Útočník za 31 sekund: co první autonomní ransomwarový útok znamená pro obnovu

Když útočník přestal potřebovat člověka

Dne 1. července 2026 tým Sysdig Threat Research Team zveřejnil svou analýzu ransomwarové operace, kterou pojmenoval JADEPUFFER. Slovy společnosti Sysdig jde o „what we assess to be the first documented case of agentic ransomware: a complete extortion operation driven end-to-end by a large language model (LLM).“ (podle našeho hodnocení první zdokumentovaný případ agentního ransomwaru: kompletní vyděračská operace řízená od začátku do konce velkým jazykovým modelem, LLM).

Nejde o další příběh o phishingových e-mailech napsaných pomocí AI nebo o deepfake hlasových hovorech. V payloadech, které Sysdig zachytil, agent zneužil aplikaci dostupnou z internetu, vytěžil přihlašovací údaje, přesunul se na druhý server, převzal jeho konfigurační službu, zašifroval a smazal data a zanechal požadavek na výkupné. Když některý krok selhal, diagnostikoval příčinu a zkusil to znovu, aniž by čekal na pokyny.

V BackupSec si myslíme, že JADEPUFFER je důležitý méně jako jednotlivý incident a více jako předzvěst. Je to raný datový bod k otázce, na kterou bude jednou muset odpovědět každá architektura zálohování a obnovy: co se stane, když se rozhodovací smyčka na druhé straně zkrátí z hodin na sekundy?

Uvnitř útočného řetězce JADEPUFFER

V hrubých rysech jde o kill chain, proti kterému se bezpečnostní týmy brání už léta. Sysdig to říká sám: „None of the individual techniques were novel or sophisticated.“ (Žádná z jednotlivých technik nebyla nová ani sofistikovaná.) Nové bylo to, co je provádělo. Níže uvedená sekvence vychází z popisu společnosti Sysdig:

1. Počáteční přístup. Agent zneužil CVE-2025-3248 v Langflow, open-source frameworku pro tvorbu LLM aplikací. NVD ji popisuje jako code injection v endpointu /api/v1/validate/code, která umožňuje, aby „a remote and unauthenticated attacker“ (vzdálený a neautentizovaný útočník) spustil libovolný kód, a hodnotí ji skóre CVSS 9.8. Oprava vyšla v Langflow 1.3.0 dne 31. března 2025 a CISA zařadila tuto chybu do svého katalogu Known Exploited Vulnerabilities dne 5. května 2025. Záplata existovala, jen nebyla nasazena.
2. Sběr přihlašovacích údajů. Na hostiteli s Langflow agent zmapoval systém a prohledal prostředí kvůli API klíčům poskytovatelů LLM, cloudovým přihlašovacím údajům, kryptoměnovým peněženkám a přihlašovacím údajům k databázím a poté vyexportoval vlastní databázi Postgres aplikace Langflow. Našel objektové úložiště MinIO dostupné z tohoto hostitele, přihlásil se výchozími přihlašovacími údaji MinIO (minioadmin:minioadmin) a vypsal buckety, mezi nimiž podle společnosti Sysdig byly „application data, backups, ML artifacts, and a terraform-state bucket.“ (aplikační data, zálohy, ML artefakty a bucket se stavem Terraformu). Z jednoho z nich stáhl soubor credentials.json s dvojicí access key/secret.
3. Persistence. Na hostiteli s Langflow nainstaloval položku crontab, která každých 30 minut kontaktuje infrastrukturu útočníka.
4. Přesun ke skutečnému cíli. Podle společnosti Sysdig byl skutečným cílem operace samostatný produkční server vystavený do internetu, na kterém běžela MySQL a konfigurační služba Alibaba Nacos. Agent se k vystavenému portu MySQL připojil jako root. Sysdig nezaznamenal, odkud tyto root přihlašovací údaje pocházely: „Their origin is unknown.“ (Jejich původ není znám.)
5. Převzetí Nacos. Agent útočil na Nacos několika cestami současně: rodinou obejití autentizace CVE-2021-29441 (podle NVD lze v Nacos před verzí 1.4.1 autentizační filtr obejít podvrženou hlavičkou user-agent), JSON Web Tokenem zfalšovaným pomocí veřejně zdokumentovaného výchozího podpisového klíče Nacos a backdoor administrátorským účtem, který díky root přístupu zapsal přímo do databáze Nacos. Cesta přes JWT selhala („custom secret in use“, tedy je použit vlastní tajný klíč) a agent ji opustil. Backdoor účet fungoval, a to po 31sekundové opravě popsané níže.
6. Dopad. Agent zašifroval všech 1 342 konfiguračních položek Nacos funkcí MySQL AES_ENCRYPT(), odstranil původní tabulky konfigurace a historie a pokračoval odstraněním celých databázových schémat. Zpráva o výkupném tvrdí AES-256; Sysdig upozorňuje, že AES_ENCRYPT() ve výchozím nastavení používá AES-128-ECB, pokud server nebyl překonfigurován. Pro obnovu je důležitější jiný detail: klíč byl jednou vypsán a nikdy nebyl uložen ani odeslán, takže slovy společnosti Sysdig: „The victim cannot recover the encrypted configurations even with payment.“ (Oběť nemůže zašifrované konfigurace obnovit ani po zaplacení.) Tato data mohla vrátit jedině kopie pořízená před útokem a uchovávaná mimo dosah útočníka.
7. Vydírání. Vytvořil tabulku README_RANSOM s požadavkem, bitcoinovou adresou a kontaktem přes Proton Mail.

