La empresa de seguridad Sysdig ha anunciado el descubrimiento de lo que parece ser el primer ataque de ransomware ejecutado de principio a fin por un agente de IA.
El equipo de investigación de amenazas de la compañía apodó al operador «JADEPUFFER» y dijo que su extenso modelo de lenguaje manejaba toda la tarea de infiltrarse, robar credenciales, penetrar profundamente en la red y cifrar y borrar las bases de datos de producción de la compañía.
El ransomware siempre ha requerido una persona capacitada en algún lugar del circuito, ya sea en el teclado o escribiendo un script para que lo siga el malware. Si el modelo puede encadenar esos pasos por sí solo, las habilidades necesarias para llevar a cabo el ataque pueden ser tan costosas como alquilar un agente de IA.
El vector de entrada era un error antiguo que ya había sido parcheado. JADEPUFFER aprovechó CVE-2025-3248, una falla de autenticación faltante en Langflow, una herramienta de código abierto para crear aplicaciones de inteligencia artificial y flujos de trabajo de agentes. Esta falla permite que cualquier persona con acceso al servidor ejecute su propio código Python en el servidor sin necesidad de iniciar sesión.
Las cajas Langflow son un objetivo atractivo porque están expuestas en Internet y, a menudo, contienen claves API y credenciales de nube para los servicios a los que se conectan.
Esta falla se solucionó en Langflow 1.3.0 y se agregó a la lista de vulnerabilidades explotadas conocidas de CISA en mayo de 2025, pero muchos servidores no se actualizaron. Este no es el único error de Langflow que se ha visto afectado de esta manera.
Una vez dentro, los agentes trabajaron rápidamente y limpiaron. Mapeamos máquinas para obtener información secreta, como claves API para servicios de inteligencia artificial (OpenAI, Anthropic, DeepSeek, Gemini), credenciales de nube (AWS, Google, Azure y proveedores chinos como Alibaba y Tencent), claves de billetera criptográfica e inicios de sesión de bases de datos.
Este ataque atacó un servidor de almacenamiento MinIO utilizando el inicio de sesión predeterminado de fábrica (minioadmin:minioadmin) que nunca ha sido modificado. También configuraron un método de entrada agregando una tarea programada para hacer ping al servidor del atacante cada 30 minutos.
Luego pasamos a nuestro objetivo real, un servidor independiente con acceso a Internet que ejecuta una base de datos MySQL y Nacos de Alibaba, un directorio de configuración y servicios común en configuraciones de microservicios. El agente inició sesión en la base de datos como root.
Sysdig afirma que se desconoce su origen porque nunca han verificado de dónde provienen estas credenciales raíz. A partir de ahí, se hicieron cargo de Nacos utilizando una omisión de autenticación de 2021 (CVE-2021-29441) y la clave de firma predeterminada que Nacos ha enviado sin cambios desde 2020 y establecieron sus propias cuentas de administrador.
Nota de rescate sin clave
El agente cifró las 1.342 configuraciones de Nacos, eliminó las tablas originales y dejó una nota de rescate exigiendo Bitcoin para los contactos de Proton Mail. Generó una clave de cifrado aleatoria, la imprimió una vez en la pantalla y nunca la almacenó ni la envió a ninguna parte.
No hay llaves que entregar. Las víctimas no pueden recuperar sus datos incluso si pagan dinero. (Las notas afirman que es AES-256, pero Sysdig dice que la herramienta que usaron tiene por defecto un AES-128 débil, pero el resultado es el mismo).
Además, dejó comentarios en su código afirmando que había eliminado toda la base de datos y que ya había copiado los datos en otro lugar.
Sysdig dice que de eso están hablando los agentes, no es algo que el equipo haya podido confirmar, y que no encontraron evidencia de que realmente se hubiera dejado algún dato.
¿Cómo determinaron los expertos que la IA conducía?
La señal más obvia fue el propio código. La carga útil del ataque está llena de notas en inglés sencillo que explican por qué se realizó cada paso, y el comentario continuo no se molesta en ser escrito por un hacker humano; el modelo lo genera por defecto. El agente también corrigió sus propios errores a la velocidad de la máquina.
