Unternehmen müssen ihre Incident-Response-Strategien dringend anpassen, um schnellere Angriffe zu bewältigen.
▸▾Herleitung der Bewertung(7)
Wie der Wert zustande kommt
- Im CISA-KEV-Katalog: CVE-2025-3248+25
- Hoechster CVSS-Basiswert 9.8+18
- EPSS 100.0 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+15
- Wird laut Meldung tatsaechlich ausgenutzt: actively exploited+12
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2025-3248, CVSS-Vektor AV:N/PR:N)+10
- Ransomware-Vorfall — Thema: ransomware, ransom | Ereignisbeleg: targeted, incident+10
- Belegte Wirkungstaktik: impact+8
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Agentic Ransomware and Kernel-Level Evasion Are Compressing the Window OT Defenders Rely On
Sicherheitsforscher haben die erste vollständig agentische Ransomware-Operation namens JADEPUFFER dokumentiert, bei der ein KI-Modell autonom Angriffe durchführte. Gleichzeitig wurde eine Ransomware-Familie namens GodDamn entdeckt, die einen signierten Kernel-Treiber nutzt, um EDR-Software zu deaktivieren. Diese Entwicklungen bedeuten, dass Angriffe schneller und unauffälliger werden, was die Reaktionszeit für OT-Verteidiger drastisch verkürzt. Unternehmen müssen ihre Incident-Response-Strategien dringend anpassen, da menschliche Reaktionszeiten und traditionelle Sichtbarkeit nicht mehr ausreichen.
SecBoard-Einordnung
Diese neuen Ransomware-Typen beschleunigen Angriffe und umgehen traditionelle Erkennungsmethoden, was die menschliche Reaktionszeit überfordert. Dies erfordert eine dringende Anpassung der Incident-Response-Strategien und der Annahmen zur defensiven Sichtbarkeit.
Realistisch schlimmster Fall: Ein erfolgreicher Angriff könnte zu einer schnellen Kompromittierung von OT/ICS-Systemen führen, die durch deaktivierte EDR-Lösungen unentdeckt bleibt. Dies könnte Betriebsunterbrechungen, Produktionsausfälle und erhebliche finanzielle Schäden zur Folge haben, bevor manuelle Eingriffe möglich sind.
Empfehlung: Unternehmen müssen ihre Incident-Response-Strategien dringend anpassen, um schnellere Angriffe zu bewältigen. Dies beinhaltet die Überprüfung und Stärkung der defensiven Sichtbarkeit, insbesondere in OT/ICS-Umgebungen, und die Implementierung von Maßnahmen, die über traditionelle EDR-Lösungen hinausgehen.
Im erfassten Bestand
- ▸4. erfasste Meldung zu Carbon innerhalb von 90 Tagen.
- ▸CVE-2025-3248 stand zum Zeitpunkt dieser Meldung seit 458 Tagen im KEV-Katalog der CISA.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- 9.8 · CRITICAL
- EPSS
- 100.0%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2025-05-05
- Patch
- unbekannt
- Zuweisende CNA
- disclosure@vulncheck.com
Betroffen
Organisationen mit OT/ICS-Umgebungen, insbesondere im Bereich Telekommunikation, sind betroffen. Unternehmen, die EDR-Lösungen einsetzen, sind ebenfalls einem erhöhten Risiko ausgesetzt.
Hersteller
Produkte
▸ CPE-Rohbezeichner anzeigen▾ CPE-Rohbezeichner ausblenden (1)
- cpe:2.3:a:langflow:langflow:*:*:*:*:*:*:*:*
Prüfen
3- ▸Überprüfen Sie, ob Ihre EDR-Lösungen in OT/ICS-Umgebungen ordnungsgemäß funktionieren und ob sie vor Kernel-Level-Manipulationen geschützt sind. Testen Sie die Erkennung von unbekannten signierten Treibern.
- ▸Bewerten Sie Ihre aktuellen Incident-Response-Pläne auf ihre Fähigkeit, auf Angriffe zu reagieren, die menschliche Reaktionszeiten übertreffen. Führen Sie Simulationen mit beschleunigten Angriffsvektoren durch.
▸ 1 weitere▾ weniger
- ▸Stellen Sie sicher, dass Ihre OT/ICS-Netzwerke segmentiert sind und dass kritische Systeme vor unautorisiertem Zugriff geschützt sind, auch wenn EDR-Lösungen deaktiviert sind.
Offene Punkte
4▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, welche spezifischen KI-Modelle von JADEPUFFER verwendet werden.
- ▸Es ist nicht spezifiziert, welche genauen Schwachstellen oder Methoden der signierte Kernel-Treiber PoisonX ausnutzt, um EDR-Software zu deaktivieren.
- ▸Es ist nicht spezifiziert, welche spezifischen EDR-Lösungen von GodDamn betroffen sind.
- ▸Es ist nicht spezifiziert, welche Länder von diesen Bedrohungen betroffen sind.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Active Directory / Entra extern erreichbar?
- Haben wir Windows extern erreichbar?
- Können wir Impact detektieren?
Erwähnte Akteure & Werkzeuge
MITRE ATT&CK(4)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„ein KI-Modell autonom Angriffe durchführte“
„die erste vollständig agentische Ransomware-Operation namens JADEPUFFER“
„Gleichzeitig wurde eine Ransomware-Familie namens GodDamn entdeckt, die einen signierten Kernel-Treiber nutzt, um EDR-Software zu deaktivieren.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
0
Ausnutzung
0
Einnistung
0
Fernsteuerung
0
Zielhandlung
1
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile
ATT&CK-Heatmap