JadePuffer et les attaques automatisées contre Azure

JadePuffer, suivi par Microsoft sous le nom de Storm-3168, utilise des agents automatisés pour explorer des environnements Azure, voler des identifiants et effacer des ressources. Une attaque particulièrement rapide a supprimé plus de 100 comptes de stockage en sept minutes. Ces incidents soulignent la vulnérabilité des identités de service face à des flux d’attaque déterminés.

Les identités de service au cœur de l’attaque

Microsoft a observé deux vagues en juin impliquant deux principaux de service compromis dans le même locataire Azure. L’une a permis la découverte des ressources, l’autre d’effectuer des opérations de destruction et de collecte d’identifiants. Ces principaux de service autorisent les applications et outils automatisés à s’authentifier avec des permissions spécifiques.

L’origine exacte reste incertaine, mais Microsoft note que les identifiants d’un principal de service avaient été exposés dans une question publique sur GitHub avant les attaques. L’exposition de secrets dans les dépôts publics reste une piste probable.

Destruction étendue à plusieurs services Azure

Les attaquants ont ciblé des comptes Azure Storage, des coffres de clés, des Function Apps, des machines virtuelles et des App Services. Ils ont aussi retiré les verrous Azure Site Recovery pour compliquer la restauration. Environ trente minutes après les tentatives d’effacement, Storm-3168 a renvoyé plus de trente demandes de clés de stockage, dont la plupart ont abouti.

Certains comptes de stockage ont été épargnés grâce aux verrous de ressources Azure et aux protections de compte. Les tentatives de suppression de bases de données Azure SQL ont échoué en raison de l’usage d’une API obsolète. Les efforts pour désactiver les verrous de récupération n’ont également pas abouti.

Conséquences et liens avec le rançongiciel

Sysdig a précédemment signalé que JadePuffer automatisait la reconnaissance, le vol d’identifiants, les déplacements latéraux, la persistance et le chiffrement. L’outil EncForge a ensuite étendu l’action aux ressources d’IA, aux jeux de données d’entraînement et aux bases de données vectorielles.

Cette activité pourrait servir à une extorsion par rançongiciel, mais Microsoft n’a signalé aucune demande financière ni confirmation de vol de données. Le ciblage parallèle du stockage et des bases de données indique une volonté d’augmenter l’impact destructeur, sans que chaque système visé ait été effectivement effacé.

Recommandations défensives

Les chercheurs conseillent d’activer les protections de charges de travail cloud, de rechercher les secrets exposés dans les dépôts publics et d’appliquer le principe du moindre privilège aux autorisations Azure RBAC. Les échecs observés montrent que les verrous de ressources, les protections de stockage et les contrôles de récupération peuvent limiter les dégâts lorsqu’ils restent configurés pour résister aux identités compromises.

Illustration éditoriale générée par IA ; ce n’est pas une photographie documentaire.

Source: JadePuffer agentic AI attacks target Azure, destroy cloud resources