JadePuffer Saldırganı Storm-3168, Çaldığı Azure Kimlikleriyle Bulut Kaynaklarını İmha Etti

Yaz aylarında ilk kez belgelenen ve bir dil modelinin tüm fidye yazılımı sürecini yönettiği JadePuffer saldırısıyla tanınan Storm-3168 adlı siber suç grubu, bulut altyapılarına yönelik yeni bir saldırı gerçekleştirdi. Microsoft araştırmacıları, grubun Haziran ayı başında yaklaşık 18 saat süren bir operasyonla, bir organizasyona ait iki farklı hizmet kimliğini (service principal) ele geçirdiğini açıkladı.

Saldırganlar, ele geçirdikleri ilk kimliği Azure ortamında keşif yapmak ve kaynakları listelemek için kullanırken, ikinci kimliği doğrudan yıkıcı operasyonlar ve kimlik bilgisi toplama amacıyla devreye soktu. Toplamda 300'den fazla başarılı okuma işlemi gerçekleştiren grup, Azure Sanal Makineleri, abonelikler ve kaynak grupları hakkında detaylı bilgi topladı. Saldırının başlangıç noktasının, bir çalışanın istemci kimliklerini ve gizli anahtarlarını halka açık bir GitHub raporunda düz metin olarak paylaşması olduğu değerlendiriliyor.

Operasyonun yıkıcı aşamasında, saldırganlar 7 dakika içerisinde 100'den fazla Azure Storage hesabını silmeyi başardı. Ayrıca bir Azure Key Vault, Function App ve App Service planı gibi kritik bileşenler de hedef alındı. Microsoft, saldırganların Azure SQL veritabanlarını da silmeye çalıştığını ancak desteklenmeyen bir API sürümü kullanmaları nedeniyle bu girişimlerin başarısız olduğunu belirtti.

Saldırganların Azure Site Recovery ve yedekleme korumalarını hedef alması, bu faaliyetlerin fidye yazılımı ve şantaj operasyonlarına hazırlık olduğunu gösteriyor. Microsoft, saldırı sırasında herhangi bir fidye notu iletilmediğini veya veri sızıntısının kesinleşmediğini ifade etse de, Storm-3168 bağlantılı altyapıların farklı müşterilerin Azure uygulamalarına yönelik sürekli tarama faaliyetleri yürüttüğü kaydedildi.