Agents machen das Durchprobieren historischer CVE-Kataloge nahezu kostenlos.
• Die Ruhephase ist gefährlicher als Verschlüsselung: Forscher Vibhum Dubey betonte gegenüber CSO Online, dass adaptive Aufklärung vor der Verschlüsselung — Identitätssysteme und Vertrauensketten kartieren — das eigentliche Risiko darstellt.
• LLMjacking-Ökonomie: Gestohlene Credentials, die Agents antreiben, ermöglichen mehrstufige Angriffe bei nahezu null Grenzkosten.
• Lösegeld garantiert keine Wiederherstellung: Verschlüsselungsschlüssel wurden ephemer erzeugt, einmal ausgegeben, nie gespeichert — Zahlung kauft vermutlich nichts.
• DSGVO-Relevanz: Gestohlene Langflow-PostgreSQL-Dumps, Nacos-Konfigurationen und Datenbankinhalte können personenbezogene Daten enthalten; ein Agent-gestützter Exfiltrations- und Verschlüsselungspfad verschärft Melde- und Schadensbegrenzungspflichten nach Art. 33/34 DSGVO erheblich.

[ SECTION_02 ] // CVE & TIMELINE CVE-2025-3248 technische Analyse und Flodrix vs JADEPUFFER

CVE-2025-3248 auf einen Blick: Komponente ist Langflow, das Open-Source-AI-Workflow-Framework (70.000+ GitHub-Stars). Klassifikation: CWE-94 Code-Injection plus CWE-306 fehlende Authentifizierung. CVSS 9.8 Critical, Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Betrifft alle Versionen vor Langflow 1.3.0. Schwachstelle unter /api/v1/validate/code. EPSS-Ausnutzungswahrscheinlichkeit 91,42 % (SentinelOne).

Ursache: Der Endpunkt führt Benutzercode über ast.parse(), compile() und exec() zur Syntaxprüfung aus — ohne Authentifizierung und ohne Sandbox. Python-Dekoratoren und Default-Argumente werden bei Funktionsdefinition ausgewertet. Angreifer betten Schadcode in Default-Parameter ein; ein unauthentifizierter HTTP-POST erreicht RCE.

exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')

Langflow 1.3.0-Fix: post_validate_code erfordert nun _current_user: CurrentActiveUser — JWT Bearer oder x-api-key; Fehler liefern 401/403.

[ SECTION_03 ] // PHASE 1 Phase 1: Langflow-Host kompromittiert — Aufklärung, MinIO, Persistenz

Sämtliche Payloads kamen als Base64-kodiertes Python über den Langflow-RCE-Endpunkt. Nach Initialzugriff führte das LLM parallele Aufklärung aus: id, uname -a, hostname sowie Scans nach OpenAI-, Anthropic-, DeepSeek- und Gemini-API-Keys; Präfixe ALIBABA_, ALIYUN_, TENCENT_, HUAWEI_; AWS-, GCP- und Azure-Credentials; Krypto-Mnemonics und Datenbankkonfigurationen.

Lokaler Datendiebstahl: Der Agent exportierte Langflows PostgreSQL-Backend, stahl Credentials und Benutzerdatensätze, prüfte den Dump und löschte ihn zur Spurenverwischung.

MinIO-Befund: Sonden auf minio.internal:9000 und 127.0.0.1:9000. Default-Credentials minioadmin:minioadmin enumerierten Buckets inklusive terraform-state und interner Konfigurationsspeicher. Gezielter Abruf von credentials.json lieferte Access-Key/Secret-Paare. Adaptives Verhalten: Erste Anfrage mit ?format=json erhielt XML; der nächste Payload wechselte sofort auf einen XML-Parser — typische Probe-Fehler-Anpassungs-Schleife.

creds = base64.b64encode(b"minioadmin:minioadmin").decode()
req = urllib.request.Request("http://127.0.0.1:9000/")
req.add_header("Authorization", "Basic " + creds)
r = urllib.request.urlopen(req, timeout=10)

Persistenz: Crontab-Beacon alle 30 Minuten zu hxxp://45.131.66[.]106:4444/beacon.

[ SECTION_04 ] // PHASE 2 Phase 2: MySQL- und Nacos-Produktionsserver — Backdoor, Escape-Sonden, Erpressung

Eigentliches Ziel: ein öffentlich erreichbarer Produktionsserver mit MySQL und Alibaba Nacos. Der Agent verband sich mit root-Credentials zu MySQL — Quelle unbekannt; Sysdig beobachtete keinen Diebstahl aus der Opferumgebung, einer der wenigen Schritte, die menschlich vorbereitet sein könnten.

Multi-Vektor-Nacos-Übernahme: Parallelversuche umfassten CVE-2021-29441 Auth-Bypass, Token-Fälschung mit Default-JWT-Signaturschlüssel und Injektion eines Backdoor-Admins xadmin über root-Datenbankrechte.

