De aanvaller van 31 seconden: wat de eerste autonome ransomware-aanval betekent voor herstel

Toen de aanvaller geen mens meer nodig had

Op 1 juli 2026 publiceerde het Sysdig Threat Research Team zijn analyse van een ransomware-operatie die het JADEPUFFER noemde. In de woorden van Sysdig gaat het om "what we assess to be the first documented case of agentic ransomware: a complete extortion operation driven end-to-end by a large language model (LLM)." (wat Sysdig beoordeelt als het eerste gedocumenteerde geval van agentic ransomware: een volledige afpersingsoperatie die van begin tot eind door een large language model werd aangestuurd).

Dit is niet het zoveelste verhaal over door AI geschreven phishingmails of deepfake-telefoontjes. In de payloads die Sysdig vastlegde, misbruikte de agent een applicatie die vanaf internet bereikbaar was, verzamelde hij credentials, stapte hij over naar een tweede server, nam hij de configuratieservice daarvan over, versleutelde en verwijderde hij data en liet hij een losgeldeis achter. Als een stap mislukte, stelde hij de oorzaak vast en probeerde hij het opnieuw zonder op instructies te wachten.

Bij BackupSec vinden we JADEPUFFER minder belangrijk als afzonderlijk incident dan als voorproefje. Het is een vroeg datapunt voor een vraag die elke back-up- en herstelarchitectuur uiteindelijk moet beantwoorden: wat gebeurt er als de beslislus aan de andere kant krimpt van uren naar seconden?

De aanvalsketen van JADEPUFFER van binnenuit

In grote lijnen is dit een kill chain waartegen securityteams zich al jaren verdedigen. Sysdig zegt dat ook zelf: "None of the individual techniques were novel or sophisticated." (geen van de afzonderlijke technieken was nieuw of geavanceerd). Nieuw was wat ze uitvoerde. De volgorde hieronder volgt het verslag van Sysdig:

1. Initiële toegang. De agent misbruikte CVE-2025-3248 in Langflow, een opensourceframework voor het bouwen van LLM-applicaties. NVD omschrijft het als code-injectie in het endpoint /api/v1/validate/code waarmee "a remote and unauthenticated attacker" (een aanvaller op afstand zonder authenticatie) willekeurige code kan uitvoeren, en geeft het een CVSS-score van 9,8. De fix verscheen in Langflow 1.3.0 op 31 maart 2025, en CISA nam de kwetsbaarheid op 5 mei 2025 op in zijn Known Exploited Vulnerabilities-catalogus. De patch bestond; hij was alleen niet toegepast.
2. Credentials verzamelen. Op de Langflow-host inventariseerde de agent het systeem en doorzocht hij de omgeving op API-sleutels van LLM-aanbieders, cloudcredentials, cryptowallets en databasecredentials, waarna hij de eigen Postgres-database van Langflow dumpte. Hij vond een MinIO-objectstore die vanaf de host bereikbaar was, logde in met de standaardcredentials van MinIO (minioadmin:minioadmin) en somde buckets op die volgens Sysdig "application data, backups, ML artifacts, and a terraform-state bucket" (applicatiedata, back-ups, ML-artefacten en een bucket met Terraform-state) bevatten. Uit een daarvan haalde hij een bestand credentials.json met een access key en bijbehorend secret.
3. Persistentie. Hij installeerde op de Langflow-host een crontab-regel die elke 30 minuten contact zoekt met de infrastructuur van de aanvaller.
4. Naar het echte doelwit. Volgens Sysdig was het eigenlijke doelwit van de operatie een aparte productieserver, bereikbaar vanaf internet, met MySQL en een Alibaba Nacos-configuratieservice. De agent maakte als root verbinding met de blootgestelde MySQL-poort. Sysdig heeft niet gezien waar die root-credentials vandaan kwamen: "Their origin is unknown." (hun herkomst is onbekend).
5. Overname van Nacos. De agent viel Nacos via meerdere routes tegelijk aan: de familie van authenticatie-omzeilingen rond CVE-2021-29441 (volgens NVD kan in Nacos vóór 1.4.1 het authenticatiefilter worden overgeslagen met een vervalste user-agent-header), een JSON Web Token vervalst met de publiek gedocumenteerde standaard-signing key van Nacos, en een achterdeur-beheerdersaccount dat met de root-toegang rechtstreeks in de Nacos-database werd geschreven. De JWT-route mislukte ("custom secret in use", er was een eigen secret ingesteld) en werd opgegeven. Het achterdeuraccount werkte, na de correctie van 31 seconden die hieronder wordt beschreven.
6. Impact. De agent versleutelde alle 1.342 Nacos-configuratie-items met AES_ENCRYPT() van MySQL, verwijderde de oorspronkelijke configuratie- en historietabellen en ging vervolgens complete databaseschema's droppen. Het losgeldbriefje claimt AES-256; Sysdig wijst erop dat AES_ENCRYPT() standaard AES-128-ECB gebruikt, tenzij de server anders is geconfigureerd. Het detail dat voor herstel zwaarder weegt: de sleutel werd één keer afgedrukt en nooit opgeslagen of verstuurd, dus, in de woorden van Sysdig, "The victim cannot recover the encrypted configurations even with payment." (het slachtoffer kan de versleutelde configuraties zelfs na betaling niet terugkrijgen). Alleen een kopie van vóór de aanval, buiten bereik van de aanvaller bewaard, kon die data terugbrengen.
7. Afpersing. Hij maakte een tabel README_RANSOM aan met de eis, een bitcoinadres en een contactadres bij Proton Mail.

