O operador de ransomware JadePuffer está mirando locatários do Azure com ataques conduzidos por agentes de IA que automatizam toda a cadeia de ataque, do reconhecimento ao roubo de credenciais, movimento lateral, persistência e destruição de dados. O malware surgiu em julho, segundo a empresa de segurança em nuvem Sysdig, e depois expandiu o foco para ativos de IA, conjuntos de dados de treinamento e bancos de dados vetoriais, usando uma ferramenta chamada EncForge.
Ataque destrutivo durou sete minutos
A Microsoft Security Research observou dois ataques do grupo em junho, que mapearam recursos de nuvem, recuperaram chaves de contas de armazenamento e excluíram contas do Azure Storage. A fase destrutiva durou sete minutos e atingiu mais de 100 contas de armazenamento, além de Key Vaults, Function Apps, Máquinas Virtuais e App Services. Algumas contas sobreviveram por causa de bloqueios de recursos e proteções no nível da conta. A Microsoft rastreia o ator como Storm-3168 e afirma que ele usou duas identidades de serviço comprometidas do mesmo locatário: uma para reconhecimento e descoberta de recursos, outra para operações destrutivas e coleta de credenciais. O atacante também removeu proteções de backup e recuperação, dificultando a restauração.
Falhas parciais e recomendações
As tentativas de excluir bancos de dados do Azure SQL falharam porque o atacante usou uma versão de API sem suporte, e as tentativas de remover bloqueios de recuperação também não funcionaram. Cerca de meia hora depois, o grupo retornou para fazer mais de 30 requisições de chaves de contas de armazenamento, a maioria bem-sucedida. A Microsoft não determinou como ocorreu o acesso inicial, mas observou que as credenciais de uma identidade de serviço apareceram em uma issue pública do GitHub antes dos ataques. A recomendação é ativar proteções de carga de trabalho em nuvem, verificar segredos em repositórios públicos e revisar permissões do Azure RBAC com base no princípio do menor privilégio.
