JadePuffer atakuje Azure agentami AI i kasuje konta magazynowe

Operator ransomware JadePuffer, oznaczony przez Microsoft jako Storm-3168, atakuje dzierżawy Azure przy użyciu agentów AI i w siedem minut próbował skasować ponad 100 kont magazynowych. Nie chodzi o lukę z poprawką, tylko o przejęte tożsamości usługowe.

Według firmy Sysdig złośliwe oprogramowanie pojawiło się w lipcu i automatyzuje cały łańcuch ataku: rozpoznanie, kradzież poświadczeń, ruch boczny, utrwalenie i szyfrowanie danych. Microsoft opisał dwa czerwcowe ataki, w których napastnik usunął większość wskazanych kont magazynowych oraz blokady Azure Site Recovery. Część kont przetrwała dzięki blokadom zasobów Azure i zabezpieczeniom na poziomie konta magazynowego. Próby usunięcia baz Azure SQL nie powiodły się, bo napastnik użył nieobsługiwanej wersji API. Microsoft nie potwierdził kradzieży danych ani żądań okupu.

Kogo dotyczy

Firmy korzystające z Azure. W opisanych przypadkach napastnik działał przez dwa przejęte konta usługowe (service principal) z jednej dzierżawy. Celem były konta magazynowe, Key Vault, Function Apps, maszyny wirtualne i App Services, a według Sysdig także zbiory treningowe AI i bazy wektorowe.