یک عامل تهدید (Threat Actor) مبتنی بر هوش مصنوعی Agentic، با استفاده از اعتبارنامه‌های لو رفته (Compromised Credentials)، توانست در عرض چند دقیقه منابع ابری مایکروسافت Azure را تخریب کند. این فعالیت‌ها که توسط مایکروسافت به گروه JadePuffer (شناخته شده با نام Storm-3168) نسبت داده شده است، شباهت زیادی به عملیات باج‌افزار (Ransomware) یا اخاذی دارد.
جزئیات عملیات شناسایی و تخریب
بر اساس گزارش تحقیقات امنیتی مایکروسافت، این گروه ابتدا دو Service Principal قانونی را به دست آورده است. روند حمله به شرح زیر بوده است:
- شناسایی (Reconnaissance): اولین Service Principal به مدت ۱۵.۵ ساعت صرف نقشه‌برداری از ماشین‌های مجازی (VMs)، اشتراک‌ها (Subscriptions) و گروه‌های منابع کرد و بیش از ۳۰۰ عملیات Read موفقیت‌آمیز انجام داد.
- توسعه دسترسی: دومین Service Principal در عرض ۵ ثانیه، تمامی VMها و گروه‌های منابع را در دو اشتراک مختلف شناسایی کرد تا دید کاملی از محیط Azure سازمان به دست آورد.
- تخریب سریع: پس از شناسایی، حمله تخریبی آغاز شد. بیش از ۱۰۰ تلاش برای حذف حساب‌های ذخیره‌ساز (Storage Accounts) صورت گرفت که اکثر آن‌ها موفقیت‌آمیز بود. همچنین Azure Key Vault، Function App و App Service plan حذف شدند.
نقش هوش مصنوعی در مقیاس حمله
مایکروسافت اشاره کرده است که استفاده از هوش مصنوعی در این حمله، سرعت و مقیاس عملیات پس از نفوذ (Post-Compromise) را به شدت افزایش داده است. اگرچه برخی کارشناسان معتقدند این فعالیت بیشتر شبیه به اتوماسیون پیشرفته است تا تصمیم‌گیری کامل توسط AI، اما توانایی Agentic AI در هماهنگ کردن عملیات پیچیده در محیط‌های ابری، تهدیدی جدی برای سازمان‌ها محسوب می‌شود.
علت نفوذ: خطای انسانی در GitHub
تحقیقات نشان می‌دهد که Client ID، Client Secret و Tenant ID مربوط به Service Principal مورد نظر، پیش‌تر توسط یکی از کارکنان سازمان به صورت متن ساده (Plaintext) در یک Issue عمومی در GitHub منتشر شده بود. هرچند کاربر بعداً این پیام را ویرایش کرد، اما اطلاعات حساس در تاریخچه ویرایش‌ها (Edit History) باقی مانده و توسط عامل تهدید استخراج شد.
راهکارهای مقابله و کاهش ریسک
برای محافظت از محیط‌های Azure در برابر حملاتی مشابه، توصیه‌های زیر ارائه شده است:
- فعال‌سازی طرح‌های مناسب Microsoft Defender for Cloud برای بارهای کاری حیاتی.
- پایش مستمر و محافظت از اعتبارنامه‌ها و Secretهای اپلیکیشن‌ها.
- چرخش (Rotation) فوری اعتبارنامه‌های لو رفته و استقرار سیاست‌های مدیریت چرخه عمر اعتبارنامه.
- اعمال اصل Least Privilege (حداقل دسترسی) برای Service Principalها و سایر هویت‌های کاری.
