تحقیقات اخیر Microsoft Security Research فعالیت‌های مخرب در محیط‌های ابری را شناسایی کرده است که با عامل تهدید JADEPUFFER (شناخته شده به نام Storm-3168) مرتبط است. این گروه که به عنوان اولین عملیات باج‌افزاری مبتنی بر Agentic شناخته می‌شود، از اتوماسیون پیشرفته برای تخریب منابع در Azure و جمع‌آوری اعتبارنامه‌ها (Credentials) استفاده می‌کند.
رویکرد عملیاتی و تخریب منابع
در این حملات، عامل تهدید از Service Principalهای سازشی (Compromised) برای نفوذ به محیط Azure استفاده کرده است. تحلیل‌ها نشان می‌دهد که این عملیات در دو مرحله کلی انجام شده است:
- شناسایی و اکتشاف (Reconnaissance): یکی از Service Principalها به مدت بیش از ۱۵ ساعت به شناسایی ماشین‌های مجازی (VMs)، اشتراک‌ها (Subscriptions) و گروه‌های منابع پرداخته است تا دید کاملی از محیط سازمان به دست آورد.
- تخریب سریع و جمع‌آوری کلیدها: Service Principal دوم در بازه‌ای بسیار کوتاه (حدود ۷ دقیقه)، بیش از ۱۵۰ عملیات تخریبی را اجرا کرده است. این اقدامات شامل حذف گسترده Storage Accountها، Key Vaultها، Function Appها و تلاش برای حذف دیتابیس‌های Azure SQL بوده است.
نقش هوش مصنوعی و اتوماسیون (Agentic Attacks)
سرعت بالای عملیات و تقسیم کار بین توکن‌های مختلف (Tokens) نشان‌دهنده استفاده از اسکریپت‌های پیشرفته یا AI-orchestrated attacks است. این تغییر رویکرد به عامل تهدید اجازه می‌دهد تا عملیات پیچیده پس از نفوذ (Post-compromise) را با مقیاس و سرعت بسیار بیشتری نسبت به روش‌های دستی اجرا کند.
تحلیل نقطه ورود و دسترسی اولیه
بررسی‌ها نشان می‌دهد که احتمالاً دسترسی اولیه از طریق لو رفتن اعتبارنامه‌ها در یک Issue عمومی در GitHub توسط یکی از کارکنان سازمان قربانی ایجاد شده است. نکته حیاتی این است که حتی پس از ویرایش یا حذف متن حاوی Secret در GitHub، این اطلاعات در تاریخچه ویرایش‌ها (Edit History) باقی مانده و توسط مهاجم استخراج شده است.
راهکارهای دفاعی و کاهش ریسک
برای مقابله با این نوع حملات، توصیه‌های فنی زیر ارائه می‌شود:
- مدیریت سخت‌گیرانه Secrets: هرگز اعتبارنامه‌های Service Principal یا رشته‌های اتصال (Connection Strings) را در کد منبع یا مخازن عمومی قرار ندهید. در صورت لو رفتن، تنها حذف متن کافی نیست و باید سریعاً Rotation یا Revocation انجام شود.
- اعمال اصل کمترین دسترسی (Least Privilege): بررسی مجدد RBAC در Azure و محدود کردن دسترسی‌های Service Principalها به حداقل منابع مورد نیاز.
- حفاظت از زیرساخت‌های بازیابی: استفاده از Resource Locks برای جلوگیری از حذف تصادفی یا عمدی منابع حیاتی و پشتیبان‌ها.
- فعال‌سازی Defender for Cloud: بهره‌گیری از قابلیت‌های نظارتی Defender برای Storage، Key Vault و App Service جهت شناسایی الگوهای دسترسی غیرعادی.
