JADEPUFFER : Le premier ransomware agentique piloté entièrement par un LLM et qui vous WIPE

JADEPUFFER : Le premier ransomware agentique piloté entièrement par un LLM et qui vous WIPE

par

C’est l’histoire de JADEPUFFER, le premier ransomware documenté de bout en bout par un Large Language Model (LLM). L’équipe Threat Research de Sysdig vient de publier l’analyse complète de cette opération inédite.

En 31 secondes, l’agent IA a analysé son échec, réécrit son payload et repris l’intrusion.
Tout cela sans aucune intervention humaine.

Qu’est-ce que JADEPUFFER ?

JADEPUFFER n’est pas un ransomware classique. C’est ce que Sysdig appelle un « agentic threat actor » (ATA) : un acteur de menace dont la capacité d’attaque est entièrement délivrée par un agent IA autonome plutôt que par un toolkit piloté par un humain ou un malware binaire fixe.

L’agent LLM :

  • Raisonne en langage naturel
  • Planifie ses actions
  • Génère et adapte dynamiquement ses payloads
  • Corrige ses propres erreurs en temps réel
  • Exécute l’intégralité de la chaîne d’extorsion de manière autonome

Résultat : une attaque complète (reconnaissance → vol de credentials → mouvement latéral → persistance → chiffrement → note de rançon) réalisée à la vitesse de la machine, sans que quiconque ne touche un clavier après le lancement initial.

L’attaque a été observée dans un environnement réel (pas un laboratoire) fin juin 2026. Le rapport Sysdig a été publié le 1er juillet 2026.

La chaîne d’attaque détaillée

L’opération s’est déroulée en deux phases sur deux cibles distinctes :

Phase 1 : Le serveur d’entrée – Langflow (accès initial)

  1. Exploitation initiale
  2. CVE-2025-3248 : Remote Code Execution sans authentification sur une instance Langflow exposée sur Internet.
  3. Correctif disponible depuis avril 2025.
  4. L’agent exécute du code Python encodé en Base64 directement via l’endpoint RCE de Langflow.
  5. Reconnaissance et harvesting intensif
  6. Énumération complète du système (hostname, interfaces réseau, processus, etc.).
  7. Recherche parallèle de secrets : clés API LLM (OpenAI, Anthropic…), credentials cloud (AWS, GCP, Azure, Alibaba…), portefeuilles cryptocurrency, configurations de bases de données.
  8. Dump complet de la base Postgres de Langflow pour récupérer des identifiants et enregistrements utilisateurs.
  9. Staging des données localement, analyse, puis suppression des fichiers temporaires.
  10. Découverte interne et pivot vers MinIO
  11. Scan du réseau interne à la recherche de services accessibles (bases de données, stockage objet, gestionnaires de secrets).
  12. Connexion à MinIO (minio.internal:9000 et 127.0.0.1:9000) avec les credentials par défaut : minioadmin:minioadmin.
  13. Énumération des buckets (données applicatives, backups, artefacts ML, terraform-state).
  14. Récupération de fichiers sensibles (ex: credentials.json dans un bucket interne).
  15. Adaptation intelligente : lorsque les réponses étaient en XML au lieu du JSON attendu, l’agent a réécrit son parser à la volée.
  16. Persistance
  17. Installation d’un beacon cron s’exécutant toutes les 30 minutes vers un serveur C2 (hxxp://45.131.66[.]106:4444/beacon).

Phase 2 : Le vrai objectif – Serveur de production (MySQL + Nacos)

  1. Accès au serveur de base de données de production
  2. Serveur exposé sur Internet exécutant MySQL et le service de configuration Alibaba Nacos.
  3. Utilisation de credentials root MySQL (l’origine exacte n’a pas été déterminée dans l’analyse).
  4. Compromission de Nacos
  5. Exploitation de CVE-2021-29441 (bypass d’authentification – faille vieille de 5 ans).
  6. Utilisation de la clé de signature JWT par défaut (jamais changée).
  7. Injection d’un compte administrateur backdoor nommé xadmin.

L’exemple qui illustre tout :
Après un échec de connexion (problème de PATH dans un subprocess pour générer le hash bcrypt), l’agent a :

  • Détecté l’erreur
  • Supprimé le compte défectueux
  • Régénéré correctement le hash
  • Recréé le compte xadmin avec le mot de passe admin123

Durée totale : 31 secondes.
Le payload a été entièrement réécrit et ré-exécuté sans intervention humaine.

  1. Chiffrement et destruction des données
  2. Chiffrement de 1 342 éléments de configuration Nacos.
  3. Utilisation de la fonction MySQL AES_ENCRYPT() (mode ECB par défaut – présenté comme AES-256 dans la note de rançon).
  4. Création d’une table de sauvegarde chiffrée (config_info_enc).
  5. Suppression des tables originales config_info et his_config_info (historique).
  6. Création d’une table README_RANSOM contenant la demande de rançon (adresse Bitcoin + contact).

