JADEPUFFER ha utilizzato principal compromessi per eliminare lo storage di Azure

Microsoft ha pubblicato nuovi dettagli su un attacco cloud distruttivo in cui l'attore della minaccia noto come JADEPUFFER, tracciato internamente come Storm-3168, ha utilizzato service principal compromessi per eliminare risorse da un ambiente Azure. L'incidente è avvenuto all'inizio di giugno 2026 ed è durato circa 18 ore. Un service principal è un'identità utilizzata da un'applicazione o da un processo automatizzato per accedere alle risorse cloud, simile a un insieme di credenziali di accesso per software invece che per una persona. Secondo i ricercatori Yossi Weizman, Tushar Mudi e il team Microsoft Security Research, gli attaccanti hanno preso di mira account di archiviazione Azure, database relazionali, Key Vault, Function App, blocchi di protezione del ripristino, macchine virtuali e Servizi app.

JADEPUFFER è arrivato all'attenzione del pubblico per la prima volta attraverso la ricerca di Sysdig, che lo ha descritto come la prima operazione ransomware nota condotta end-to-end con l'aiuto di un large language model, la tecnologia alla base dei sistemi di intelligenza artificiale in grado di comprendere e produrre testo. L'attacco precedente ha sfruttato CVE-2025-3248, una vulnerabilità di sicurezza nota in Langflow, uno strumento open-source utilizzato per creare applicazioni di intelligenza artificiale. Dopo essere penetrato, l'attaccante ha raccolto credenziali, si è spostato più in profondità nella rete, ha crittografato i file di configurazione del servizio Nacos, ha eliminato le tabelle del database originali e ha lasciato una nota di riscatto che richiedeva il pagamento in Bitcoin. La fase di crittografia ha utilizzato la funzione di crittografia AES integrata nel motore del database relazionale. La stessa istanza Langflow è stata in seguito presa di mira una seconda volta con un ceppo ransomware compilato basato su Go chiamato ENCFORGE. ENCFORGE è progettato specificamente per l'infrastruttura AI ed esegue la scansione di quasi 180 estensioni di file, inclusi checkpoint di modelli, database vettoriali, set di dati di addestramento e indici di embedding. Cerca anche file correlati a macOS come portachiavi, file di progetto Xcode e documenti Apple Pages e Numbers. Sysdig ha osservato che l'agente AI sembrava prendere decisioni autonome sugli obiettivi, riutilizzava credenziali rubate, si spostava tra i sistemi, impostava modi per mantenere l'accesso e distruggeva un database, il tutto mentre descriveva le proprie intenzioni. L'azienda ha affermato che le singole tecniche non erano nuove o sofisticate, ma il modello le ha combinate in un attacco ransomware completo contro sistemi esposti a Internet che non erano stati mantenuti adeguatamente.

L'analisi di Microsoft dell'incidente di giugno 2026 ha rilevato due service principal compromessi collegati allo stesso tenant. Uno è stato utilizzato per la ricognizione e l'individuazione delle risorse, mentre il secondo è stato utilizzato per operazioni distruttive e raccolta di credenziali. L'attività di enumerazione ha preso di mira macchine virtuali Azure, sottoscrizioni, gruppi di risorse e risorse per quasi 16 ore, durante le quali gli attaccanti hanno eseguito più di 300 operazioni di lettura. Anche il secondo service principal compromesso ha effettuato una propria attività di individuazione circa 90 minuti dopo, enumerando macchine virtuali e gruppi di risorse in due sottoscrizioni nell'arco di cinque secondi. Dopo quelle 16 ore, il secondo principal ha enumerato con successo gli archivi di configurazione di Azure App Service, probabilmente nel tentativo di trovare credenziali esposte. Poco dopo, ha eseguito più di 150 operazioni distruttive o relative alla raccolta di credenziali in 35 minuti. La sequenza distruttiva stessa è durata circa sette minuti e ha comportato oltre 100 tentativi di eliminazione di account di archiviazione. Gli attaccanti hanno anche preso di mira un Azure Key Vault, una Function App, un piano di App Service e più istanze di database relazionali basati su cloud. I tentativi di eliminazione del database sono tutti falliti perché gli attaccanti hanno utilizzato una versione API non supportata per il tipo di risorsa del database relazionale basato su cloud. Una versione API è una release specifica di un'interfaccia di programmazione e l'uso di una versione non supportata causa il fallimento dei comandi.

La maggior parte degli account di archiviazione Azure presi di mira dall'attore della minaccia sono stati eliminati con successo. Tuttavia, i blocchi delle risorse di Azure e la protezione dall'eliminazione a livello di account di archiviazione hanno bloccato i tentativi di eliminazione per alcuni account. Microsoft ha sottolineato che queste misure di salvaguardia indipendenti si sono rivelate utili anche quando un attaccante controllava un'identità con ampi diritti amministrativi. Un blocco delle risorse è un'impostazione che impedisce l'eliminazione accidentale o dolosa di una risorsa cloud, e la protezione dall'eliminazione ha lo stesso scopo su un account di archiviazione. Non è chiaro come il service principal sia stato compromesso, ma Microsoft ha affermato di aver osservato che il suo client ID, client secret e tenant ID erano stati precedentemente esposti in chiaro in un issue pubblico su GitHub da un dipendente dell'organizzazione colpita. Sebbene il secret sia stato rimosso, è rimasto accessibile tramite la cronologia delle modifiche pubbliche. Microsoft ha anche rilevato ripetuti tentativi di scansione da parte di infrastrutture collegate a Storm-3168 contro diversi servizi App di Azure appartenenti a clienti diversi. La divisione del lavoro tra più service principal e la tempistica tra le operazioni suggeriscono che gli attacchi sono probabilmente automatizzati o scriptati.

L'obiettivo finale dell'attacco è valutato come allineato al ransomware, poiché ha portato all'eliminazione di numerose risorse Azure oltre a risorse relative a backup e ripristino. Ciò suggerisce che l'attore della minaccia volesse compromettere la capacità della vittima di riprendersi dall'attività distruttiva. Tuttavia, non sono state osservate note di riscatto o esfiltrazione di dati riuscita in relazione a questa intrusione. Esfiltrazione significa sottrarre dati da una rete. Microsoft ha affermato che l'attacco evidenzia un più ampio spostamento verso attacchi orchestrati dall'IA, in cui gli attaccanti possono coordinare operazioni post-violazione complesse in ambienti cloud più rapidamente e su scala più ampia, e che anche i difensori dovrebbero utilizzare l'IA per indagare e rispondere. AEU-I, che fornisce IT e consulenza orientati alla sicurezza, può aiutare le organizzazioni a verificare le credenziali esposte e ad applicare misure di salvaguardia indipendenti come la protezione dall'eliminazione e l'isolamento dei backup.