De eerlijke kanttekening

We willen precies zijn over wat "autonoom" hier betekent, want overdrijven zou het argument dat we zo gaan maken ondermijnen.

Sysdig noemt twee dingen die het niet kan zien. Het heeft niet waargenomen hoe de agent aan de MySQL-root-credentials kwam die hij in stap vier gebruikte. En het heeft "no visibility into JADEPUFFER's system prompt or agent configuration" (geen zicht op de systeemprompt of de agentconfiguratie van JADEPUFFER), dus het kan niet zeggen welk doel of welke middelen een mens de agent vooraf heeft meegegeven. Iemand heeft hem gebouwd, geconfigureerd en gestart.

Wat Sysdig wel documenteert, is gedrag binnen de sessies die het heeft vastgelegd: meer dan 600 verschillende payloads, code die zijn eigen redenering verwoordt, en fouten die binnen seconden werden gediagnosticeerd en gecorrigeerd. Op basis van dat bewijs concludeert Sysdig dat "the evidence points to an autonomous agent driving the operation rather than a human operator or a fixed toolkit." (het bewijs wijst op een autonome agent die de operatie aanstuurde, niet op een menselijke operator of een vaste toolkit).

Dat onderscheid doet ertoe, en volgens ons versterkt het het argument eerder dan dat het dit verzwakt. Ook een keten waarin een mens het doel bepaalt en de agent de uitvoering doet, schrapt de grootste bron van vertraging in een traditionele ransomware-operatie: de tijd die een menselijke operator besteedt aan nadenken, overleggen met een handler en beslissen wat hij daarna probeert.

Waarom 31 seconden zwaarder weegt dan het klinkt

De 31 seconden zijn geen totale aanvalsduur. Sysdig publiceert geen doorlooptijd voor de hele keten, en wij gaan er bewust geen verzinnen. Wat Sysdig wel publiceert, is een reeks met tijdstempels uit de overname van Nacos. De agent voegde zijn achterdeur-beheerdersaccount toe, probeerde om 19:34:36 UTC in te loggen en dat mislukte. Hij testte twee mogelijke oorzaken parallel en stuurde om 19:35:07 een corrigerende payload van 15 regels die het account correct opnieuw opbouwde. De login slaagde om 19:35:18. In de woorden van Sysdig: "The window between the failed login and the correct multi-step fix is 31 seconds." (het venster tussen de mislukte login en de juiste fix in meerdere stappen is 31 seconden). Sysdig ziet hetzelfde patroon elders in de sessie. Toen een request XML teruggaf in plaats van JSON, parste de volgende payload XML. Toen een DROP DATABASE strandde op een foreign-key-constraint, zette de volgende eerst die controle uit.

Vergelijk dat met hoe een menselijke operator reageert als een stap mislukt. Hij pauzeert. Hij beoordeelt de situatie opnieuw. In een gestructureerde ransomware-as-a-service-operatie stuurt hij misschien een bericht naar een handler en wacht hij op aanwijzingen. Hij probeert het opnieuw in een tijdsbestek van minuten of uren, soms over een dienstwissel heen. Die vertraging, het gat tussen een mislukking en de volgende poging, is altijd een van de weinige dingen geweest die in het voordeel van verdedigers werkten. Daardoor kan een alert van 2 uur 's nachts nog om 8 uur 's ochtends door een mens worden getrieerd zonder dat het incident in de tussentijd per se dramatisch erger is geworden.

Een agent die dat gat terugbrengt tot 31 seconden, is niet alleen sneller. Hij schrapt de aanname die in bijna elk incident-response-runbook zit ingebakken: dat er een venster op menselijke schaal bestaat tussen de eerste mislukte poging van een aanvaller en de volgende, en dat een detectie- en responsproces dat op een vergelijkbare menselijke tijdschaal werkt redelijkerwijs kan verwachten daarbinnen in te grijpen.

De cijfers die al klopten voordat AI verscheen

Back-upinfrastructuur is geen doelwit geworden door agentic AI. Dat was ze al, en de data daarover dateren van twee jaar vóór JADEPUFFER.

