Επτά λεπτά αρκούσαν για μαζικές διαγραφές…

Μια σύντομη αλλά εκτεταμένη ακολουθία επιθέσεων στο Microsoft Azure αποκαλύπτει πόσο γρήγορα μπορεί να κλιμακωθεί η κατάχρηση παραβιασμένων ταυτοτήτων εφαρμογών. Η Microsoft Security Research δημοσίευσε στις 25 Σεπτεμβρίου 2026 νέα τεχνική ανάλυση για το Storm-3168, την ονομασία που χρησιμοποιεί για δραστηριότητα συνδεδεμένη με τον φορέα απειλής JADEPUFFER.

Στο περιστατικό που εξέτασε η Microsoft, οι επιτιθέμενοι χρησιμοποίησαν δύο παραβιασμένα service principals —μη ανθρώπινες ταυτότητες μέσω των οποίων εφαρμογές και αυτοματισμοί αποκτούν πρόσβαση σε πόρους Azure— του ίδιου οργανισμού. Το πρώτο πραγματοποίησε αναγνώριση για περίπου 15 ώρες και 30 λεπτά, καταγράφοντας εικονικές μηχανές, συνδρομές, ομάδες πόρων και άλλες υπηρεσίες με περισσότερες από 300 επιτυχημένες λειτουργίες ανάγνωσης.

Το δεύτερο service principal ανέλαβε την καταστροφική φάση. Σύμφωνα με την έρευνα, επιχείρησε πάνω από 150 ενέργειες διαγραφής ή συλλογής διαπιστευτηρίων μέσα σε 35 λεπτά. Η κύρια ακολουθία καταστροφής διήρκεσε περίπου επτά λεπτά και περιλάμβανε περισσότερες από 100 προσπάθειες διαγραφής λογαριασμών Azure Storage. Οι περισσότερες πέτυχαν. Διαγράφηκαν επίσης ένα Key Vault, ένα Function App και ένα App Service plan, ενώ οι παράλληλες απόπειρες εναντίον βάσεων Azure SQL απέτυχαν επειδή χρησιμοποιήθηκε μη υποστηριζόμενη έκδοση API.

Ιδιαίτερη σημασία έχει ότι ο δράστης προσπάθησε να αφαιρέσει κλειδώματα προστασίας από Azure Site Recovery και Azure Backup. Ωστόσο, ανεξάρτητα resource locks και προστασίες διαγραφής εμπόδισαν ορισμένες ενέργειες, δείχνοντας ότι τα επιπλέον επίπεδα άμυνας μπορούν να λειτουργήσουν ακόμη και όταν μια ταυτότητα διαθέτει ευρείες διοικητικές άδειες.

Περίπου μισή ώρα μετά την τελευταία καταστροφική ενέργεια, καταγράφηκαν περισσότερα από 30 επιτυχημένα αιτήματα ListKeys για την ανάκτηση κλειδιών πρόσβασης αποθηκευτικών λογαριασμών. Η Microsoft επισημαίνει, πάντως, ότι δεν εντόπισε σημείωμα λύτρων ούτε επιβεβαίωσε επιτυχημένη εξαγωγή δεδομένων. Επομένως, η σύνδεση με στόχο ransomware βασίζεται στη συμπεριφορά και στις τεχνικές της επίθεσης, όχι σε επιβεβαιωμένη απαίτηση πληρωμής.

Η πιθανή αρχική έκθεση των διαπιστευτηρίων ερευνάται: client ID, secret και tenant ID είχαν δημοσιευτεί παλαιότερα σε δημόσιο issue του GitHub και παρέμεναν στο ιστορικό επεξεργασίας, όμως η Microsoft δεν επιβεβαίωσε ότι χρησιμοποιήθηκε το συγκεκριμένο secret. Το κρίσιμο μήνυμα είναι ότι η απλή διαγραφή ενός εκτεθειμένου μυστικού από μια σελίδα δεν το ακυρώνει· χρειάζεται άμεση ανάκληση ή αλλαγή.

Η Sysdig είχε παρουσιάσει τον Ιούλιο το JADEPUFFER ως την πρώτη τεκμηριωμένη επιχείρηση agentic ransomware, όπου ένας πράκτορας AI συνέδεσε αναγνώριση, συλλογή διαπιστευτηρίων και καταστροφικό εκβιασμό βάσης δεδομένων. Η νεότερη έρευνα της Microsoft επεκτείνει την εικόνα στο Azure και υπογραμμίζει την ανάγκη για ελάχιστα δικαιώματα, προστασία workload identities, τακτική περιστροφή μυστικών, ξεχωριστή θωράκιση των πόρων ανάκτησης και ενεργή παρακολούθηση ασυνήθιστων μαζικών ενεργειών.

Η συνοδευτική εικόνα αποτελεί ενδεικτική εικονογράφηση AI και όχι πραγματική φωτογραφία ή απεικόνιση του περιστατικού.

Πηγή: Microsoft Security Research, Sysdig Threat Research Team.