JadePuffer, el primer ransomware totalmente autónomo: alertan de un ataque sin rescate posible

Investigadores de seguridad han identificado hoy a JadePuffer, una campaña de ransomware que ellos mismos presentan como la primera totalmente autónoma de la que se tiene constancia hasta ahora. Siempre según ese análisis, la operación habría recorrido por sí sola toda la cadena de ataque, desde el acceso inicial hasta el cifrado final, sin que un operador humano tuviera que ir marcando manualmente cada paso.

El caso inquieta por dos razones. La primera es el nivel de automatización ofensiva que, de confirmarse, pone sobre la mesa. La segunda tiene que ver con el daño causado: el resultado fue especialmente destructivo, porque los archivos afectados no podían recuperarse ni pagando un rescate. La clave de cifrado, de acuerdo con los investigadores, ni se guardó ni se envió a ningún servidor.

La entrada, explican, se produjo a través de CVE-2025-3248, una vulnerabilidad crítica ya conocida en Langflow, un framework de código abierto.

Y ese detalle importa. Incluso operaciones mucho más complejas siguen entrando por fallos bastante básicos, documentados y, al menos en teoría, corregibles con una gestión de parches decente. Una vez dentro, siempre según el informe, el agente de JadePuffer se encargó del robo de credenciales y del movimiento lateral dentro de la red comprometida.

Los analistas subrayan además que el malware no se limitó a ejecutar un guion rígido. Fue corrigiendo y ajustando su conducta sobre la marcha. En uno de los ejemplos que recoge el informe, tras un intento fallido de inicio de sesión detectó el problema, lo corrigió y volvió a intentarlo con éxito en apenas 31 segundos. Para los equipos defensivos, eso recorta el margen de reacción de forma brutal. En campañas más tradicionales, los operadores humanos suelen dejar pausas entre una fase y otra; aquí, dicen los analistas, el paso del acceso al abuso de credenciales y de ahí a la propagación fue mucho más rápido.

El desenlace también se sale del esquema clásico del ransomware. Según los investigadores, JadePuffer cifró 1.342 elementos de configuración de servicios y, después, eliminó los datos originales.

Como la clave no se conservó, recuperar la información era imposible incluso si la víctima optaba por negociar. La nota de rescate, además, abrió más dudas sobre la motivación económica real del ataque: la dirección de Bitcoin incluida era, según los investigadores, un monedero de ejemplo. No es lo esperable en una operación pensada para sacar dinero.

Expertos de la empresa de ciberseguridad Sysdig sitúan JadePuffer como una señal de alarma para todo el sector. Eso da más peso a la idea de que el objetivo pudiera ser puramente destructivo, experimental o incluso una demostración de capacidades. Y hay otra derivada: baja la barrera de entrada para actores menos sofisticados, que podrían poner en marcha campañas avanzadas apoyándose en sistemas automatizados.

El incidente también encaja con la deriva hacia lo que algunos analistas ya llaman Ransomware 3.0. Después de varios casos observados en 2025, en operaciones de espionaje digital con agentes autónomos, el salto a campañas de extorsión y sabotaje parecía solo cuestión de tiempo.

Para las organizaciones, la lección inmediata sigue siendo la misma: parchear vulnerabilidades conocidas, vigilar credenciales, segmentar redes y acortar los tiempos de detección. Lo que sí cambia es la velocidad a la que puede desarrollarse todo el ataque una vez que el intruso logra entrar.