• Het 2024 Ransomware Trends Report van Veeam, een enquête onder 1.200 respondenten van organisaties die in 2023 ten minste één ransomware-aanval te verwerken kregen, stelde vast dat "backup repositories are targeted in 96% of attacks, with bad actors successfully affecting the backup repositories in 76% of cases." (back-uprepository's zijn bij 96% van de aanvallen doelwit, en aanvallers wisten de back-uprepository's in 76% van de gevallen daadwerkelijk te raken). Veeam herhaalt het cijfer van 96% op zijn eigen blog.
• Het onderzoek van Sophos uit 2024 naar gecompromitteerde back-ups, gebaseerd op 2.974 IT- en cybersecurityprofessionals van organisaties die in het voorgaande jaar door ransomware waren getroffen, stelde vast dat "The median overall ransomware recovery costs for organizations whose backups were compromised ($3M) came in eight times higher than that of organizations whose backups were not impacted ($375K)." (de mediane totale herstelkosten na ransomware lagen bij organisaties met gecompromitteerde back-ups ($3M) acht keer hoger dan bij organisaties waarvan de back-ups niet waren geraakt ($375K)).

Die cijfers beschrijven een wereld van menselijke aanvallers die al begrepen dat het vernietigen of versleutelen van de back-uplaag de zet met de meeste hefboomwerking is zodra een ransomware-operatie voet aan de grond krijgt. Agentic AI verandert niets aan die afweging. Wat het wel verandert, is wie of wat die zet kan uitvoeren: op schaal, dag en nacht, zonder te hoeven slapen, pauze te nemen of op goedkeuring van een handler te wachten voordat de volgende credential wordt geprobeerd.

De IBM 2026 X-Force Threat Intelligence Index voegt de trendlijn toe. IBM X-Force zag een stijging van 44% in aanvallen die begonnen met het misbruik van publiek bereikbare applicaties, precies de toegangsroute die JADEPUFFER gebruikte, en het aantal actieve ransomware- en afpersingsgroepen steeg met 49% ten opzichte van het jaar ervoor. Het aanvalsoppervlak groeide dus al voordat er ook maar een autonome operator voor nodig was.

Van detectievensters naar zekerheid over herstel

Het misbruiken van een bekende kwetsbaarheid is nu al de meest voorkomende manier om binnen te komen. Hetzelfde IBM-rapport zegt dat het misbruik van kwetsbaarheden "became the leading cause of attacks, accounting for 40% of incidents observed by X-Force in 2025." (de belangrijkste oorzaak van aanvallen werd, goed voor 40% van de incidenten die X-Force in 2025 waarnam). Het gat tussen bekende en gedichte kwetsbaarheden is te groot, en wordt te voortdurend aangevuld, om perfecte preventie realistisch te maken. JADEPUFFER past in dat patroon: Sysdig merkt op dat de aanval op het echte doelwit "leaned on years-old issues, a 2021 Nacos auth-bypass and an unchanged default signing key." (steunde op jaren oude problemen: een Nacos-authenticatie-omzeiling uit 2021 en een nooit gewijzigde standaard-signing key). JADEPUFFER verandert dat argument niet. Het maakt het scherper.

Als de werkhypothese in de sector is geweest dat een detectie- en responsproces op menselijk tempo een inbraak redelijkerwijs ergens tussen initiële toegang en onomkeerbare impact kan onderscheppen, dan is een agent die zichzelf in 31 seconden corrigeert een directe uitdaging voor die hypothese. Het antwoord kan niet zijn "sneller detecteren en reageren dan een machine", want dat is geen race waarvan verdedigers kunnen verwachten dat ze hem blijvend winnen. Het antwoord moet architectonisch zijn: zorg dat de uitkomst van een snelle, adaptieve inbraak overleefbaar is, hoeveel sneller de aanvaller ook wordt.

Concreet veranderen de eigenschappen die ertoe doen voor back-up- en herstelinfrastructuur niet doordat de aanvaller een AI-agent is in plaats van een mens. Ze worden alleen niet-onderhandelbaar in plaats van wenselijk:

• Scheiding van credentials en identiteiten die er niet van afhangt dat een mens ongebruikelijke activiteit op tijd opmerkt. Als de credentials die toegang geven tot uw back-upomgeving dezelfde zijn die een agent in seconden van een gecompromitteerde host kan halen, dan moet isolatie structureel zijn, niet procedureel.
• Immutability die wordt gevalideerd, niet alleen geconfigureerd. Een retentievergrendeling die een credential met voldoende rechten stilletjes kan uitschakelen, is een maatregel die ervan uitgaat dat een menselijke aanvaller zal aarzelen. Een agent aarzelt niet.
• Hersteltests die ervan uitgaan dat de aanvaller uw omgeving al kent. De agent van JADEPUFFER paste zich in real time aan mislukte stappen aan. Een herstelplan dat alleen ooit tegen één enkel, verwacht faalscenario is getest, is een plan voor een tragere, voorspelbaarder tegenstander dan de tegenstander die nu aantoonbaar mogelijk is.

