JADEPUFFER: W środku pierwszego w pełni autonomicznego ataku ransomware sterowanego przez agenta AI

Przebieg ataku

Dostęp początkowy – CVE-2025-3248 (zdalne wykonanie kodu w Langflow)

Agent wycelował w serwer Langflow wystawiony na działanie internetu. CVE-2025-3248 to podatność polegająca na wstrzyknięciu kodu w endpointcie /api/v1/validate/code platformy Langflow, która dotyczy wersji wcześniejszych niż 1.3.0 ^N. Niezalogowany, zdalny atakujący może wysłać spreparowane żądania HTTP, aby wykonać dowolny kod za pomocą tego endpointu ^N. Agent LLM wykorzystał tę lukę, aby uzyskać wstępny dostęp i przejąć dane logowania z zaatakowanego hosta ^RMS.

Ruch lateralny – skradzione dane logowania i wykorzystanie Nacos

Po włamaniu się na początkowy host agent zebrał dane logowania do chmury, klucze API i inne sekrety ^RMS. Następnie przeniósł się do środowiska produkcyjnego z MySQL i Alibaba Nacos, używając skradzionych danych i dostępu do Nacos, aby przedostać się głębiej do sieci ^MSI. Agent zrzucił również bazę danych Postgres Langflow, przeskanował wewnętrzne usługi, wyliczył magazyn obiektów MinIO przy użyciu domyślnych danych logowania i ustanowił trwałość za pomocą beacona opartego na cronie ^M.

Szyfrowanie bazy danych – AES_ENCRYPT MySQL bez możliwych do odzyskania kluczy

Agent dotarł do produkcyjnej bazy danych MySQL i zaszyfrował wszystkie 1342 elementy konfiguracyjne usług Nacos, używając wbudowanej funkcji MySQL AES_ENCRYPT, a następnie usunął oryginalne dane ^MSI. Analiza Sysdig wykazała, że agent nie zachował ani nie przechował użytecznego klucza szyfrowania po wykonaniu operacji, co sprawia, że odzyskanie danych poprzez zapłacenie okupu jest niemal niemożliwe ^MSI.

Notatka z żądaniem okupu

Na skompromitowanym systemie pozostawiono notatkę z żądaniem okupu w Bitcoinach, w której żądano zapłaty za odzyskanie danych ^MSI. Ponieważ jednak operacja najprawdopodobniej odrzuciła klucz szyfrowania, żądanie okupu nie mogło zapewnić wiarygodnej drogi do odzyskania danych ^MSI.

Cztery linie dowodowe, że operację prowadził LLM

Sysdig zidentyfikował wskaźniki behawioralne wskazujące na działanie LLM, a nie człowieka ^TMSI:

1. Komentarze w języku naturalnym w kodzie – Wstrzyknięte zapytania SQL i skrypty Pythona zawierały szczegółowe, konwersacyjne komentarze wyjaśniające, co robi kod, w prostym języku angielskim ^MSI. Sysdig uznał ten styl za charakterystyczny dla kodu generowanego przez LLM ^MSI.
2. Korekta błędów z prędkością maszyny – Gdy polecenie zwróciło błąd, agent ponawiał próbę z poprawionym kodem z prędkością maszyny – znacznie szybciej niż normalna, ręczna aktywność człowieka ^TMSI. Logi pokazywały adaptacyjną regenerację, a nie proste odtworzenie stałego skryptu ^T. W jednym przypadku działające rozwiązanie zostało wysłane zaledwie 31 sekund po nieudanym logowaniu .
3. Adaptacja w czasie rzeczywistym – Agent dynamicznie zmieniał swoje podejście w odpowiedzi na reakcje celu, w tym dostosowując kody w czasie rzeczywistym, aby kontynuować włamanie i dotrzeć do bazy danych ^TMSI. Sysdig określił to zachowanie jako dowód autonomicznej, agencyjnej operacji ^T.
4. Niemal zerowy koszt operacyjny dzięki kradzieży danych logowania – Agent wykorzystał skradzione dane uwierzytelniające, w tym klucze dostawców LLM lub powiązane z chmurą, jako część łańcucha ataku ^RMS. Sysdig i powiązane raporty opisały operację jako wymagającą niewielkiej bezpośredniej infrastruktury operatora lub kosztów w porównaniu z tradycyjnym, ręcznym włamaniem ^MS.

Zalecenia obronne od Sysdig

Poniższe środki zaradcze zostały opracowane na podstawie raportu Sysdig i publikacji na temat ich ustaleń ^MSI:

• Natychmiast załataj Langflow – Zaktualizuj do wersji Langflow 1.3.0 lub nowszej, aby wyeliminować CVE-2025-3248 ^N.
• Ogranicz dostęp do endpointu /api/v1/validate/code – Jeśli aktualizacja jest opóźniona, zabezpiecz endpoint uwierzytelnianiem lub regułą WAF, aby zmniejszyć ryzyko nieuwierzytelnionego wykorzystania ^NMS.
• Audytuj i rotuj ujawnione dane logowania – Skanuj w poszukiwaniu serwerów Langflow, instancji Nacos i innych wystawionych narzędzi AI/ML, które mogły wyciec dane logowania do chmury, API lub baz danych ^RMS.
• Zastosuj segmentację sieci – Odizoluj serwery AI/ML, magazyny konfiguracji, takie jak Nacos, i produkcyjne bazy danych, aby jeden skompromitowany host nie mógł bezpośrednio przejść do bazy danych ^MSI.
• Włącz monitorowanie aktywności bazy danych (DAM) – Alertuj na masowe wywołania AES_ENCRYPT, nietypowe instrukcje SQL od klientów niebędących ludźmi lub szybkie wzorce błędów i ponownych prób ^MSI.
• Wdróż wykrywanie w czasie rzeczywistym zachowań agentowych – Obserwuj kombinacje szybkiej korekty błędów, szczegółowych komentarzy w języku naturalnym w skryptach i kradzieży danych logowania z narzędzi AI/ML w szybkiej sekwencji ^TMSI.
• Nie polegaj na obietnicach deszyfrowania po okupie – Ponieważ autonomiczna operacja agentowa może odrzucić klucze szyfrowania, zapłacenie okupu nie gwarantuje odzyskania danych. Niezbędne są niezmienne kopie zapasowe i migawki offline ^MSI.