Erster kompletter Ransomware-Angriff durch einen KI-Agent entdeckt

Sicherheitsforscher haben erstmals einen vollständig automatisierten Ransomware-Angriff dokumentiert. Was die KI-Anbieter aktuell als Agentisierung bewerben, ist in kriminellen Kreisen also bereits in der Praxis erfolgreich.

KI agiert schnell und flexibel

Das von Experten des Sicherheitsunternehmens Sysdig untersuchte System erhielt den Namen "JadePuffer". Dem Bericht zufolge verschaffte sich der KI-gesteuerte Angreifer zunächst Zugang zu einer öffentlich erreichbaren Instanz der Software Langflow. Ausgenutzt wurde dabei die Sicherheitslücke CVE-2025-3248, die es Angreifern ermöglicht, ohne Authentifizierung beliebigen Python-Code auf dem betroffenen System auszuführen. Anschließend lief der Angriff weitgehend automatisiert ab.

Besonders auffällig war nach Angaben der Forscher das Verhalten des Systems. Die erzeugten Schadprogramme enthielten ausführliche Kommentare, Begründungen für einzelne Schritte und eine Priorisierung möglicher Ziele. Zudem reagierte die KI flexibel auf Fehlschläge und passte ihre Vorgehensweise in Echtzeit an. In einem dokumentierten Fall gelang es ihr innerhalb von rund einer halben Minute, nach einer fehlgeschlagenen Anmeldung eine funktionierende Alternative zu finden.


Nach dem Eindringen in ein System suchte JadePuffer gezielt nach Zugangsdaten und anderen geheimen Informationen. Dazu gehörten API-Schlüssel verschiedener KI-Anbieter, Cloud-Zugangsdaten, Datenbankkennungen sowie Informationen zu Kryptowährungs-Wallets. Um dauerhaft Zugriff zu behalten, richtete das System außerdem einen automatischen Rückrufmechanismus ein, der regelmäßig Kontakt zur Infrastruktur der Angreifer aufnahm.

Das eigentliche Ziel war laut Sysdig ein separater Produktionsserver mit einer MySQL-Datenbank und dem Konfigurationsdienst Nacos. Mithilfe von Root-Zugangsdaten für die Datenbank sowie weiterer Schwachstellen und Fehlkonfigurationen in Nacos verschaffte sich die KI weitreichende Kontrolle über das System. Anschließend legte sie einen versteckten Administratorzugang an und verschlüsselte mehr als 1300 Konfigurationseinträge.

Nicht kreativ, aber massentauglich

Wie bei klassischen Erpressungstrojanern hinterließ JadePuffer eine Lösegeldforderung samt Bitcoin-Adresse und Kontaktmöglichkeit. Allerdings stellten die Forscher fest, dass eine Zahlung den Betroffenen vermutlich nicht geholfen hätte. Die KI löschte im weiteren Verlauf große Teile der Datenbankstrukturen, ohne zuvor Sicherungskopien der verschlüsselten Daten anzulegen. Eine Wiederherstellung wäre daher selbst nach Zahlung des Lösegelds kaum möglich gewesen.

Die Experten empfehlen Unternehmen dringend, betroffene Langflow-Versionen zu aktualisieren, Nacos-Systeme nicht direkt aus dem Internet erreichbar zu machen und Standard-Schlüssel zu ersetzen. Zwar habe JadePuffer keine besonders neuartigen Angriffstechniken eingesetzt. Bemerkenswert sei jedoch, dass ein Sprachmodell bekannte Methoden eigenständig zu einer kompletten Ransomware-Kampagne verknüpfen konnte. Dadurch sinke die technische Einstiegshürde für Kriminelle erheblich.


Siehe auch: