JadePuffer: Erste vollautonome Ransomware-Kampagne entdeckt

JadePuffer war nach Einschätzung von Sicherheitsforschern offenbar die erste bekannte Kampagne, die einen Ransomware-Angriff in Unternehmensnetzwerken weitgehend autonom ausgeführt hat. Den Analysen zufolge lief die komplette Angriffskette über einen Software-Agenten, ohne dass ein Angreifer jeden einzelnen Schritt direkt steuern musste. Für Unternehmen heißt das vor allem: weniger Reaktionszeit, eine schnellere Eskalation und deutlich niedrigere Hürden für komplexe Attacken.

JadePuffer übernimmt die komplette Angriffskette

Den Beobachtungen der Forscher nach führte JadePuffer den Angriff von Anfang bis Ende selbst aus. Dazu zählten der erste Zugriff auf das Zielsystem, die Aufklärung der Umgebung, das Abgreifen von Zugangsdaten, laterale Bewegungen im Netzwerk und am Ende auch das Verteilen der Schadsoftware.

Aus Sicht der Sicherheitsforscher ist dieser Vorfall damit der nächste Schritt in Richtung „Ransomware 3.0“.

Bekannte Schwachstelle in Langflow

Der Einstieg erfolgte dem Bericht zufolge über eine bekannte kritische Schwachstelle im Open-Source-Framework Langflow. Die Lücke wird unter der Kennung CVE-2025-3248 geführt.

Der brisante Punkt liegt dabei weniger im Angriffsweg selbst als in dem, was danach passierte: JadePuffer brauchte keine neue Wunderlücke, sondern nutzte eine Schwachstelle, die längst bekannt und patchbar war.

Auffällig war vor allem, wie laufend sich das System anpasste. Die Sicherheitsforscher schildern in ihrem Bericht unter anderem, dass ein fehlgeschlagener Login-Versuch innerhalb von 31 Sekunden eigenständig korrigiert wurde und der Angriff dann einfach weiterlief.

Genau das trennt den Fall von klassischen Angriffsskripten, die starr nach einem festen Ablauf arbeiten.

Kein klassischer Erpressungsfall

Anders als bei typischer Ransomware, bei der es vor allem um Lösegeld geht, deutet hier nach Angaben im Bericht vieles auf einen destruktiven Angriff hin. Demnach wurden 1.342 Dienstkonfigurationen verschlüsselt, die Originaldaten danach gelöscht.

Der verwendete Schlüssel wurde den Sicherheitsforschern zufolge offenbar weder gespeichert noch an einen externen Server übertragen. Selbst wenn jemand hätte zahlen wollen, wäre eine Wiederherstellung damit praktisch ausgeschlossen gewesen.

Auch die hinterlegte Bitcoin-Adresse Macht keinen besonders glaubwürdigen Eindruck. Laut Bericht handelte es sich wohl nur um ein generisches Beispiel, das vermutlich aus Trainingsmaterial übernommen wurde.

Für die Sicherheitsforscher ist auch das ein Hinweis darauf, dass es bei JadePuffer nicht in erster Linie um finanziellen Gewinn ging.

Warum der Fall für Unternehmen wichtig ist

Die schlechte Nachricht: Solche Angriffe können schneller, billiger und in größerem Maßstab ablaufen. Die etwas bessere Nachricht: Bei der Abwehr kommt es weiter auf die Grundlagen an.

Wenn in Ihrer Umgebung bekannte Schwachstellen offen sind oder Zugangsdaten nur schwach geschützt werden, steigt das Risiko, Ziel solcher Attacken zu werden, deutlich. Sicherheitsupdates zügig einzuspielen, Zugangsdaten besser zu schützen, privilegierte Konten stärker abzusichern und Vorfälle früher zu erkennen, bleibt deshalb entscheidend. Für alle, die Langflow nutzen, ist eine schnelle Aktualisierung empfehlenswert.

Downloads: Download Langflow für Windows, Mac und Linux