if ( !emtpy($headline_subheadline ) ) : ?>
Microsoft affirme que Jadepuffer, un attaquant autonome d’IA agentique signalé pour la première fois en juillet, cible désormais les ressources Azure ; Les informations d’identification exposées peuvent avoir fourni un moyen d’entrer.
endif; ?>
Jadepuffer, un attaquant autonome identifié pour la première fois en juillet, s’est étendu aux environnements Azure, en utilisant des identités numériques compromises pour énumérer les ressources, supprimer les actifs cloud et collecter d’autres informations d’identification, selon Microsoft.
L’activité comprend « une vaste activité de destruction de ressources axée sur Azure utilisant des principes de service compromis et la collecte d’informations d’identification cloud qui pourraient être utilisées pour faciliter une exfiltration future », a déclaré Microsoft dans un article de blog sur Storm-3168, également connu sous le nom de Jadepuffer. Les principaux de service sont des identités de machine uniques attribuées aux applications exécutées dans Azure.
« Les opérations destructrices ont été facilitées par la compromission des principaux de service et des comptes de stockage Azure ciblés, des bases de données SQL, des coffres de clés, des applications de fonction, des verrous de protection de récupération, des machines virtuelles et des services d’application », a déclaré Microsoft dans le billet de blog, « Storm-3168 : attaques cloud basées sur des agents utilisant des principaux de service compromis ».
La campagne a été signalée pour la première fois en juillet par Sysdig, qui a décrit Jadepuffer comme une opération basée sur l’IA capable d’exécuter des étapes d’attaque de manière autonome, y compris l’exploitation, l’accès aux informations d’identification et les activités destructrices.
Deux identités, des rôles partagés
Microsoft a déclaré avoir observé deux principes de service compromis chez le même locataire, l’un effectuant une reconnaissance et l’autre effectuant des découvertes, des actions destructrices et la collecte d’informations d’identification.
L’une des identités a passé plus de 15 heures à énumérer les machines virtuelles, les abonnements, les groupes de ressources et d’autres ressources, réalisant ainsi plus de 300 opérations de lecture réussies, a indiqué la société.
Un deuxième principal de service a énuméré les ressources sur plusieurs abonnements en quelques secondes et a ensuite effectué une découverte supplémentaire, a déclaré Microsoft.
Le calendrier et la division des activités « indiquent fortement une exécution automatisée ou scriptée », a déclaré la société.
Nick Tausek, architecte principal de l’automatisation de la sécurité chez Swimlane, a déclaré que ce modèle concorde avec les observations antérieures du comportement de la campagne.
« La précédente attaque de base de données de Jadepuffer a montré un agent d’IA travaillant sur un manuel d’extorsion et s’ajustant lorsque les étapes échouaient », a déclaré Tausek. « Microsoft retrace désormais le groupe dans Azure, où les principaux de service compromis ont cartographié les ressources avant une explosion de destruction de sept minutes. »
La séquence destructrice a duré quelques minutes
Après que les deux agents eurent terminé leur reconnaissance, ils commencèrent à semer le chaos, menant plus de 150 opérations destructrices ou liées aux accréditations en 35 minutes environ.
La principale séquence destructrice a duré environ sept minutes et comprenait plus de 100 tentatives de suppression de comptes de stockage, dont la plupart ont réussi, indique le blog.
Les attaquants ont également supprimé un plan Azure Key Vault, Function App et App Service lié au même groupe de ressources, a déclaré Microsoft.
Des tentatives ont également été faites pour supprimer les bases de données Azure SQL et les protections liées aux sauvegardes, notamment les verrous Azure Site Recovery et les verrous de protection des sauvegardes, a indiqué la société.
Tausek a déclaré que la rapidité et la coordination de l’activité pourraient remettre en question les modèles de réponse traditionnels.
« À cette vitesse, un SOC IA doit connecter l’activité d’identité aux changements dans le cloud avant que les dégâts ne se propagent », a-t-il déclaré.
