Les criminels de JadePuffer ont détourné les identités Azure et les ont utilisées pour faire exploser les ressources cloud

Le cybercriminel derrière JadePuffer, la première infection agentique ransomware connue signalée au cours de l’été, a également utilisé des identités Azure volées pour mener des attaques destructrices sur le stockage cloud et d’autres ressources, selon Microsoft.

En juillet, les chasseurs de menaces de Sysdig ont découvert JadePuffer, la toute première infection agentique ransomware documentée dans laquelle un LLM a dirigé l’intégralité de l’opération d’extorsion, depuis l’obtention de l’accès initial jusqu’à la compromission d’un serveur de base de données de production et la destruction des données.

Aujourd’hui, Redmond affirme avoir détecté le même attaquant, qu’il suit sous le nom de Storm-3168, commettant de nouveaux méfaits.

Début juin, sur une période de 18 heures, Storm-3168 a compromis deux principes de service et a utilisé ces identités de machine pour « une destruction étendue des ressources axées sur Azure » et « une collecte d’informations d’identification cloud qui pourraient être utilisées pour faciliter une exfiltration future », ont écrit vendredi les chercheurs Yossi Weizman et Tushar Mudi.

Les deux principaux de service compromis appartenaient au même locataire cloud. Les criminels ont utilisé l’un d’eux pour effectuer des reconnaissances et la découverte de ressources, et l’autre pour mener des opérations destructrices et collecter des informations d’identification.

Les chercheurs de Redmond ne savent pas comment Storm-3168 a initialement détourné les principaux du service, mais ont noté qu’un employé de la même organisation avait déjà exposé les identifiants client, les secrets client et les identifiants de locataire en clair dans un problème public sur GitHub.

« Depuis le début de cette année, nous avons également observé des sondages répétés de l’infrastructure liée au Storm-3168 sur plusieurs services Azure App pour différents clients », ont écrit le duo.

L’attaque entière a duré environ 18 heures, la partie découverte ayant duré environ 15 heures et 30 minutes. Pendant ce temps, le principal du service compromis a collecté des informations détaillées sur les machines virtuelles Azure, les abonnements, les groupes de ressources et les ressources, réalisant ainsi plus de 300 opérations de lecture réussies.

« Cette étendue d’activité donnerait aux acteurs malveillants une visibilité sur l’ensemble de l’environnement Azure de l’organisation », ont écrit Weizman et Mudi.

Environ 90 minutes après que la première identité de machine a commencé à récupérer des informations Azure, le deuxième principal de service compromis a commencé son travail, lisant les machines virtuelles et les groupes de ressources Azure sur deux abonnements en seulement cinq secondes.

Selon Redmond, ces deux principes de service utilisaient l’infrastructure liée à Storm-3168, la même empreinte réseau et l’agent utilisateur python-requests/2.34.2.

Environ 16 heures après la lecture de la cible initiale, le deuxième principal de service a découvert avec succès les magasins de configuration Azure App Service (il recherchait probablement des informations d’identification exposées, nous dit-on) et a tenté sans succès de trouver des ressources Azure OpenSearch.

Soixante-dix secondes plus tard, il a également tenté une opération ListKey sur un compte de stockage inexistant.

C’est alors que les destructions ont commencé.

Au cours de cette partie de l’opération, le principal du service compromis a tenté plus de 150 tentatives de destruction ou de vol d’informations d’identification en 35 minutes.

L’activité destructrice n’a duré qu’environ 7 minutes, l’identité de la machine tentant de supprimer plus de 100 comptes de stockage Azure. La plupart d’entre elles ont réussi, même si les verrouillages de ressources Azure et la suppression au niveau du compte de stockage en ont bloqué quelques-unes.

De plus, l’attaquant a supprimé un plan de service Azure Key Vault, Function App, App, qui appartenaient tous au même groupe de ressources et prenaient probablement en charge l’application Function.

« Le même principal de service a également tenté de supprimer plusieurs bases de données Azure SQL en parallèle avec les suppressions de comptes de stockage mentionnées précédemment, mais chaque tentative de suppression a échoué car il utilisait une version d’API non prise en charge pour le type de ressource de base de données Azure SQL », ont écrit Weizman et Mudi.

Environ 28 minutes après la fin de la destruction, « le même principal de service a fait une demande d’inventaire pour les comptes de stockage Azure et a envoyé plus de 30 demandes ListKeys réussies, demandant à ARM de restituer les clés d’accès de chaque compte de stockage », ont-ils ajouté. « Ces comptes de stockage incluaient des comptes de stockage liés à Azure Site Recovery. »

Plusieurs tentatives de suppression infructueuses ont également été effectuées contre les verrous Azure Site Recovery et les verrous de protection Azure Backup protégeant les comptes de stockage.

Selon Microsoft, l’activité destructrice – suppression de nombreuses ressources Azure, tout en ciblant également les ressources liées à la sauvegarde et à la récupération – semble indiquer que Storm-3168 organisait une attaque de ransomware.

« Dans l’ensemble, la destruction des ressources, les tentatives d’interférer avec les mécanismes de récupération et la collecte d’informations d’identification susceptibles de donner accès aux données sont cohérentes avec des tactiques pouvant prendre en charge les opérations de ransomware et d’extorsion », ont écrit Weizman et Mudi.

Cependant, aucune demande de rançon n’a jamais été envoyée. « Nous n’avons pas observé de demande de rançon ni confirmé une exfiltration réussie de données dans le cadre de l’activité décrite ici », ont-ils écrit. ®