شرکت مایکروسافت از کشف یک کمپین تخریبی در محیط Azure پرده برداشت که توسط گروه Storm-3168 (معروف به JADEPUFFER) هدایت می‌شود. در این عملیات، مهاجمان با سوءاستفاده از Service Principals لو رفته، محیط‌های ابری را شناسایی کرده و اقدام به حذف منابع حیاتی و هدف قرار دادن مکانیزم‌های بازیابی داده‌ها نموده‌اند.
تحلیل مراحل حمله و شناسایی
این فعالیت‌ها نشان می‌دهد که چگونه افشای یک هویت کاری (Workload Identity) می‌تواند به مهاجمان اجازه دهد تا با استفاده از اتوماسیون و دسترسی‌های گسترده، اختلالی سریع و سراسری در محیط ابری ایجاد کنند. بر اساس گزارش مایکروسافت، این گروه از دو Service Principal در یک Tenant واحد استفاده کردند:
- هویت اول: به مدت بیش از ۱۵ ساعت عملیات شناسایی (Reconnaissance) گسترده‌ای را انجام داد و با بیش از ۳۰۰ عملیات Read موفق، فهرستی از ماشین‌های مجازی (VMs)، اشتراک‌ها (Subscriptions) و گروه‌های منابع (Resource Groups) قربانی تهیه کرد.
- هویت دوم: در مدت زمان بسیار کوتاهی (کمتر از ۵ ثانیه) محیط‌های ابری را پیمایش کرد و سپس تنظیمات Azure App Service را برای یافتن Secretهای احتمالی بررسی نمود.
تخریب منابع و تلاش برای حذف پشتیبان‌ها
پس از مرحله شناسایی، حمله به‌سرعت به فاز تخریب منتقل شد. در یک بازه زمانی ۳۵ دقیقه‌ای، مهاجمان بیش از ۱۵۰ اقدام تخریبی یا جمع‌آوری Credential انجام دادند که شامل حذف بیش از ۱۰۰ حساب Azure Storage بود. علاوه بر این، موارد زیر نیز هدف قرار گرفتند:
- حذف Azure Key Vault، Function App و App Service plan.
- تلاش برای حذف پایگاه‌های داده Azure SQL (که به دلیل استفاده از نسخه پشتیبانی‌نشده API با شکست مواجه شد).
- تلاش برای حذف قفل‌های Azure Site Recovery و Azure Backup به منظور زمینه‌سازی برای عدم امکان بازیابی داده‌ها.
جمع‌آوری کلیدهای دسترسی و تحلیل نهایی
پس از عملیات تخریب، گروه Storm-3168 با ارسال درخواست‌های ListKeys، موفق به استخراج کلیدهای دسترسی به حساب‌های ذخیره‌سازی شد. این کلیدها می‌توانند دسترسی مستقیم به داده‌های حساس ابری را فراهم کرده و منجر به سرقت داده‌ها (Exfiltration) شوند.
مایکروسافت معتقد است که این عملیات به دلیل زمان‌بندی دقیق و استفاده همزمان از چندین Token، به‌صورت خودکار یا توسط AI Agents اجرا شده است. همچنین مشخص شد که Tenant ID، Client ID و Client Secret مورد استفاده، پیش‌تر به‌صورت متن ساده (Plaintext) در یک Issue عمومی در GitHub منتشر شده بود و حتی پس از ویرایش، در تاریخچه تغییرات (Edit History) در دسترس باقی مانده بود.
توصیه‌های امنیتی برای مدیران SOC و CISO
برای مقابله با این تهدیدات، سازمان‌ها باید اقدامات زیر را سریعاً اجرا کنند:
- چرخش سریع Credentialها: ابطال و جایگزینی فوری تمامی کلیدهای افشا شده.
- اعمال اصل کمترین دسترسی (Least Privilege): بازنگری در دسترسی‌های Azure RBAC برای Service Principals.
- تقویت لایه‌های بازیابی: استفاده از مکانیزم‌های حفاظتی مستقل برای Backupها که توسط Service Principalهای معمولی قابل حذف نباشند.
- مانیتورینگ پیشرفته: رصد عملیات غیرعادی در Azure Resource Manager و درخواست‌های انبوه ListKeys.