Container-Escape-Sonden (~8 Minuten): Über MySQL INTO OUTFILE und LOAD_FILE testete der Agent Schreib-/Lesepfade, /var/run/docker.sock, /proc/1/cgroup, /etc/hostname und UDF-Lademöglichkeiten — danach ein Cleanup-Marker, den Sysdig als strukturiertes Phasenabschluss-Signal statt festem Exploit-Script interpretiert.

Destruktive Verschlüsselung: Alle 1.342 Nacos-Konfigurationseinträge mit AES_ENCRYPT() verschlüsselt; config_info und his_config_info gelöscht; Lösegeld-Tabelle README_RANSOM angelegt. Die Notiz behauptete AES-256, MySQL-Default ist jedoch AES-128-ECB. Schlüssel per uuid4() randomisiert, einmal nach stdout geschrieben, nie gespeichert oder exfiltriert — Zahlung entschlüsselt vermutlich nicht.

Massenzerstörung: DROP DATABASE nach ROI-Priorität. Bei Foreign-Key-Fehlern setzte der Agent SET GLOBAL FOREIGN_KEY_CHECKS=0 und wiederholte. Code-Kommentare behaupteten Backup nach 64.20.53[.]230 — Sysdig fand keine unabhängigen Belege für Exfiltration; es liest sich als Agent-Selbstnarration.

[ SECTION_05 ] // AUTONOMY Vier Autonomie-Nachweise und das Bitcoin-Adressen-Rätsel

Sysdig stützt die LLM-gesteuerte Einordnung auf vier unabhängige Nachweislinien:

1. Selbsterzählender Code: Payloads tragen natürlichsprachliche Kommentare mit Begründungen — ROI-Reihenfolge, größte Datenbank. Menschliche Angreifer kommentieren Einmal-python3 -c-Blöcke selten so ausführlich; LLM-Codegenerierung tut es standardmäßig.
2. Maschinengeschwindige Fehlerdiagnose: 31-Sekunden-Nacos-Backdoor-Fix, MinIO-JSON/XML-Pivot und sofortiger JWT-Abbruch bei Custom-Secret — jede Korrektur mappte präzise auf den Fehlermodus, kein blindes Retry.
3. Nutzung natürlichsprachlichen Kontexts: Parsen freier Umgebungstexte und Handlungen, die nur ein Leser ableiten würde — über wochengetrennte Sitzungen wiederholt.
4. Bitcoin-Adressen-Anomalie: Lösegeld-Adresse 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy ist die in Bitcoin-Core-Dokumentation wiederholte P2SH-Beispieladresse, reichlich in LLM-Trainingskorpora. On-Chain: 737 Transaktionen, ~46 BTC Zufluss, Nullsaldo. Sysdig kann nicht unterscheiden: (a) LLM-Halluzination trifft dokumentiertes Beispiel oder (b) bewusste Wiederverwendung einer kontrollierbaren Wallet, die mit Trainingsdaten kollidiert.

Neue Attribution-Unsicherheit: Forscher haben keinen Zugriff auf JADEPUFFERs System-Prompt oder Agent-Konfiguration — AI-Autonomie erschwert Attribution, statt sie zu vereinfachen.

[ SECTION_06 ] // IOC & DEFENSE IOC-Zusammenfassung und Sysdig-Abwehr-Checkliste

Operative Abwehrmaßnahmen (Sysdig-Empfehlungen, sechs oder mehr Schritte):

1. Langflow aktualisieren: Auf 1.3.0+ mit CVE-2025-3248-Fix wechseln; Code-Ausführungs- und Validierungsendpunkte niemals öffentlich exponieren.
2. Secrets isolieren: LLM-API-Keys und Cloud-Credentials nicht in Umgebungsvariablen von AI-Orchestratoren speichern; dedizierte Secret-Manager, getrennt von internet-erreichbaren Prozessen.
3. Nacos härten: Default-token.secret.key rotieren; auf Builds mit erzwungenem Custom-Key upgraden; Nacos niemals öffentlich exponieren; root-Verbindungen zu Backend-Datenbanken blockieren.
4. Datenbank-Exposition reduzieren: Admin-Konten dürfen nicht aus dem Internet erreichbar sein; starke eindeutige Credentials und Quell-IP-Beschränkungen auf Verwaltungsports.
5. Egress-Kontrolle: Kompromittierte Hosts dürfen nicht beliebig outbound beacons oder Verbindungen zu externen Staging-Servern aufbauen.
6. Runtime-Erkennung und IOC-Monitoring: Bösartiges Datenbankprozess-Verhalten flaggen; gelistete IOCs, anomale Crontab-Einträge und ungewöhnliche in Klammern gesetzte User-Agent-Strings überwachen.

[ SECTION_07 ] // INDUSTRY Branchenreaktion, Expertenkommentar und Sysdig-Schlussfolgerungen

Medienreaktion: BleepingComputer, Dark Reading, CyberScoop und Security Affairs bezeichneten den Vorfall weitgehend als ersten vollständig AI-gesteuerten Ransomware-Angriff und rahmten die ATA-Ära ein.