Upřímná výhrada

Chceme být přesní v tom, co zde „autonomní“ znamená, protože přehánění by oslabilo argument, který se chystáme předložit.

Sysdig jmenuje dvě věci, které nevidí. Nezaznamenal, jak agent získal root přihlašovací údaje k MySQL, které použil ve čtvrtém kroku. A uvádí, že má „no visibility into JADEPUFFER's system prompt or agent configuration“ (žádný vhled do systémového promptu ani konfigurace agenta JADEPUFFER), takže nemůže říct, jaký cíl nebo jaké prostředky agentovi před spuštěním dal člověk. Někdo ho sestavil, nakonfiguroval a spustil.

Co Sysdig dokumentuje, je chování uvnitř relací, které zachytil: více než 600 různých payloadů, kód, který komentuje vlastní uvažování, a selhání diagnostikovaná a opravená během sekund. Na základě těchto důkazů dospívá k závěru, že „the evidence points to an autonomous agent driving the operation rather than a human operator or a fixed toolkit.“ (důkazy ukazují spíše na autonomního agenta, který operaci řídil, než na lidského operátora nebo pevně danou sadu nástrojů).

Toto rozlišení je důležité a podle nás argument spíše posiluje, než oslabuje. I řetězec, ve kterém cíl nastaví člověk a provedení obstará agent, odstraňuje největší zdroj zpoždění v tradiční ransomwarové operaci: čas, který lidský operátor stráví přemýšlením, domlouváním se s řídící osobou a rozhodováním, co zkusit dál.

Proč je 31 sekund důležitějších, než se zdá

Oněch 31 sekund není celková doba trvání útoku. Sysdig celkovou dobu trvání řetězce nezveřejňuje a my si ji záměrně vymýšlet nebudeme. Zveřejňuje však sekvenci s časovými razítky z převzetí Nacos. Agent vložil svůj backdoor administrátorský účet, v 19:34:36 UTC se pokusil přihlásit a neuspěl. Paralelně otestoval dvě možné příčiny a v 19:35:07 odeslal 15řádkový opravný payload, který účet správně znovu sestavil. Přihlášení uspělo v 19:35:18. Slovy společnosti Sysdig: „The window between the failed login and the correct multi-step fix is 31 seconds.“ (Okno mezi neúspěšným přihlášením a správnou vícekrokovou opravou je 31 sekund.) Sysdig popisuje stejný vzorec i jinde v relaci. Když požadavek vrátil XML místo JSON, další payload zpracovával XML. Když DROP DATABASE selhal na omezení cizího klíče, další payload tuto kontrolu nejprve vypnul.

Srovnejte to s tím, jak se chová lidský operátor, když krok selže. Zastaví se. Znovu vyhodnotí situaci. Ve strukturované operaci typu ransomware-as-a-service možná napíše řídící osobě a čeká na pokyny. Další pokus provede v horizontu minut nebo hodin, někdy až po střídání směn. Tato latence, tedy mezera mezi selháním a dalším pokusem, byla vždy jednou z mála věcí, které hrály ve prospěch obránců. Právě díky ní může upozornění ze 2:00 ráno ještě v 8:00 vyhodnotit člověk, aniž by se incident mezitím nutně dramaticky zhoršil.

Agent, který tuto mezeru zkrátí na 31 sekund, není jen rychlejší. Odstraňuje předpoklad zabudovaný téměř do každého runbooku pro reakci na incidenty: že mezi prvním neúspěšným pokusem útočníka a jeho dalším pokusem je okno v lidském měřítku a že proces detekce a reakce, který běží v podobném lidském časovém měřítku, může rozumně očekávat, že v tomto okně zasáhne.

Čísla, která platila ještě předtím, než se objevila AI

Zálohovací infrastruktura se cílem nestala kvůli agentní AI. Cílem už byla a data, která to dokládají, předcházejí JADEPUFFER o dva roky.

