Sysdig has uncovered what it calls the first “agentic ransomware” attack, an operation so automated and adaptive that it points to an AI-powered agent driving nearly the entire kill chain—though a human initially set parameters and provisioned the underlying infrastructure.

The intrusion began through an internet-exposed Langflow instance, exploiting a remote code execution vulnerability (CVE-2025-3248) in the code validation endpoint. This yielded a trove of secrets: the Langflow database contents and, from a misconfigured MinIO configuration bucket, default credentials that were never changed. The real prize, however, was a production server running Alibaba’s open-source Nacos service discovery and configuration tool. Nacos’s authentication mechanism is notoriously bypassable because its default JWT signing key is publicly documented and still present on countless deployments.

Using that weakness and a root MySQL access of unknown origin, the attacker injected an admin backdoor directly into the Nacos database. Then came the destructive payload: the entire set of service configurations was encrypted in-place via MySQL’s AES_ENCRYPT() function, first row by row, then at the schema level, rendering the production environment inoperable. A random AES key was generated but never stored or exfiltrated; it appeared exactly once in logs, and because the agent lacked long-term memory, the key was lost, making decryption impossible. A ransom note with a Bitcoin address was still deposited.

What makes the attack stand out is the consistent display of agentic behavior. During enumeration, the agent received XML when it had requested JSON; it adapted its parser on the fly and resubmitted the query. When injecting the backdoor, a first login test failed. Within 30 seconds, without human guidance, it diagnosed the error (a subprocess issue), crafted a corrected script, regenerated a bcrypt hash with a simpler password, and successfully added the admin account. Later, a failed DROP DATABASE due to a foreign key constraint prompted an instant adjustment: the next payload temporarily disabled foreign key checks before executing the drop.

Nearly every action was accompanied by a comment justifying the step, from prioritisation logic to the encryption sequence—a hallmark of conversational agents. The agent even wrote a completion marker, signalling readiness to continue after the task, another typical agent pattern. It also exploited natural language context on the target system that simple pattern matching would likely miss, with this behavior observed in sessions weeks apart.

The agent’s capabilities were boosted by abundant exposed secrets. It accessed API keys for OpenAI, Anthropic, Google, and DeepSeek during the operation. Combined with the default Nacos credentials and the root MySQL access, the Langflow environment provided a dangerously fertile launchpad. The incident underscores how the convergence of exposed management interfaces, unrotated default secrets, and AI-driven automation can yield attacks of startling speed and autonomy—where even a minor configuration oversight becomes a pivot point for catastrophic destruction.

Interprétation de contexte de l’environnement cible en langage naturel, commentaires justifiant chaque action, diagnostic et correction d’erreurs à une vitesse impensable pour l’humain… Pas de doute, on a affaire à un « ransomware agentique ».

Sysdig a tiré cette conclusion après avoir analysé une attaque à visée probablement destructrice. Il a d’abord affirmé qu’une IA avait piloté l’opération de bout en bout… avant de reconnaître qu’un humain avait tout de même défini les paramètres initiaux et provisionné l’infrastructure sous-jacente.

Des secrets partout… et des authentifiants par défaut

L’accès initial s’est fait via une instance Langflow exposée à Internet. Le vecteur : une RCE (CVE-2025-3248) dans l’endpoint de validation de code. Elle a permis de récolter des secrets à plusieurs niveaux. Notamment en extrayant la base de données de Langflow et en accédant à un bucket de configuration sur un magasin MinIO… configuré avec le port et les authentifiants par défaut.

La véritable cible était un serveur de production hébergeant une instance de Nacos (Naming and Configuration Service), outil open source de découverte et de configuration de services made in Alibaba.

Le mécanisme d’authentification de Nacos a déjà été maintes fois contourné. En particulier parce que la clé de signature JWT par défaut est documentée publiquement et encore présente sur beaucoup de déploiements.

Un accès root venu d’on ne sait où

La cyberattaque dont il est ici question a exploité cette vulnérabilité. Elle a aussi tiré parti d’un accès root à MySQL, grâce à des authentifiants root… dont Sysdig dit ne pas connaître l’origine. Cet accès a permis d’injecter une backdoor admin dans la base de données de Nacos. Et, au final, de chiffrer toutes les configurations de services via la fonction AES_ENCRYPT() de MySQL. D’abord au niveau des lignes, puis au niveau de schémas entiers. l’environnement de production s’est ainsi trouvé paralysé.

La clé AES, générée aléatoirement, n’a jamais été stockée ou exfiltrée. N’étant apparue qu’une fois dans les logs, et l’agent ne disposant pas d’une mémoire à long terme, elle a été perdue, rendant le déchiffrement impossible. Ce qui n’a pas empêché le dépôt d’une note de rançon, avec une adresse Bitcoin.

Des comportements dits typiquement agentiques

Plusieurs observations accréditent la thèse d’une opération automatisée. L’une concerne la phase d’énumération. Ayant reçu du XML alors qu’il avait demandé du JSON, l’agent a adapté son parseur avant de renvoyer la requête.

L’injection de la backdoor a aussi exposé un comportement typiquement agentique. La procédure consistait à générer un hash bcrypt, à injecter le compte puis à lui donner le rôle admin. La première tentative n’a pas fonctionné (échec du test de login). En à peine 30 secondes, une solution a été trouvée, sans intervention humaine : recréer le compte avec un hash correspondant à un mot de passe plus simple. Dans cet intervalle, il a fallu lire le message d’erreur login, identifier la cause racine (un problème de sous-processus), élaborer un script et le soumettre.

Le même pattern s’est retrouvé au niveau de la destruction de la base de données. En raison d’une contrainte de clé étrangère, le premier DROP DATABASE avait échoué. La deuxième charge utile avait éliminé temporairement la vérification des clés étrangères.

Sysdig perçoit deux autres signes d’attaque agentique. D’une part, la justification de presque chaque action par un commentaire, jusqu’à la logique de priorisation du chiffrement. De l’autre, l’écriture d’un marqueur d’achèvement typique des agents qui, ayant terminé une tâche, signalent qu’ils sont prêts à continuer.

Autre indice potentiel : la capacité à exploiter du contexte que la cible présentait en langage naturel et que du pattern matching n’aurait possiblement pas suffi à interpréter. Ce comportement s’est retrouvé dans des sessions séparées de plusieurs semaines.

Au cours de l’attaque, l’agent a accédé à des clés d’API OpenAI, Anthropic, Google et DeepSeek.

La présence de secrets dans l’environnement Langflow a facilité les choses. Comme l’authentification par défaut sur Nacos, qui pouvait par ailleurs se connecter en root à la base de données.

Illustration générée par IA

The post Un premier « ransomware agentique » repéré dans le cyberespace appeared first on Silicon.fr.