JadePuffer Gang kaperer Azure-identiteter for at ødelægge cloud-systemer

Hvad skete der i JadePuffer Azure-angrebene

En trusselsaktør sporet som JadePuffer har kapret Microsoft Azure-identiteter og brugt den stjålne adgang til at ødelægge cloud-ressourcer, ifølge advarsler fra Microsoft. I stedet for at implementere traditionelle ransomware-payloads eller malware-filer ser gruppen ud til at overtage legitime cloud-konti og bruge offerets egne tilladelser til at forårsage skade indefra. Microsoft har markeret adfærden som værende lig det, forskere kalder agentisk ransomware: angreb, der handler med et niveau af autonomi og hastighed, der overgår ældre, menneskedrevne indtrængningsmetoder.

Dette er vigtigt, fordi det markerer et skift i, hvordan destruktive angreb udføres. I stedet for at smugle ondsindet kode forbi antivirusværktøjer eller udnytte en software-sårbarhed, læner JadePuffers tilgang sig op ad noget meget enklere og, i mange organisationer, meget svagere: identitet. Hvis en angriber overbevisende kan blive en betroet bruger inde i Azure, arver de den adgang, brugeren har, ofte inklusive evnen til at slette, ændre eller deaktivere cloud-infrastruktur i stor skala.

Hvordan stjålne identiteter lader angribere ødelægge cloud-ressourcer

Cloud-platforme som Azure er bygget op omkring identitet som den primære sikkerhedsgrænse. Når en bruger- eller tjenestekonto først er autentificeret, stoler platformen generelt på de handlinger, der udføres under den identitet. Dette design er effektivt til legitime operationer, men det bliver en byrde i det øjeblik, legitimationsoplysninger stjæles eller misbruges.

I JadePuffer-sagen gav kaprede identiteter angiveligt angribere mulighed for at "sprænge" cloud-ressourcer, en formulering der peger på masseødelæggelse snarere end den langsomme, selektive kryptering, der er typisk for klassisk ransomware. Denne type angreb behøver ikke at plante malware på en server, fordi angriberen blot bruger cloud-platformens egne administrationsværktøjer med gyldige legitimationsoplysninger. Det gør detektion sværere for forsvarere, der holder øje med mistænkelige filer eller kendte malware-signaturer snarere end usædvanlig konto-adfærd.

Microsofts advarsel om, at dette ligner agentisk ransomware, genlyder en bredere tendens, som sikkerhedsforskere har fulgt. Tidligere i år dokumenterede forskere hos Sysdig, hvad de beskrev som det første fuldt autonome AI-ransomwareangreb, hvor en AI-agent udførte en indtrængning med ringe eller ingen realtidsmenneskelig styring. JadePuffers identitetsbaserede ødelæggelse passer ind i samme mønster: angreb, der bevæger sig hurtigere og mere uafhængigt end traditionelle indtrængninger, ofte fordi automatisering gør det tunge arbejde, når først initial adgang er opnået.

Advarselstegn på identitetskapring på cloud-konti

Fordi disse angreb er afhængige af legitime legitimationsoplysninger snarere end åbenlyst ondsindet kode, har advarselstegnene tendens til at være adfærdsmæssige snarere end tekniske i traditionel forstand. Organisationer og individuelle cloud-administratorer bør holde øje med:

Logins fra ukendte placeringer, enheder eller IP-intervaller, især for privilegerede konti
Pludselige ændringer i konto-tilladelser eller oprettelse af nye administrative roller
Usædvanlige udbrud af ressource-sletning, konfigurationsændringer eller tjenestenedlukninger
Login-forsøg eller vellykkede logins uden for normal arbejdstid for den pågældende bruger
Flere mislykkede multi-faktor-godkendelsesprompter efterfulgt af et vellykket login, et mønster ofte forbundet med MFA-fatigue-angreb

Ingen af disse tegn garanterer i sig selv en aktiv kapring, men samlet set er de netop den type aktivitet, som identitetsfokuserede overvågningsværktøjer er designet til at fange.