• 2024 Ransomware Trends Report společnosti Veeam, průzkum mezi 1 200 respondenty z organizací, které v roce 2023 utrpěly alespoň jeden ransomwarový útok, zjistil, že „backup repositories are targeted in 96% of attacks, with bad actors successfully affecting the backup repositories in 76% of cases.“ (zálohovací repozitáře jsou cílem v 96 % útoků, přičemž útočníci je úspěšně zasáhnou v 76 % případů). Veeam údaj 96 % opakuje na svém vlastním blogu.
• Výzkum společnosti Sophos z roku 2024 o kompromitovaných zálohách, vycházející z odpovědí 2 974 IT a kyberbezpečnostních odborníků, jejichž organizace byly v předchozím roce zasaženy ransomwarem, zjistil, že „The median overall ransomware recovery costs for organizations whose backups were compromised ($3M) came in eight times higher than that of organizations whose backups were not impacted ($375K).“ (Medián celkových nákladů na obnovu po ransomwaru u organizací s kompromitovanými zálohami, tedy 3 mil. USD, byl osmkrát vyšší než u organizací, jejichž zálohy zasaženy nebyly, tedy 375 tis. USD.)

Tato čísla popisují svět lidských útočníků, kteří už chápali, že zničení nebo zašifrování zálohovací vrstvy je nejúčinnější tah, jaký má ransomwarová operace k dispozici, jakmile získá oporu. Agentní AI na tomto kalkulu nic nemění. Mění to, kdo nebo co jej dokáže provádět ve velkém měřítku, nepřetržitě, bez potřeby spát, dělat přestávku mezi směnami nebo čekat na souhlas řídící osoby, než zkusí další přihlašovací údaje.

IBM 2026 X-Force Threat Intelligence Index k tomu přidává vývojový trend. IBM X-Force zaznamenala 44% nárůst útoků, které začaly zneužitím aplikací dostupných z internetu, což je přesně vstupní vektor, který použil JADEPUFFER, a počet aktivních ransomwarových a vyděračských skupin meziročně vzrostl o 49 %. Útočná plocha rostla už předtím, než k čemukoli z toho byl potřeba autonomní operátor.

Od oken pro detekci k jistotě obnovy

Zneužití známé zranitelnosti je už nyní nejčastější cestou dovnitř. Tatáž zpráva IBM uvádí, že zneužívání zranitelností „became the leading cause of attacks, accounting for 40% of incidents observed by X-Force in 2025.“ (se stalo hlavní příčinou útoků a v roce 2025 představovalo 40 % incidentů, které X-Force zaznamenala). Mezera mezi známými a uzavřenými zranitelnostmi je příliš velká a doplňuje se příliš soustavně, než aby byla dokonalá prevence realistická. JADEPUFFER do tohoto vzorce zapadá: Sysdig poznamenává, že útok na skutečný cíl „leaned on years-old issues, a 2021 Nacos auth-bypass and an unchanged default signing key.“ (se opíral o roky staré problémy, obejití autentizace v Nacos z roku 2021 a nezměněný výchozí podpisový klíč). JADEPUFFER tento argument nemění. Zostřuje ho.

Pokud pracovním předpokladem oboru bylo, že proces detekce a reakce v lidském tempu může rozumně očekávat, že zachytí průnik někde mezi počátečním přístupem a nevratným dopadem, pak agent, který se sám opraví za 31 sekund, tento předpoklad přímo zpochybňuje. Odpovědí nemůže být „detekovat a reagovat rychleji než stroj“, protože to není závod, u kterého mohou obránci očekávat, že ho budou vyhrávat donekonečna. Odpověď musí být architektonická: zajistit, aby výsledek rychlého a adaptivního průniku byl přežitelný bez ohledu na to, o kolik rychlejší útočník bude.

Konkrétně: vlastnosti, na kterých u infrastruktury zálohování a obnovy záleží, se nemění jen proto, že útočníkem je AI agent místo člověka. Z aspirací se ale stávají nepostradatelné požadavky:

• Oddělení přihlašovacích údajů a identit, které nezávisí na tom, že si člověk včas všimne neobvyklé aktivity. Pokud jsou přihlašovací údaje, se kterými se lze dostat do vašeho zálohovacího prostředí, stejné jako ty, které agent dokáže během sekund vytěžit z kompromitovaného hostitele, izolace musí být strukturální, nikoli procedurální.
• Neměnnost, která je ověřená, nejen nakonfigurovaná. Retenční zámek, který lze s dostatečně privilegovanými přihlašovacími údaji potichu vypnout, je kontrola, která předpokládá, že lidský útočník zaváhá. Agent nezaváhá.
• Testování obnovy, které předpokládá, že útočník už vaše prostředí zná. Agent JADEPUFFER se neúspěšným krokům přizpůsoboval v reálném čase. Plán obnovy, který byl dosud testován pouze proti jedinému očekávanému scénáři selhání, je plán postavený na pomalejšího a předvídatelnějšího protivníka, než jaký je nyní prokazatelně možný.