Accès aux identifiants après destruction
Environ 30 minutes après l’activité destructrice, le même principal de service a demandé des clés d’accès au compte de stockage, effectuant plus de 30 requêtes ListKeys réussies, a déclaré Microsoft.
Les demandes incluaient des comptes de stockage associés aux services de récupération, indique le blog.
Microsoft a déclaré que la combinaison de la suppression de ressources, des tentatives d’interférence avec les mécanismes de récupération et la collecte d’informations d’identification est « cohérente avec les tactiques qui peuvent prendre en charge les opérations de ransomware et d’extorsion ».
La société a déclaré qu’elle n’avait pas observé de demande de rançon ni confirmé l’exfiltration de données dans le cadre de l’activité.
Ross Filipek, RSSI chez Corsica Technologies, a déclaré que la séquence de destruction suivie de l’accès aux informations d’identification soulève des défis supplémentaires en matière de réponse.
« La question de la récupération va ici au-delà de la reconstruction de ce qui a été supprimé », a déclaré Filipek. « Les attaquants ont ensuite demandé des clés de compte de stockage, leur offrant potentiellement un autre moyen d’accéder aux données. »
« Les intervenants doivent déterminer quelles identités et quelles clés ont été touchées, puis revoir leur utilisation avant de faire confiance aux services rétablis », a-t-il déclaré.
Exposition possible des titres de compétences
Microsoft a déclaré qu’il ne pouvait pas confirmer le vecteur d’accès initial, mais a constaté que les informations d’identification associées à un principal de service compromis avaient déjà été exposées en clair dans un problème public sur GitHub.
Le secret a ensuite été supprimé mais est resté accessible dans l’historique des modifications, a indiqué la société.
« Les informations d’identification exposées publiquement restent utilisables jusqu’à leur révocation ou leur rotation ; la suppression de la divulgation originale ne suffit pas à remédier à l’exposition », a déclaré Microsoft.
Filipek a déclaré que les résultats mettent en évidence un risque courant dans les environnements cloud.
« Un identifiant cloud est resté visible dans l’historique des modifications d’un problème GitHub après que quelqu’un l’ait supprimé de la publication », a-t-il déclaré. « Pour une équipe informatique, il s’agit d’un avertissement utile sur la manière dont un nettoyage de routine peut exposer un compte. »
« Une fois que les attaquants détiennent une identité d’application, leur activité peut ressembler à une administration cloud ordinaire », a-t-il déclaré.
Concentrez-vous sur l’automatisation et l’évolutivité
Microsoft a déclaré que cette activité reflète « une évolution plus large vers des attaques orchestrées par l’IA », où les acteurs malveillants peuvent coordonner leurs opérations dans des environnements cloud avec « une vitesse et une échelle plus grandes ».
Tausek a déclaré que l’activité Azure montre une exécution coordonnée, mais pas nécessairement la preuve que chaque étape a été dirigée par l’IA.
« Je suis d’accord avec l’avertissement de Microsoft concernant les attaques orchestrées par l’IA, même si les preuves Azure montrent une automatisation coordonnée plutôt que de prouver que l’IA est dirigée à chaque étape », a-t-il déclaré.
« L’IA agentique peut aider les analystes à reconstituer cette séquence et à préparer le confinement pendant que les gens approuvent les actions qui en découlent », a-t-il ajouté.
Focus sur les contrôles d’identité et de récupération
Microsoft a recommandé aux organisations de protéger les identités des charges de travail, d’appliquer le moindre privilège et de sécuriser les ressources de sauvegarde et de restauration afin de réduire les risques liés à des activités similaires.
Tausek a déclaré que les organisations peuvent réduire leur exposition en alternant les secrets exposés, en limitant les autorisations des principaux de service et en protégeant les systèmes de sauvegarde avant que les attaquants n’y accèdent.
Filipek a déclaré que la planification de la réponse entre les équipes est également essentielle.
« Cela nécessite une coordination entre le développement, les opérations cloud et la réponse aux incidents », a-t-il déclaré. « Si ces équipes attendent une panne pour déterminer à qui appartiennent les informations d’identification, elles perdront un temps précieux. »
