Ransomware
Autonome Ransomware: KI als Täter
Zum ersten Mal hat ein KI-Agent eigenständig einen Ransomware-Angriff durchgeführt – vom Eindringen in ein System bis zur Datenvernichtung. Die Abwehr muss sich von der Blockierung bekannter Indikatoren hin zur Erkennung von Verhaltensmustern verlagern.
Save to Folio
Wichtigste Erkenntnisse
- Sicherheitsforscher haben dokumentiert, wie ein KI-Agent eigenständig einen vollständigen Ransomware-Angriff auf ein live betriebenes Produktionsziel durchgeführt hat, wobei er jeden Schritt – vom ersten Exploit bis zur Datenvernichtung – geplant, angepasst und ausgeführt hat.
- Das Neue daran ist die Automatisierung, nicht die Vorgehensweise. Jede Schwachstelle, die der Agent ausnutzte, war alt und gut bekannt.
- Von Agenten durchgeführte Angriffe verändern die Grundlagen, auf die sich Verteidiger stützen können. Sie erzeugen einmalig verwendbare, opferbezogene Indikatoren anstelle von wiederverwendbaren Tools und Infrastrukturen.
- Die Zahlungsebene versagte, obwohl der Einbruch erfolgreich war.
Hinter Ransomware stand immer eine Person, die das Ziel auswählte, den Zugriff kauft oder beschafft, die Tools einsetzt und das Opfer erpresst, um eine Zahlung zu erzwingen. Bei einem jetzt von der Sicherheitsfirma Sysdig dokumentierten Einbruch, JADEPUFFER, drang ein Agent eines LLM ins ein Live-Produktionssystem ein, sammelte Anmeldedaten, gelangte tiefer ins System, verschlüsselte eine Datenbank, vernichtete die Originale und hinterließ eine Lösegeldforderung. Er wählte jeden Schritt selbst aus und ordnete ihn in nahezu Echtzeit an, ohne dass zwischen dem Einbruch und dem Schaden ein Mensch an der Tastatur saß.
Eine KI, die als Operator und nicht als Assistent fungiert, stellt jenen Wechsel dar, den Anthropic im November 2025 beschrieb, als eine staatlich unterstützte Gruppe das firmeneigene Claude-Modell „nicht nur als Berater, sondern zur eigenständigen Durchführung der Cyberangriffe“ einsetzte. JADEPUFFER macht denselben Schritt, zielt jedoch auf Erpressung statt auf Spionage ab.
Dies ist auch die Richtung, die TrendAI™ Research in der Studie vom Dezember 2025 zur nächsten Phase der Cyberkriminalität vorhergesagt und darauf hingewiesen hatte, dass sich die kriminelle Tätigkeit von „Cybercrime-as-a-Service“, bei dem ein Mensch gekaufte Fähigkeiten zusammenstellt, hin zu „Cybercrime-as-a-Sidekick“ verlagern würde, bei dem ein Agent den Auftrag ausführt.
Unser Update „State of Criminal Al“ zeigt ein Ökosystem auf, das sich zwar industrialisiert hatte, aber immer noch an erhebliche praktische Grenzen stieß. Mehrere einzelne Fälle markieren den Weg zu dem aktuellen Fall, und jeder lieferte einen Baustein dessen, was ein autonomer Ransomware-Einsatz benötigen würde:
Der Agent als Täter
Am deutlichsten lässt sich die Autonomie daran erkennen, was der Agent tat, ohne dazu aufgefordert worden zu sein. Unsere Untersuchung vom Dezember beschrieb eine kriminelle Agentenarchitektur in drei Schichten: eine Agentenebene, die handelt, eine Orchestrierungsebene, die plant und sich anpasst, sowie eine Datenebene, die Entscheidungen beeinflusst. Hier kamen die Planung und Anpassung – also die Orchestrierungsebene – vom Modell selbst und nicht von einem menschlichen Operator.
Laut Sysdig verschaffte sich der Agent Zugang über eine ungepatchte Sicherheitslücke zur Remote-Code-Ausführung in einer mit dem Internet verbundenen Langflow-Instanz. Weitere Einzelheiten zum Angriffsablauf beinhaltet der Originalbeitrag.
Der Agent gab in einem komprimierten Zeitfenster mehr als 600 unterschiedliche, zielgerichtete Payloads aus. Als er das Backdoor-Administratorkonto anlegte und die Anmeldung fehlschlug, diagnostizierte er die Ursache (einen fehlerhaften Passwort-Hash), löschte das fehlerhafte Konto, generierte den Hash korrekt neu, fügte das Konto erneut ein und bestätigte den Zugriff – alles in etwa 31 Sekunden. Als ein Speicherdienst Daten in einem unerwarteten Format zurückgab, schrieb er seinen eigenen Parser um, um die Antwort zu verarbeiten. Als ein Angriffspfad meldete, dass ein benutzerdefiniertes Geheimnis verwendet wurde, ließ er diesen Pfad sofort fallen.
Dieses Muster, Dinge spontan umzuschreiben, um jeden Fehler zu umgehen, ist kein festes Skript und auch kein Mensch, der eine Checkliste abarbeitet, sondern ähnelt eher einem Täter, der das Gesehene logisch bewertet. Unsere Forschung warnte davor, dass diese Fähigkeit – bei der eine Entscheidung nun ohne menschliches Eingreifen vom Zugriff bis zur Auswirkung durchlaufen kann – die traditionelle Angriffskette zum Einsturz bringen würde.
Von Agenten gesteuerte Angriffe lassen fast nichts zurück, was man blockieren könnte
Herkömmliche Ransomware verwendet immer wieder dieselben Tools, Binärdateien und Infrastrukturen, weshalb ein Großteil der Abwehrmaßnahmen der Branche darauf basiert, Indikatoren für Kompromittierungen auszutauschen und zu blockieren. JADEPUFFER hinterließ so gut wie keine solchen Spuren. Es gab keine Datei-Hashes, da es sich bei den Payloads um Inline-Code handelte, der praktisch einzigartig für dieses Opfer war. Die Command-and-Control-Adresse ist möglicherweise bereits inaktiv. Das im Code genannte Ziel für die Datenexfiltrierung war den Beweisen zufolge vom Modell erfunden worden. Die Adresse für die Lösegeldforderung war ein öffentliches Beispiel, das aus der Dokumentation kopiert wurde.
Ein Agent, der „Einweg-Code“ schreibt und seine eigene Infrastruktur improvisiert, hinterlässt nur wegwerfbare, opferbezogene Indikatoren und verlagert damit den Schwerpunkt der Verteidigung von Indikatoren hin zu Verhalten und Technik. Das beständige Signal ist das Verhalten: Ein Anwendungsserver, der einen Prozess startet, der Payloads entschlüsselt und ausführt, eine geplante Aufgabe, die in festen Intervallen Signale sendet, oder ein Datenbankprozess, der Konfigurationstabellen verschlüsselt und anschließend löscht. Eine tabellarische Zusammenfassung der benötigten Änderungen in der Abwehr beinhaltet der Originalbeitrag.
Der Agent beschreibt seine eigenen Absichten, wobei ein Teil davon falsch ist
Dieser Fall lieferte eine neue Art von Beweismaterial. Die Payloads des Agenten waren voll von Kommentaren in Klartext, in denen erklärt wurde, was er tat und warum, einschließlich einer Notiz, die eine Datenbank als „High-ROI“ kennzeichnete, bevor er sie ablegte. Die Absicht des Agenten, in seinen eigenen Worten niedergeschrieben, ist eine Art von Beweismaterial, über das Verteidiger bisher selten verfügten. Sie hilft dabei, die Motivation zu verstehen und einen Zeitablauf zu rekonstruieren.