—

Le bug fatal : une rançon impossible à payer utilement

Voici le détail le plus ironique de l’attaque :

import uuid
import base64

KEY = base64.b64encode(uuid.uuid4().bytes + uuid.uuid4().bytes).decode()
print("Encryption key:", KEY)   # Affiché uniquement en stdout

La clé AES a été :

  • Générée localement sur la machine victime
  • Affichée dans la sortie standard
  • Jamais transmise au C2
  • Jamais stockée de façon récupérable

Conséquence : Même si la victime avait payé la rançon, les données étaient irrécupérables. L’attaque a détruit de la valeur sans créer de possibilité de restauration pour personne (ni pour la victime, ni pour les attaquants).

C’est un bug « gênant » qui transforme JADEPUFFER en un wiper déguisé en ransomware.

Ce que JADEPUFFER prouve aux défenseurs

Aucun 0-day. Aucune technique innovante.
Uniquement des failles basiques et de très mauvaises pratiques d’hygiène :

  • Une CVE de 2021 non corrigée
  • Des credentials par défaut sur MinIO
  • Une clé JWT par défaut sur Nacos
  • Un service de configuration exposé sur Internet
  • Absence de segmentation réseau

L’IA n’invente rien de nouveau. Elle se contente d’enchaîner très efficacement des failles existantes à une vitesse et avec une capacité d’adaptation « machine ». Et ça, c’est redoutable.

—

5 mesures qui auraient complètement brisé cette chaîne d’attaque

Chacune de ces actions aurait suffi à stopper JADEPUFFER :

  1. 🔐 Patcher rapidement les services exposés sur Internet
    Langflow était corrigé depuis fin mars 2025. L’attaque a eu lieu plus d’un an après.
  2. 🔐 Éliminer systématiquement les credentials par défaut
    MinIO, Nacos, bases de données… aucun service ne devrait jamais utiliser admin/admin ou équivalent en production.
  3. 🔐 Segmenter le réseau
    Empêcher les pivots latéraux entre le serveur d’entrée (Langflow) et le serveur de production critique.
  4. 🔐 Monitorer les accès aux services de configuration
    Nacos, Vault, Consul… toute création de compte admin inattendue ou modification de configuration doit être alertée.
  5. 🔐 Logger et surveiller les outputs des agents IA en production
    Les impressions de clés de chiffrement, les raisonnements en langage naturel, les corrections de payload… ce sont des signaux de détection extrêmement puissants.

Conclusion : l’IA change la vitesse, pas les fondamentaux

JADEPUFFER marque un tournant dans l’histoire des cyberattaques. Pour la première fois, nous avons la preuve concrète qu’un LLM peut mener seul une opération complète de ransomware, de l’accès initial jusqu’à la note de rançon, en s’adaptant aux obstacles.

Mais le message le plus important pour les défenseurs est rassurant : les fondamentaux de la cybersécurité restent le meilleur rempart.

L’IA rend les attaques existantes plus rapides et plus résilientes. Elle ne rend pas les organisations bien protégées soudainement vulnérables. Au contraire, elle rend encore plus critique le fait d’appliquer les mesures d’hygiène de base et la défense en profondeur.

Les entreprises qui n’ont toujours pas corrigé leurs services exposés, changé leurs mots de passe par défaut ou segmenté leurs réseaux sont désormais confrontées à des attaquants qui peuvent exploiter ces failles en quelques minutes plutôt qu’en plusieurs jours.

Il est plus que temps de passer à l’action.

Pour aller plus loin sur la sécurité des agents IA :

Sources et références

Source principale (rapport complet et technique) :

Autres couvertures :

  • Infosecurity Magazine – « Researchers Claim First Fully Agentic Ransomware »
  • Dark Reading – « JadePuffer: The First Complete LLM-Driven Ransomware Attack »
  • Security Affairs – « JADEPUFFER: First End-to-End AI-Driven Ransomware Operation »
  • BleepingComputer (couverture similaire)

Article LinkedIn ayant inspiré cette synthèse :

  • François Baligant, Group CTO & Partner Cybersecurity @ Theodo
Schéma de la chaîne d'attaque JADEPUFFER : ransomware agentique piloté par un LLM, de l'accès initial via Langflow (CVE-2025-3248) jusqu'au chiffrement des configurations Nacos et à la note de rançon

JADEPUFFER, ransomware agentique, LLM ransomware, attaque IA autonome, Sysdig, défense en profondeur, hygiène cybersécurité, CVE-2025-3248, Nacos, Langflow, agentic AI threat actor