En un caso, diagnosticar la causa exacta de un error de inicio de sesión en lugar de volver a intentarlo ciegamente resultó en una acción correctiva de varios pasos en 31 segundos. Sysdig contó más de 600 cargas útiles separadas durante toda la operación.
Los detalles siguen siendo un misterio. La dirección de Bitcoin en la nota de rescate es exactamente la misma que la dirección de muestra que aparece en la documentación para desarrolladores de Bitcoin. Esto significa que estos modelos son visibles en todo el texto en el que están entrenados. También es una billetera activa genuina con un largo historial de pagos.
Sysdig no puede determinar si el modelo simplemente pegó una dirección familiar de la memoria o si el operador usó intencionalmente una billetera genuina que coincidía con un ejemplo conocido.
parte de un cambio más grande
JADEPUFFER es el último paso en un año de rápidos cambios de ataques impulsados por IA. En agosto de 2025, los investigadores de ESET señalaron PromptLock, que se promociona como el primer ransomware impulsado por inteligencia artificial. Más tarde se determinó que se trataba de un prototipo de laboratorio de la Universidad de Nueva York llamado Ransomware 3.0, y no de un ataque real.
Casi al mismo tiempo, Anthropic informó sobre una campaña de extorsión real que utilizó su herramienta Claude Code para atacar al menos a 17 organizaciones con demandas superiores a 500.000 dólares, pero las operaciones aún estaban dirigidas por humanos.
En noviembre de 2025, Anthropic reveló lo que llamó el primer ciberataque casi autónomo. Se trata de una operación de espionaje relacionada con el estado chino que obliga a Claude a crear exploits y robar datos con poca ayuda humana. La operación implicó que una IA inventara credenciales inexistentes, que probablemente era el mismo tipo de alucinación detrás de la extraña dirección de Bitcoin de JADEPUFFER.
Algunos ataques graves son automatizados y el software antiguo y sin parches suele ser el primer objetivo. El agente difunde todo su catálogo de errores conocidos casi de forma gratuita, dejando a los servidores ignorados con más exposición, no menos.
¿Qué deben hacer los defensores?
La solución es familiar. Parche Langflow y nunca exponga el punto final que ejecuta su código en Internet. No ejecute herramientas de IA utilizando claves de nube y credenciales de proveedor que existan en su entorno. Mantenga los secretos bajo el cuidado adecuado y lejos de cualquier cosa a la que pueda acceder la web.
Harden Nacos: cambie la clave de firma predeterminada, manténgala alejada de la Internet pública y evite conectarse a bases de datos como root. Nunca exponga su cuenta de administrador de base de datos a Internet. Además, bloquee su tráfico saliente para evitar que los servidores pirateados realicen llamadas.
Dado que los atacantes ahora pueden utilizar nuevos avisos como arma en cuestión de horas, Sysdig sostiene que es importante monitorear el comportamiento malicioso en tiempo de ejecución en lugar de apresurarse a implementar parches.
Los indicadores publicados por Sysdig para esta operación incluyen:
Punto de entrada: CVE-2025-3248 (Ejecución remota de código no autenticado en Langflow) Comando y control: Enviar baliza cada 30 minutos a 45.131.66(.)106, hxxp://45.131.66(.)106:4444/beacon Servidor de prueba solicitado: 64.20.53(.)230 Dirección de Bitcoin de rescate: 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy; Por favor, póngase en contacto con e78393397(@)protón(.)yo. Tabla de rescate denominada README_RANSOM
Sysdig llama a JADEPUFFER una señal de alerta, no una crisis. Ninguno de los movimientos individuales fue inteligente o nuevo. La novedad es que el modelo los incorpora en un ataque completo contra un servidor que fue ignorado por sí solo.
A medida que las herramientas de los agentes maduren, esperamos ver más de lo mismo, y los servidores expuestos, los almacenes de configuración y los inicios de sesión de los administradores de bases de datos se tratan como cosas que las máquinas exploran en lugar de solo los humanos.
Source link
