شرکت مایکروسافت هشدار داده است که عامل تهدید (Threat Actor) پشت بدافزار JadePuffer، که پیش‌تر به عنوان اولین مورد شناخته شده از سرایت باج‌افزارهای مبتنی بر عامل (Agentic Ransomware) گزارش شده بود، اکنون از هویت‌های سرقت شده در Azure برای انجام حملات تخریبی علیه ذخیره‌سازهای ابری و سایر منابع استفاده می‌کند.
تحلیل رفتار عامل تهدید Storm-3168
محققان امنیتی مایکروسافت این مهاجم را تحت نام Storm-3168 ردیابی می‌کنند. در یک عملیات ۱۸ ساعته در اوایل ژوئن، این گروه توانست دو Service Principal (هویت‌های ماشینی) را در یک Tenant ابری به دست آورد. این مهاجمان از یکی از این هویت‌ها برای شناسایی (Reconnaissance) و کشف منابع و از دیگری برای اجرای عملیات تخریبی و جمع‌آوری اعتبارنامه‌ها (Credentials) استفاده کردند.
مسیر نفوذ و متدهای مورد استفاده
اگرچه روش دقیق سرقت این هویت‌ها مشخص نیست، اما شواهد نشان می‌دهد که یکی از کارکنان سازمان مربوطه، پیش از این Client IDs، Client Secrets و Tenant IDs را به صورت متن ساده (Plaintext) در یک Issue عمومی در GitHub منتشر کرده بود. این سهل‌انگاری احتمالاً راه ورود اصلی برای Storm-3168 بوده است.
جزئیات عملیات تخریب
- شناسایی گسترده: مهاجم بیش از ۳۰۰ عملیات Read موفقیت‌آمیز برای جمع‌آوری اطلاعات درباره ماشین‌های مجازی (VMs)، اشتراک‌ها (Subscriptions) و گروه‌های منابع (Resource Groups) انجام داد.
- تخریب منابع: در یک بازه زمانی کوتاه ۷ دقیقه‌ای، مهاجم تلاش کرد بیش از ۱۰۰ حساب ذخیره‌سازی (Storage Account) را حذف کند که اکثر آن‌ها با موفقیت پاک شدند. همچنین یک Azure Key Vault و Function App نیز حذف گردید.
- تلاش برای حذف دیتابیس‌ها: مهاجم سعی کرد چندین دیتابیس Azure SQL را به صورت موازی حذف کند، اما به دلیل استفاده از نسخه پشتیبانی نشده API، این تلاش‌ها با شکست مواجه شد.
- هدف قرار دادن سیستم‌های بازیابی: عامل تهدید تلاش کرد قفل‌های Azure Site Recovery و Azure Backup را دور بزند تا امکان بازیابی داده‌ها را از بین ببرد.
ارتباط با باج‌افزارهای Agentic
ویژگی متمایز این حملات، استفاده از مدل‌های زبانی بزرگ (LLM) برای هدایت عملیات است. در مورد JadePuffer، یک LLM کل فرآیند اخاذی، از دسترسی اولیه تا تخریب دیتابیس‌های عملیاتی را مدیریت کرده بود. اگرچه در این مورد خاص یادداشتی برای باج‌خواهی (Ransom Note) مشاهده نشد، اما تاکتیک‌های تخریب منابع و هدف قرار دادن مکانیزم‌های بازیابی، کاملاً با پیش‌نیازهای یک حمله باج‌افزاری گسترده مطابقت دارد.
