شرکت مایکروسافت از یک کمپین تخریبی متمرکز بر محیط Azure پرده برداشته است که به عامل تهدید (threat actor) موسوم به JADEPUFFER (با شناسه Storm-3168) مرتبط است. این گروه با سوءاستفاده از Service Principalهای لو رفته، اقدام به شناسایی منابع ابری، حذف حساب‌های Azure Storage و اجزای اپلیکیشن‌ها، حمله به کنترل‌های بازیابی (Recovery Controls) و جمع‌آوری کلیدهای دسترسی برای سرقت داده‌ها در مراحل بعدی کرده است.
جزئیات عملیاتی و متدهای حمله
تحقیقات نشان می‌دهد که این عامل تهدید از دو هویت Service Principal در یک Tenant واحد استفاده کرده است. هویت اول وظیفه شناسایی گسترده (Reconnaissance) را بر عهده داشت و در بازه‌ای ۱۵ ساعته، بیش از ۳۰۰ عملیات خواندن را برای استخراج اطلاعات مربوط به ماشین‌های مجازی (VMs)، اشتراک‌ها (Subscriptions) و گروه‌های منابع (Resource Groups) انجام داد.
مدت کوتاهی پس از شناسایی، هویت دوم وارد عمل شد و با استفاده از زیرساخت‌های مرتبط با Storm-3168 و User Agent مدل python-requests/2.34.2، عملیات تخریبی را آغاز کرد. این هویت تلاش کرد تا اسرار (Secrets) موجود در تنظیمات Azure App Service و منابع Azure OpenSearch را بیابد و سپس اقدام به حذف گسترده حساب‌های ذخیره‌سازی کرد.
هدف قرار دادن سیستم‌های پشتیبان و بازیابی
یکی از جنبه‌های خطرناک این حمله، تلاش برای حذف Azure Site Recovery و قفل‌های حفاظتی Azure Backup بود. این رفتار کاملاً با استراتژی‌های گروه‌های باج‌افزار (ransomware) همخوانی دارد که هدفشان افزایش اثرات تخریبی و کاهش توانایی قربانی در بازیابی داده‌هاست.
با این حال، استفاده از Azure Resource Locks و قابلیت حذف-محافظ (Deletion Protection) در برخی حساب‌ها مانع از تخریب کامل شد که نشان‌دهنده اهمیت حیاتی این لایه‌های دفاعی حتی در صورت به دست آمدن دسترسی‌های سطح بالا توسط مهاجم است.
بررسی بردار دسترسی اولیه (Initial Access)
اگرچه مایکروسافت نتوانست بردار دسترسی را به طور قطعی تعیین کند، اما شواهد نشان می‌دهد که Client ID، Client Secret و Tenant ID مربوط به یکی از Service Principalها به صورت متن ساده (Plaintext) در یک Issue عمومی در GitHub توسط یکی از کارکنان سازمان قربانی منتشر شده بود. نکته کلیدی این است که حتی پس از ویرایش Issue و حذف Secret، این اطلاعات در تاریخچه تغییرات (Edit History) گیت‌هاب باقی مانده و توسط مهاجمان استخراج شده است.
توصیه‌های امنیتی برای مدیران SOC و CISOs
- اعمال اصل حداقل دسترسی (Least Privilege): دسترسی‌های Service Principalها را به حداقل سطح مورد نیاز محدود کنید.
- پایش مستمر مخازن کد: از ابزارهای اسکن خودکار برای شناسایی Secretها در مخازن عمومی و خصوصی استفاده کنید.
- چرخش سریع اعتبارنامه‌ها: در صورت لو رفتن هرگونه Secret، بلافاصله آن را ابطال (Revoke) و جایگزین (Rotate) کنید؛ زیرا حذف متن از تاریخچه گیت‌هاب به معنای ابطال اعتبارنامه نیست.
- فعال‌سازی Resource Locks: برای منابع حیاتی از قفل‌های Azure استفاده کنید تا از حذف تصادفی یا عمدی جلوگیری شود.
- استفاده از ابزارهای حفاظتی: فعال‌سازی Defender for Cloud برای بخش‌های Resource Manager، Storage و Key Vault توصیه می‌شود.
به‌روزرسانی (سپتامبر 29, 2026 — Cybersecurity News)
به‌روزرسانی: تحلیل‌های تکمیلی نشان می‌دهد که فعالیت‌های عامل تهدید (Threat Actor) Storm-3168 با عملیات باج‌افزاری JADEPUFFER مرتبط است. این مهاجمان در یک بازه زمانی بسیار کوتاه و تنها در ۷ دقیقه، عملیات تخریبی گسترده‌ای را در محیط Azure اجرا کرده‌اند که شامل حذف Storage accounts، Key Vaultها، Function Apps و App Services بوده است.
در این حمله، مهاجمان تلاش کردند تا پایگاه‌های داده Azure SQL را نیز حذف کنند، اما این اقدام به دلیل استفاده از نسخه‌های پشتیبانی‌نشده API با شکست مواجه شد. همچنین، شواهد نشان می‌دهد که این گروه به‌طور هدفمند سیستم‌های Site Recovery و Azure Backup را برای مختل کردن فرآیند بازیابی داده‌ها هدف قرار داده‌اند.
استفاده از چندین Token مختلف برای یک Service Principal واحد، نشان‌دهنده اتوماسیون هماهنگ در این حمله است؛ به‌طوری که برخی توکن‌ها برای شناسایی منابع و برخی دیگر برای اجرای دستورات تخریبی و استخراج کلیدهای ذخیره‌سازی (Storage Keys) به کار گرفته شده‌اند.