Wat dit betekent voor risicoverantwoordelijken in grote organisaties

JADEPUFFER is één gedocumenteerde campagne, geen bewijs dat elke ransomware-operatie nu autonoom is. Maar als de beoordeling van Sysdig standhoudt, is iets wat eerder theoretisch was nu waargenomen: een LLM-agent die een echte aanvalsketen uitvoert tegen een echt doelwit, met een zelfcorrectielus die in seconden wordt gemeten.

Voor risicoverantwoordelijken is de praktische vraag niet langer of agentic ransomware vaker zal voorkomen. Sysdig zegt dat verdedigers "should expect the volume and breadth of such campaigns to rise as agentic tooling matures," (moeten verwachten dat het aantal en de reikwijdte van zulke campagnes toenemen naarmate agentic tooling volwassener wordt), en IBM X-Force "expects adversaries to automate complex tasks like reconnaissance and advanced ransomware attacks." (verwacht dat tegenstanders complexe taken zoals verkenning en geavanceerde ransomware-aanvallen gaan automatiseren). De praktische vraag is of de aannames onder uw herstelarchitectuur zijn gebouwd voor een tegenstander op menselijk tempo, of voor een tegenstander die dat tempo niet meer nodig heeft.

Waar BackupSec in beeld komt

Bij BackupSec hebben we onze aanpak gebouwd rond een uitgangspunt dat JADEPUFFER urgenter maakt: preventie zal falen, en de laag die de uitkomst bepaalt, is de laag die is gebouwd om dat falen te overleven, hoe snel de oorzaak ervan zich ook bewoog.

• ZeroMON monitort Veeam Backup & Replication. Het wordt on-premises uitgerold als OVA, maakt verbinding met een read-only account en stuurt niets naar BackupSec of een andere derde partij. Het volgt de gezondheid van back-upjobs, logt configuratiewijzigingen in Veeam (wie wat wanneer heeft gewijzigd), toont de immutability-status zoals de eigen repository-instellingen van Veeam die rapporteren, en houdt de checklist van de Veeam Security Analyzer in beeld. De alertregels dekken de stappen die een indringer aan de kant van Veeam tegen back-ups zet, zoals wijzigingen van credentials, aanpassingen van retentie en planning, uitgeschakelde jobs en delete-sessies. Alerts gaan uit per e-mail en als melding in de applicatie. ZeroMON kijkt naar Veeam: het ziet het verzamelen van credentials op andere hosts niet, en het leest de immutability-instellingen van Veeam uit in plaats van de locks op de storage zelf te controleren.
• ZeroTAM geeft uw team een vaste adviseur voor back-upsecurity: architectuurreview, planning van herstel na ransomware, capaciteit en ondersteuning met voorrang tijdens een crisis. Daar toetst u of uw identiteitsscheiding, immutability en isolatie zijn ontworpen voor een aanvaller op menselijk tempo.
• ZeroPEN is een threat-led penetratietest van Veeam Backup & Replication, Veeam ONE en Enterprise Manager. Het simuleert een ransomware-kill chain in acht fasen, gekoppeld aan MITRE ATT&CK, van initiële toegang en misbruik van credentials via toegang tot de repository en het uitschakelen van back-ups tot een bewijs van versleutelingsvermogen. De opdracht omvat verificatie van restore-integriteit en immutability en levert audit-klaar bewijs op, met een hertest voor kritieke bevindingen. De test is niet-destructief: ZeroPEN "never deletes real backups, performs real encryption, or stops production or backup services." (verwijdert nooit echte back-ups, voert nooit echte versleuteling uit en stopt nooit productie- of back-upservices).

De vraag die JADEPUFFER opwerpt, is niet of uw verdediging snel is. Het is of uw herstelarchitectuur zo is gebouwd dat ze er niet van afhangt dat die verdediging snel is.

Praat met BackupSec over het valideren van uw herstelarchitectuur →

Deze analyse steunt op het onderzoek van Sysdig naar JADEPUFFER van juli 2026, de IBM 2026 X-Force Threat Intelligence Index, het Veeam 2024 Ransomware Trends Report en het onderzoek van Sophos uit 2024 naar gecompromitteerde back-ups, met details over kwetsbaarheden van NVD en CISA. De interpretatie en het kader die hier worden gepresenteerd, zijn van BackupSec zelf. Wilt u bespreken hoe deze analyse op uw specifieke omgeving van toepassing is, neem dan contact op met ons team →