Co to znamená pro lídry v oblasti podnikových rizik

JADEPUFFER je jedna zdokumentovaná kampaň, nikoli důkaz, že každá ransomwarová operace je nyní autonomní. Pokud však hodnocení společnosti Sysdig platí, bylo nyní pozorováno něco, co bylo dříve teoretické: LLM agent provádějící skutečný útočný řetězec proti skutečnému cíli se smyčkou sebeopravy měřenou v sekundách.

Pro lídry v oblasti rizik už praktickou otázkou není, zda bude agentní ransomware častější. Sysdig uvádí, že obránci „should expect the volume and breadth of such campaigns to rise as agentic tooling matures“ (by měli očekávat, že objem a rozsah takových kampaní poroste s tím, jak budou agentní nástroje dozrávat), a IBM X-Force „expects adversaries to automate complex tasks like reconnaissance and advanced ransomware attacks.“ (očekává, že protivníci budou automatizovat složité úkoly, jako je průzkum a pokročilé ransomwarové útoky). Praktickou otázkou je, zda předpoklady vaší architektury obnovy byly postaveny pro protivníka v lidském tempu, nebo pro protivníka, který už v lidském tempu postupovat nemusí.

Kde přichází na řadu BackupSec

V BackupSec jsme svůj přístup postavili na premise, kterou JADEPUFFER činí naléhavější: prevence selže a o výsledku rozhoduje vrstva, která byla navržena tak, aby toto selhání přežila, ať se to, co ho způsobilo, pohybovalo jakkoli rychle.

• ZeroMON monitoruje Veeam Backup & Replication. Nasazuje se on-premises jako OVA, připojuje se pomocí účtu jen pro čtení a nic neodesílá společnosti BackupSec ani žádné třetí straně. Sleduje stav zálohovacích úloh, zaznamenává změny konfigurace ve Veeamu (kdo co změnil a kdy), zobrazuje stav neměnnosti tak, jak ho uvádí vlastní nastavení repozitářů ve Veeamu, a drží na očích checklist Veeam Security Analyzer. Jeho pravidla pro upozornění pokrývají kroky, které útočník provádí proti zálohám na straně Veeamu, například změny přihlašovacích údajů, úpravy retence a plánů, vypnuté úlohy a relace mazání. Upozornění chodí e-mailem a jako notifikace v aplikaci. ZeroMON sleduje Veeam: nevidí sběr přihlašovacích údajů na jiných hostitelích a čte nastavení neměnnosti ve Veeamu, místo aby kontroloval zámky na samotném úložišti.
• ZeroTAM poskytuje vašemu týmu vyhrazeného poradce pro bezpečnost záloh: revizi architektury, plánování obnovy po ransomwaru, otázky kapacity a prioritní podporu v krizi. Právě zde si můžete prověřit, zda vaše oddělení identit, neměnnost a izolace byly navrženy pro útočníka v lidském tempu.
• ZeroPEN je penetrační test řízený hrozbami (threat-led) pro Veeam Backup & Replication, Veeam ONE a Enterprise Manager. Simuluje ransomwarový kill chain v osmi fázích namapovaných na MITRE ATT&CK, od počátečního přístupu a zneužití přihlašovacích údajů přes přístup k repozitářům a neutralizaci záloh až po prokázání schopnosti šifrovat. Součástí zakázky je ověření integrity obnovy a neměnnosti; výstupem jsou důkazy připravené pro audit a opakovaný test u kritických nálezů. Test je nedestruktivní: ZeroPEN „never deletes real backups, performs real encryption, or stops production or backup services.“ (nikdy nemaže skutečné zálohy, neprovádí skutečné šifrování ani nezastavuje produkční nebo zálohovací služby).

Otázka, kterou JADEPUFFER otevírá, nezní, zda je vaše obrana rychlá. Zní, zda byla vaše architektura obnovy postavena tak, aby na rychlosti obrany nezávisela.

Promluvte si s BackupSec o ověření vaší architektury obnovy →

Tato analýza vychází z výzkumu společnosti Sysdig o JADEPUFFER z července 2026, z IBM 2026 X-Force Threat Intelligence Index, z Veeam 2024 Ransomware Trends Report a z výzkumu společnosti Sophos z roku 2024 o kompromitovaných zálohách; podrobnosti o zranitelnostech pocházejí z NVD a CISA. Zde prezentovaná interpretace a rámec jsou vlastní BackupSec. Chcete-li probrat, jak se tato analýza vztahuje na vaše konkrétní prostředí, kontaktujte náš tým →