مایکروسافت گزارش داده است که یک عامل تهدید (Threat Actor) مبتنی بر هوش مصنوعی به نام Jadepuffer (که با نام Storm-3168 نیز شناخته می‌شود)، فعالیت‌های خود را به محیط‌های Azure گسترش داده است. این عامل با استفاده از هویت‌های دیجیتال سرقتی، اقدام به شناسایی منابع، حذف دارایی‌های ابری و جمع‌آوری اعتبارنامه‌های (Credentials) جدید می‌کند.
مکانیسم حمله و استفاده از Service Principals
این حملات با هدف قرار دادن Service Principals (هویت‌های ماشینی منحصر‌به‌فرد برای برنامه‌های کاربردی در Azure) انجام شده است. مهاجمان با به دست آوردن این هویت‌ها، توانسته‌اند عملیات تخریبی گسترده‌ای را در بخش‌های زیر اجرا کنند:
- حساب‌های ذخیره‌سازی (Azure Storage Accounts)
- پایگاه‌های داده SQL
- گاوصندوق‌های کلید (Key Vaults)
- برنامه‌های Function Apps و App Services
- ماشین‌های مجازی (Virtual Machines) و قفل‌های حفاظتی بازیابی (Recovery Protection Locks)
سرعت عملیاتی و رفتار خودکار
تحلیل‌ها نشان می‌دهد که این عملیات به شدت خودکار یا اسکریپت‌شده بوده است. در یکی از موارد، یک هویت سرقتی بیش از ۱۵ ساعت صرف شناسایی (Enumeration) ماشین‌های مجازی و گروه‌های منابع کرده و بیش از ۳۰۰ عملیات خواندن موفقیت‌آمیز انجام داده است. پس از مرحله شناسایی، یک موج تخریبی سریع آغاز شد که در عرض ۷ دقیقه، بیش از ۱۰۰ تلاش برای حذف حساب‌های ذخیره‌سازی صورت گرفت که اکثر آن‌ها موفقیت‌آمیز بود.
ارتباط با باج‌افزار و اخاذی
مایکروسافت اشاره کرده است که ترکیب حذف منابع، تلاش برای مختل کردن مکانیسم‌های بازیابی (Recovery) و جمع‌آوری اعتبارنامه‌ها، با تاکتیک‌های مورد استفاده در عملیات باج‌افزار (Ransomware) و اخاذی مطابقت دارد. اگرچه در این مورد خاص، یادداشتی برای باج‌خواهی مشاهده نشده و استخراج داده‌ها (Exfiltration) تایید نشده است، اما این رفتار نشان‌دهنده آمادگی برای حملات پیچیده‌تر است.
منشأ نشت اطلاعات: تاریخچه ویرایش GitHub
بررسی‌ها نشان داد که اعتبارنامه‌های مربوط به Service Principal مورد نظر، پیش از این به صورت متن ساده (Plaintext) در یک Issue عمومی در GitHub منتشر شده بود. نکته حیاتی این است که حتی پس از حذف متن توسط کاربر، این اطلاعات در تاریخچه ویرایش (Edit History) گیت‌هاب باقی مانده و توسط مهاجمان استخراج شده است.
توصیه‌های امنیتی برای مدیران SOC و CISOها
با توجه به سرعت بالای حملات ارکستره شده توسط AI، مدل‌های پاسخ سنتی ممکن است ناکارآمد باشند. برای کاهش ریسک، اقدامات زیر توصیه می‌شود:
- اعمال اصل حداقل امتیاز (Least-privilege): محدود کردن دسترسی‌های Service Principal به حداقل نیاز عملیاتی.
- چرخش منظم کلیدها (Secret Rotation): جایگزینی سریع اعتبارنامه‌هایی که احتمال نشت آن‌ها وجود دارد.
- حفاظت از سیستم‌های پشتیبان: ایمن‌سازی منابع بازیابی و بک‌آپ برای جلوگیری از تخریب همزمان با داده‌های اصلی.
- مانیتورینگ هویت‌ها: رصد دقیق فعالیت‌های غیرعادی در سطح هویت‌های ماشینی در محیط Cloud.