Die Kommentare enthielten jedoch auch Behauptungen, die nicht der Wahrheit entsprachen, am deutlichsten falsch war die Behauptung, dass Daten auf einen externen Server exfiltriert worden seien – wofür die Untersuchung keine Beweise fand. Dies sieht nach einer Halluzination aus. Anthropic beobachtete dasselbe im eigenen Fall, wo das Modell „gelegentlich Zugangsdaten halluzinierte oder behauptete, geheime Informationen extrahiert zu haben, die tatsächlich öffentlich zugänglich waren“.
Was ist neu, und was hat noch nicht geklappt?
Neu ist, dass der Agent die gesamte Operation eigenständig durchführte und seine eigenen Fehler im Laufe des Vorgangs behob. Auf der Ebene der Monetarisierung scheiterte die Operation: Der Verschlüsselungsschlüssel wurde einmalig generiert, auf einer Konsole ausgegeben und nie gespeichert, sodass die Daten selbst bei Zahlung eines Lösegelds nicht hätten entschlüsselt werden können. Auch die Lösegeldadresse gehörte nicht dem Angreifer; unsere eigene Analyse ergab, dass es sich um eine Beispieladresse handelt, die in der öffentlichen Bitcoin-Dokumentation veröffentlicht wurde – ein Wert, den der Agent anstelle eines echten Zahlungsziels verwendete. Es gab weder eine Leak-Seite noch ein zweites Opfer.
Angesichts des Ergebnisses handelte es sich eher um eine Zerstörungsaktion als um ein funktionierendes Erpressungsschema. Das macht den Vorfall jedoch nicht weniger wichtig. Er ist vielmehr ein frühes Anzeichen dafür, dass autonome Ransomware funktioniert.
Fazit
Wesentlich ist, wie ein KI-Agent einen Einbruch von Anfang bis Ende durchführt und sich dabei an Hindernisse anpasst, wie es ein Mensch tun würde – allerdings schneller, als es jeder Mensch könnte.
Keine der Abhilfemaßnahmen – das Patchen internetgestützter Plattformen, das Löschen von Standard- und nicht regelmäßig geänderten Zugangsdaten – ist neu oder ungewöhnlich, doch was sich wirklich geändert hat, ist, wie wenig Zeit Verteidiger haben werden, sobald Angreifer genau diese Lücken entdecken.
Agentische Systeme rufen Tools auf, greifen auf Daten zu und lösen Workflows über Schleifen aus, die sich im Laufe der Ausführung anpassen, anstatt einem festen Pfad zu folgen – und genau das macht ihre Ergebnisse schwer vorhersehbar, nachverfolgbar oder kontrollierbar. Unsere Forschung zur Schließung der Governance-Lücke bei agentischer KI betrachtet Governance als die Kontrollschicht für diese Autonomie.
Empfehlungen
Die autonome Ausführung verkürzt die Zeitspanne zwischen dem Aufdecken einer Schwachstelle und deren Ausnutzung; daher sind die folgenden Prioritäten so aufgestellt, die Lücken zu schließen, die diese Art von Angriffsketten miteinander verknüpft.
Für Verteidiger:
- Priorisieren Sie verhaltens- und technikbasierte Erkennung. Lösen Sie Warnmeldungen aus, wenn Anwendungsserver untergeordnete Prozesse zur Entschlüsselung von Payloads starten, wenn von diesen Hosts in festen Intervallen Signale gesendet werden und wenn umfangreiche AES_ENCRYPT()-Aktivitäten gegen Konfigurationstabellen erfolgen, gefolgt von einem DROP auf dieselben Objekte.
- Installieren Sie Patches und erstellen Sie ein Inventar der mit dem Internet verbundenen KI- und Automatisierungsplattformen.
- Wechseln Sie Standard- und seit langem unveränderte Geheimnisse aus. Ersetzen Sie mitgelieferte Signaturschlüssel und löschen Sie Standard-Anmeldedaten für Dienste. Standard- und nicht ausgetauschte Anmeldedaten ermöglichten zwei separate Phasen dieses Angriffs.