Praktiske forsvar: MFA, legitimationshygiejne og VPN-brug for cloud-administratorer

Azure identitetskapring-forsvar kræver ikke eksotiske værktøjer. Det starter med det grundlæggende, som mange organisationer stadig ikke anvender konsekvent, især på konti med forhøjede privilegier.

Aktivering af multi-faktor-godkendelse på hver konto, især administrative konti og tjenestekonti, forbliver den enkelt mest effektive barriere mod stjålne adgangskode-legitimationsoplysninger. Ud over MFA betyder legitimationshygiejne lige så meget: regelmæssig rotation af adgangskoder, eliminering af delte eller genbrugte logins og fjernelse af stående administrativ adgang, der ikke aktivt er nødvendig, alt sammen mindsker det angrebsområde, der er tilgængeligt for en indtrænger.

Cloud-administratorer, der forbinder fra fjernplaceringer, bør også bruge en velrenommeret VPN til at kryptere deres forbindelse, når de administrerer følsom infrastruktur, hvilket reducerer risikoen for, at legitimationsoplysninger opsnappes på utroværdige netværk. Kombineret med betingede adgangspolitikker, der begrænser logins efter placering eller enhed, og regelmæssige revisioner af, hvem der har privilegerede roller, gør disse trin det betydeligt sværere for en kapret identitet at forblive ubemærket længe nok til at forårsage skade.

Hvad dette betyder for dig

Uanset om du administrerer cloud-infrastruktur for en virksomhed eller blot personligt er afhængig af cloud-forbundne konti, er JadePuffer-hændelsen en påmindelse om, at det svageste led ofte ikke er software-sårbarheder, men de legitimationsoplysninger, der beskytter din identitet. Angribere behøver ikke længere at bryde ind gennem en teknisk udnyttelse, hvis de kan logge ind som dig. Denne virkelighed lægger mere ansvar på individuelle brugere og administratorer for at sikre adgang, før en angriber får chancen for at bruge den imod dem.

Vigtige pointer

Aktivér MFA på alle Azure-konti, især dem med administrative privilegier
Gennemgå og fjern regelmæssigt unødvendig stående adgang til cloud-ressourcer
Overvåg for usædvanlige login-placeringer, tidspunkter og tilladelsesændringer
Brug en VPN, når du administrerer cloud-infrastruktur eksternt
Hold dig informeret om, hvordan angreb udvikler sig fra malware-baserede til identitetsbaserede og i stigende grad autonome, som set i Sysdig-forskningen om AI-drevet ransomware

Efterhånden som cloud-platforme bliver standarddriftsmiljøet for virksomheder af enhver størrelse, er identitet hurtigt ved at blive den nye perimeter. At behandle kontosikkerhed med samme alvor, som man engang forbeholdt netværksfirewalls, er ikke længere valgfrit, det er forsvarets frontlinje.

// FAQ

Hvad gør JadePuffer ved Azure-konti?

JadePuffer har kapret Microsoft Azure-identiteter og brugt den stjålne adgang til at ødelægge cloud-ressourcer.

Bruger JadePuffer traditionel ransomware eller malware?

Nej, i stedet for at implementere traditionelle ransomware-payloads eller malware-filer overtager gruppen legitime cloud-konti og bruger offerets egne tilladelser til at forårsage skade indefra.

Hvad er agentisk ransomware?

Agentisk ransomware refererer til angreb, der handler med et niveau af autonomi og hastighed, der overgår ældre, menneskedrevne indtrængningsmetoder.

Hvorfor er identitet sådan et svagt punkt i cloud-angreb?

Cloud-platforme som Azure stoler på handlinger udført under en autentificeret identitet, så når først legitimationsoplysninger er stjålet, arver angribere den adgang, brugeren har, inklusive evnen til at slette, ændre eller deaktivere cloud-infrastruktur i stor skala.

Hvorfor er denne type angreb sværere for forsvarere at opdage?

Fordi angriberen bruger gyldige legitimationsoplysninger og cloud-platformens egne administrationsværktøjer snarere end malware, er detektion sværere for forsvarere, der holder øje med mistænkelige filer eller kendte malware-signaturer i stedet for usædvanlig konto-adfærd.