Sysdig: KI-Agent führte durch Langflow-Schwachstelle einen vollständigen Ransomware-Angriff durch

Sicherheitsforscher von Sysdig erklären, offenbar den ersten Ransomware-Angriff identifiziert zu haben, der von Anfang bis Ende durch einen KI-Agenten ausgeführt wurde. Die von dem Unternehmen unter dem Namen JADEPUFFER erfasste Aktivität begann mit der Ausnutzung einer bekannten Schwachstelle in Langflow, einer Open-Source-Plattform zum Erstellen von KI-Anwendungen und Agenten-Workflows.

Der anfängliche Zugriff erfolgte über CVE-2025-3248, eine Schwachstelle zur nicht authentifizierten Remotecodeausführung, über die Angreifer Python-Code auf einem erreichbaren Langflow-Server ausführen können, ohne sich anzumelden. Obwohl die Schwachstelle in Langflow 1.3.0 behoben und 2025 in die Liste der bekannten, von Angreifern ausgenutzten Schwachstellen von CISA aufgenommen wurde, waren laut Sysdig weiterhin ungepatchte Systeme im Internet erreichbar.

Nach dem Zugriff bewegte sich der Agent Berichten zufolge schnell durch die Umgebung des Opfers. Laut Sysdig suchte er nach Geheimnissen wie API-Schlüsseln für KI-Plattformen, Cloud-Zugangsdaten und Datenbankanmeldungen. Die Angreifer griffen außerdem auf einen MinIO-Speicherserver zu, der noch die Standardzugangsdaten verwendete. Sysdig zufolge stellte der Agent anschließend Persistenz her, indem er eine geplante Aufgabe erstellte, die in regelmäßigen Abständen einen externen Server kontaktierte.

Datenbanken und Konfigurationsdaten im Visier

Die Kampagne konzentrierte sich letztlich auf ein separates System mit MySQL und Alibaba Nacos, einer Plattform für Dienstkonfiguration und -erkennung, die häufig in Microservice-Umgebungen eingesetzt wird. Laut Sysdig meldete sich der Agent als Root-Benutzer bei der MySQL-Datenbank an und nutzte anschließend ältere Schwachstellen in Nacos sowie einen standardmäßigen Signaturschlüssel, um die Kontrolle über die Plattform zu übernehmen. Von dort aus erstellte er ein eigenes Administratorkonto und verschlüsselte 1.342 Nacos-Konfigurationseinträge.

Die Lösegeldforderung verlangte Bitcoin und enthielt eine Proton-Mail-Adresse zur Kontaktaufnahme. Sysdig zufolge wurde der bei dem Angriff verwendete Verschlüsselungsschlüssel spontan generiert, nur einmal angezeigt und weder gespeichert noch übertragen. Dadurch gab es für das Opfer praktisch keine Möglichkeit, die Daten wiederherzustellen, selbst wenn es die Zahlung geleistet hätte.

Warum Forscher von einer Beteiligung künstlicher Intelligenz ausgehen

• Die Angriffspayloads enthielten ausführliche Erklärungen in natürlicher Sprache zu jedem einzelnen Schritt.
• Der Angreifer korrigierte Fehler innerhalb von Sekunden, was auf Entscheidungen mit Maschinengeschwindigkeit hindeutet.
• Sysdig zählte während des Eindringens mehr als 600 unterschiedliche Payloads.

Die Forscher erklären, der Vorfall zeige, wie KI-Tools die Einstiegshürde für komplexe Angriffe senken könnten, indem sie bekannte Techniken gegen vernachlässigte Systeme miteinander verknüpfen. Ihre Empfehlungen bleiben vertraut: Setzen Sie internetexponierte Software zeitnah mit Patches instand, speichern Sie keine Geheimnisse in aus dem Internet erreichbaren Umgebungen und beschränken Sie den Zugriff auf Datenbanken und Verwaltungsdienste.