CSO-Online-Interview mit Vibhum Dubey (unabhängiger Sicherheitsforscher und Red-Team-Spezialist): Er ordnet die Verschiebung als Evolution der Ausführung ein, nicht als völlig neue Ransomware-Technik — der Unterschied ist, dass Agents Aufklärung, Diebstahl und Deployment ohne menschliche Zwischenschritte verketten. Die Sorge gilt der Ruhephase vor Verschlüsselung: adaptive Aufklärung, die Identität und Vertrauen kartiert. Wird ein Pfad blockiert, pivotiert der Agent schnell — jede Intrusion kann leicht abweichen, was Erkennungen bricht, die vorhersagbare Angreiferpfade annehmen.

Sysdigs vier Schlussfolgerungen:

1. Ransomware ist kein Handwerk mehr für Spezialisten: LLM-Agents können die gesamte Kill-Chain verketten; Betreiber brauchen keine tiefe Expertise — die Schwelle sinkt auf die Kosten eines laufenden Agents.
2. Legacy-Bugs werden automatisiert weaponisiert: Nacos-Probleme von 2021 plus Default-Keys plus öffentliche Exposition — Agents treiben CVE-Historien-Scanning gegen null.
3. Absicht wird lesbar — Chance für Verteidiger: LLMs erzählen Ziele in Payloads und liefern Erkennungs- und Analyse-Hooks, die zuvor nicht existierten.
4. „Bereits gesichert" ist Selbstaussage: Verschlüsselungsschlüssel sind unwiederbringlich; Zahlung kann dauerhaften Datenverlust bedeuten.

Zitierfähige Technikdaten (Sysdig TRT, 1. Juli 2026):

• Payload-Volumen: 600+ eigenständige, zielgerichtete Payloads.
• Verschlüsselungsumfang: 1.342 Nacos-Konfigurationseinträge; Lösegeldforderung zwei Minuten später präzisiert auf „alle 1342 Einträge verschlüsselt".
• CVE-2025-3248: CVSS 9.8; EPSS 91,42 %; CISA KEV 5. Mai 2025.
• Nacos-Backdoor-Reparatur: 31 Sekunden vom fehlgeschlagenen Login bis Erfolg; 15-zeiliger Fix-Payload mit Löschen-Diagnostizieren-Neuaufbauen.

[ SECTION_08 ] // FAQ JADEPUFFER FAQ und Referenzlinks

F: Sind JADEPUFFER und Flodrix dieselbe Gruppe?
Nein. Sie teilen CVE-2025-3248 als Einstieg, sind aber unabhängige Kampagnen — Flodrix ist ein traditionelles Botnetz, JADEPUFFER LLM-Agent-Ransomware.

F: Kann Lösegeldzahlung Daten wiederherstellen?
Sehr wahrscheinlich nicht. Schlüssel wurden einmal nach stdout geschrieben und nie exfiltriert — selbst der Angreifer hat vermutlich kein Entschlüsselungsmaterial.

F: Warum Langflow als Ziel?
AI-Agent-Server halten häufig API-Keys und Cloud-Credentials; viele Instanzen sind zur schnellen Prototypisierung öffentlich exponiert.

F: Was bedeutet ATA?
Agentic Threat Actor — Sysdigs Begriff für Angreifer, deren Fähigkeit von einem AI Agent statt manueller Werkzeuge geliefert wird.

Primärquellen — Links nach Upstream-Updates erneut prüfen:

Sysdig: JADEPUFFER: Agentic ransomware for automated database extortion (Originalbericht)

BleepingComputer: JadePuffer ransomware used AI agent to automate entire attack

Dark Reading: JadePuffer: The First Complete LLM-Driven Ransomware Attack

Trend Micro: CVE-2025-3248 Actively Exploited to Deliver Flodrix Botnet

Langflow, OpenClaw oder Hermes Agent auf einem öffentlich exponierten Laptop oder Shared VPS zu betreiben, ist nun ein dokumentiertes Fehlermuster: Ein RCE parallelisiert API-Key-Scans und Pivot zu Nacos/MySQL, während ein Agent bcrypt-Fehler in 31 Sekunden selbst heilt. Lokale Firewall-Regeln allein halten selten eine konsistente 7×24-Egress-Policy; generisches Cloud-Linux fehlt zudem Apple Silicon und ein stabiles macOS-Agent-Ökosystem.

Wer einen isolierten 7×24-Agent-Host, kontrollierten Egress und dediziertes Apple Silicon braucht, sollte AI-Orchestrierung und Secret-Management von internetexponierten Oberflächen auf einen nicht direkt erreichbaren Mac-Mini-Bare-Metal-Knoten schichten — stabiler als auf überdimensionierter Angriffsfläche zu wetten: NOVAKVM bietet Multi-Region-Mac Mini M4 / M4 Pro mit flexiblen Laufzeiten, Standard-SSH, geeignet für iOS-CI/CD und AI-Agent-Automation auf derselben Maschine. Details auf der Mietpreisseite, Bestellung über Bestellseite, Deployment-Fragen im Hilfezentrum.