Un nuevo caso documentado por el equipo de investigación de amenazas de Sysdig apunta a un cambio relevante en la evolución del ransomware. La compañía ha identificado una operación bautizada como JADEPUFFER en la que un modelo de lenguaje habría dirigido de forma autónoma toda la cadena de ataque, desde el acceso inicial hasta el cifrado y la destrucción de una base de datos.
Según los investigadores, se trataría del primer caso conocido de ransomware agéntico, es decir, una campaña en la que la capacidad operativa no depende de un atacante tomando decisiones manualmente, sino de un agente de inteligencia artificial capaz de reconocer el entorno, corregir errores y adaptar sus acciones en tiempo real.
El incidente comenzó con la explotación de una instancia de Langflow expuesta a internet mediante CVE-2025-3248, una vulnerabilidad que permite ejecutar código Python sin autenticación.
El acceso inicial a través de Langflow
Langflow es una plataforma de código abierto utilizada para construir aplicaciones y flujos de trabajo basados en modelos de lenguaje. Su presencia en entornos empresariales la convierte en un objetivo atractivo porque estos servidores suelen almacenar claves de API, credenciales de nube y secretos relacionados con servicios de inteligencia artificial.
Tras obtener acceso, JADEPUFFER realizó un reconocimiento completo del sistema. Enumeró usuarios, procesos, interfaces de red y servicios activos y buscó claves de OpenAI, Anthropic, Gemini, DeepSeek y otros proveedores.
También trató de localizar credenciales de AWS, Azure, Google Cloud y varios proveedores chinos, además de monederos de criptomonedas, frases semilla y datos de acceso a bases de datos.
El agente extrajo información de la base de datos PostgreSQL utilizada por Langflow, revisó los archivos obtenidos y eliminó después los elementos temporales.
Movimiento lateral y robo de credenciales
La campaña no se limitó al servidor comprometido inicialmente.
JADEPUFFER escaneó la red interna en busca de bases de datos, almacenes de objetos, gestores de secretos y otros servicios accesibles. Durante esta fase encontró una instalación de MinIO configurada con las credenciales predeterminadas minioadmin.
El agente enumeró los contenedores disponibles y priorizó aquellos cuyos nombres sugerían información sensible, como configuraciones internas, copias de seguridad o archivos de Terraform.
También descargó archivos denominados credentials.json y .env, donde encontró nuevas claves de acceso.
Una de las características más llamativas fue la capacidad de corregir errores. Cuando una consulta devolvió información en formato XML en lugar de JSON, el sistema modificó inmediatamente su analizador y repitió la petición.
Este comportamiento, basado en observar el resultado y adaptar el siguiente paso, es uno de los indicios que llevaron a Sysdig a considerar que la campaña estaba siendo dirigida por un agente de IA.
El verdadero objetivo era una base de datos de producción
El servidor Langflow actuó como punto de entrada, pero el objetivo final era otro sistema expuesto a internet que ejecutaba una base de datos MySQL y un servicio de configuración Nacos.
Nacos es una plataforma utilizada en arquitecturas de microservicios y cuenta con un historial de vulnerabilidades y configuraciones inseguras. Entre ellas se encuentran fallos de autenticación y el uso prolongado de claves JWT predeterminadas.
JADEPUFFER trató de comprometer el servicio por varias vías. Probó vulnerabilidades conocidas, falsificó tokens JWT y utilizó acceso root a MySQL para insertar directamente una cuenta administrativa en la base de datos de Nacos.
Cuando el primer intento de inicio de sesión falló, el sistema diagnosticó el problema y creó de nuevo la cuenta con una contraseña diferente. El proceso completo de corrección tardó apenas 31 segundos.
Cifrado, destrucción y extorsión
Una vez dentro, el agente ejecutó una campaña destructiva.
Los investigadores observaron cómo cifraba 1.342 elementos de configuración almacenados en Nacos mediante la función AES_ENCRYPT de MySQL. Después eliminó las tablas originales y creó una tabla denominada README_RANSOM con una nota de rescate, una dirección de Bitcoin y un contacto de Proton Mail.
Sin embargo, la clave de cifrado se generó de forma aleatoria, se mostró una única vez y no fue guardada ni enviada a los atacantes.
Esto implica que la información no podría recuperarse incluso aunque la víctima pagara el rescate.
La campaña continuó con la eliminación de bases de datos completas. El propio código incluía comentarios en lenguaje natural sobre qué sistemas ofrecían un mayor retorno para el atacante y cuáles debían ser eliminados primero.
Cuando uno de los comandos falló por una restricción de claves foráneas, JADEPUFFER desactivó temporalmente la comprobación de integridad, repitió el borrado y volvió a activar la protección.