Für Entscheidungsträger:
- Wenden Sie bei KI-Systemen das Prinzip der minimalen Befugnisse an. Gewähren Sie Agenten und Automatisierungsplattformen nur den Zugriff, den sie benötigen, beobachten Sie, wie sie mit anderen Systemen interagieren, und verlangen Sie eine Genehmigung für Maßnahmen mit erheblichen Auswirkungen.
Für Incident-Response:
- Halten Sie Offline-Backups von Konfigurations- und Metadatenspeichern bereit, die nicht verändert werden können.
- Behandeln Sie die Selbstdarstellung eines Agenten während der Triage als unbestätigt. Seine Inline-Kommentare sind ein nützlicher Ausgangspunkt, aber wie dieser Fall gezeigt hat, sind einige davon falsch.
TrendAI™-Schutzmaßnahmen
TrendAI Vision One™ Cyber Risk Exposure Management deckt kontinuierlich die Risiken auf, die durch eine Kette von Agent-basierten Angriffen entstehen, wie beispielsweise nicht gepatchte, mit dem Internet verbundene Plattformen und Standard-Anmeldedaten. Auch bewertet das System diese Risiken. Die ausgenutzten Schwachstellen waren bereits lange vor dessen Auftreten durch TrendAI™-Schutzmaßnahmen abgedeckt – sowohl auf Netzwerk- als auch auf Workload-Ebene:
TrendAI™ TippingPoint™
- Filter 45744: HTTP: Langflow-Code-Injektionsschwachstelle
TrendAI™ Deep Discovery™ Inspector
- Regel: 5411: CVE-2025-3248 – LANGFLOW RCE – HTTP (Anfrage)
TrendAI™ Deep Security und TrendAI Vision One™ Server and Workload Protection (SWP)
- Regel 1010971: Sicherheitslücke bei Alibaba Nacos AuthFilter zur Umgehung der Authentifizierung (CVE-2021-29441)
TrendAI Vision One™ Threat Intelligence Hub
TrendAI Vision One™ Threat Intelligence Hub bietet die neuesten Erkenntnisse zu aufkommenden Bedrohungen und Bedrohungsakteuren, exklusive strategische Berichte von TrendAI™ Research sowie den TrendAI Vision One™ Threat Intelligence Feed auf der TrendAI Vision One™-Plattform.
TrendAI Vision One™ Intelligence Reports (IOC-Sweeping)
JADEPUFFER: Agentic-Ransomware zur automatisierten Erpressung von Datenbanken
TrendAI Vision One™-Kunden können die mit dieser Aktivität verbundenen Indikatoren abrufen, um ein retrospektives Sweeping in ihrer gesamten Umgebung durchzuführen.
TrendAI Vision One™ XDR Data Explorer App
Kunden können die XDR Data Explorer App verwenden, um die Indikatoren für bösartige Aktivitäten mit Daten in ihren eigenen Umgebungen abzugleichen und so nach Bedrohungen zu suchen.
Ausführung von Subprozessen nach der Exploitation aus einem Langflow-Prozess:
eventSubId:2 UND parentFilePath:(*langflow*) UND processCmd:(*base64* ODER *curl* ODER *wget* ODER *crontab*)
Netzwerkverbindung zur bekannten JADEPUFFER-C&C-Infrastruktur:
eventId:3 AND eventSubId:(201 OR 204) AND dst:(„45.131.66.106“)
Indikatoren für eine Kompromittierung (IOCs)
Bei dieser Operation wurden keine Datei-Hash-Indikatoren generiert, da es sich bei jeder Payload um Inline-Code handelte, der über die ausgenutzten Schnittstellen übermittelt wurde, und nicht um eine verteilte Binärdatei.
Der Originalbeitrag beinhaltet darüber hinaus noch eine Übersicht über die MITRE ATT&CK Techniken.