Какво се случи при атаките срещу Azure от JadePuffer

Заподозрян злонамерен актьор, проследяван като JadePuffer, е отвличал самоличности в Microsoft Azure и е използвал този откраднат достъп, за да унищожава облачни ресурси, според предупреждения от Microsoft. Вместо да внедрява традиционни ransomware полезни товари или злонамерени файлове, групата изглежда поема контрол над легитимни облачни акаунти и използва собствените разрешения на жертвата, за да причини щети отвътре. Microsoft отбеляза поведението като наподобяващо това, което изследователите наричат агентен ransomware: атаки, които действат с ниво на автономност и скорост, изпреварващи по-старите, управлявани от хора методи за проникване.

Това е важно, защото бележи промяна в начина, по който се извършват разрушителни атаки. Вместо да промъкват злонамерен код покрай антивирусни инструменти или да експлоатират софтуерна уязвимост, подходът на JadePuffer разчита на нещо много по-просто и в много организации много по-слабо: самоличността. Ако атакуващият успее убедително да се превърне в доверен потребител в Azure, той наследява какъвто и достъп има този потребител, често включително способността да изтрива, променя или деактивира облачна инфраструктура в мащаб.

Как откраднатите самоличности позволяват на атакуващите да унищожават облачни ресурси

Облачните платформи като Azure са изградени около самоличността като основна граница за сигурност. След като даден потребител или служебен акаунт бъде удостоверен, платформата обикновено се доверява на действията, извършени под тази самоличност. Този дизайн е ефективен за легитимни операции, но се превръща в уязвимост в момента, в който идентификационните данни бъдат откраднати или злоупотребени.

В случая с JadePuffer отвлечените самоличности, по съобщения, са дали на атакуващите способността да „взривяват“ облачни ресурси — израз, който сочи към масово унищожение, а не към бавното, селективно криптиране, типично за класическия ransomware. Този вид атака не се нуждае от внедряване на злонамерен софтуер на сървър, защото атакуващият просто използва собствените инструменти за управление на облачната платформа с валидни идентификационни данни. Това прави откриването по-трудно за защитниците, които следят за подозрителни файлове или известни сигнатури на злонамерен софтуер, вместо за необичайно поведение на акаунти.

Предупреждението на Microsoft, че това изглежда като агентен ransomware, echoes по-широка тенденция, която изследователите по сигурност проследяват. По-рано тази година изследователи в Sysdig документираха това, което описаха като първата напълно автономна AI ransomware атака, при която AI агент осъществи проникване с малко или никакво насочване от човек в реално време. Базираното на самоличност унищожение от JadePuffer се вписва в същия модел: атаки, които се движат по-бързо и по-независимо от традиционните прониквания, често защото автоматизацията поема тежката работа, след като бъде получен първоначален достъп.

Предупредителни знаци за отвличане на самоличности в облачни акаунти

Тъй като тези атаки разчитат на легитимни идентификационни данни, а не на очевидно злонамерен код, предупредителните знаци са по-скоро поведенчески, отколкото технически в традиционния смисъл. Организациите и отделните облачни администратори трябва да следят за:

  • Влизания от непознати местоположения, устройства или IP диапазони, особено за привилегировани акаунти
  • Внезапни промени в разрешенията на акаунти или създаване на нови административни роли
  • Необичайни изблици на изтриване на ресурси, промени в конфигурацията или спиране на услуги
  • Опити за вход или успешни влизания извън нормалните работни часове за този потребител
  • Множество неуспешни подканвания за многофакторно удостоверяване, последвани от успешен вход — модел, често свързван с атаки чрез изтощаване на MFA

Нито един от тези знаци сам по себе си не гарантира активно отвличане, но взети заедно, те са точно видът активност, за чието улавяне са създадени инструментите за мониторинг, фокусирани върху самоличността.

Практични защити: MFA, хигиена на идентификационните данни и използване на VPN за облачни администратори

Защитата срещу отвличане на самоличности в Azure не изисква екзотични инструменти. Тя започва с основите, които много организации все още не прилагат последователно, особено към акаунти с повишени привилегии.

Активирането на многофакторно удостоверяване за всеки акаунт, особено административните и служебните акаунти, остава най-ефективната единична бариера срещу откраднати пароли. Отвъд MFA, хигиената на идентификационните данни е също толкова важна: редовното сменяне на пароли, премахването на споделени или използвани повторно входове и премахването на постоянен административен достъп, който не е активно необходим, всички намаляват повърхността за атака, достъпна за натрапник.

Облачните администратори, свързващи се от отдалечени местоположения, също трябва да използват надежден VPN, за да криптират връзката си, когато управляват чувствителна инфраструктура, намалявайки шанса идентификационните данни да бъдат прихванати в ненадеждни мрежи. Комбинирани с политики за условен достъп, които ограничават влизанията по местоположение или устройство, и редовни одити на това кой притежава привилегировани роли, тези стъпки правят значително по-трудно за една отвлечена самоличност да остане незабелязана достатъчно дълго, за да причини щети.

Какво означава това за вас

Независимо дали управлявате облачна инфраструктура за бизнес, или просто разчитате на свързани с облака акаунти лично, инцидентът JadePuffer е напомняне, че най-слабото звено често не са софтуерните уязвимости, а идентификационните данни, защитаващи вашата самоличност. Атакуващите вече не се нуждаят от пробив чрез технически експлойт, ако могат да влязат като вас. Тази реалност възлага повече отговорност на отделните потребители и администратори да заключат достъпа, преди атакуващият да получи шанс да го използва срещу тях.

Основни изводи

  • Активирайте MFA за всички акаунти в Azure, особено тези с административни привилегии
  • Редовно преглеждайте и премахвайте ненужния постоянен достъп до облачни ресурси
  • Следете за необичайни местоположения и времена на влизане и промени в разрешенията
  • Използвайте VPN, когато управлявате облачна инфраструктура от разстояние
  • Бъдете информирани как атаките се развиват от базирани на злонамерен софтуер към базирани на самоличност и все по-автономни, както се вижда в изследването на Sysdig за AI-движен ransomware

Тъй като облачните платформи се превръщат в среда по подразбиране за работа на бизнеси от всякакъв размер, самоличността бързо се превръща в новия периметър. Отнасянето към сигурността на акаунтите със същата сериозност, която някога беше запазена за мрежовите защитни стени, вече не е по избор — това е фронтовата линия на защитата.