Microsoft hat eine Kampagne offengelegt, die es als Storm-3168 verfolgt und bei der Angreifer Azure-Dienstprinzipale kompromittierten – die Identitätsobjekte, die Anwendungen und automatisierte Dienste zur Authentifizierung bei Azure verwenden – und mit diesem Zugriff Speicherkonten löschten. Microsofts eigener Darstellung zufolge ähnelt die Aktivität weniger einem Smash-and-Grab-Datendiebstahl und mehr einer Ransomware-Vorbereitung oder aktiven Störung. Bemerkenswert ist, dass Microsoft nicht bestätigt hat, dass in diesem speziellen Vorfall Erpressung oder Datenexfiltration stattgefunden hat, obwohl die Taktiken den frühen Phasen eines Ransomware-Angriffs ähneln.

Storm-3168 Azure-Angriff: Was geschah

Microsoft hat eine Kampagne offengelegt, die es als Storm-3168 verfolgt und bei der Angreifer Azure-Dienstprinzipale kompromittierten – die Identitätsobjekte, die Anwendungen und automatisierte Dienste zur Authentifizierung bei Azure verwenden – und mit diesem Zugriff Speicherkonten löschten. Microsofts eigener Darstellung zufolge ähnelt die Aktivität weniger einem Smash-and-Grab-Datendiebstahl und mehr einer Ransomware-Vorbereitung oder aktiven Störung. Bemerkenswert ist, dass Microsoft nicht bestätigt hat, dass in diesem speziellen Vorfall Erpressung oder Datenexfiltration stattgefunden hat, obwohl die Taktiken den frühen Phasen eines Ransomware-Angriffs ähneln.

Diese Unterscheidung ist wichtig. Das Löschen von Speicherkonten kann ebenso schädlich sein wie deren Verschlüsselung, insbesondere wenn kein Backup vorhanden ist, aber es ist ein anderes Bedrohungsmodell als ein Angreifer, der still und leise Dateien kopiert, bevor er verschwindet. Für Organisationen, die auf Azure setzen, lautet die Erkenntnis, dass ein Angreifer keine Daten stehlen musste, um ernsthaften Schaden anzurichten. Es genügte, die Kontrolle über die richtige Identität zu erlangen.

Warum Dienstprinzipale ein Hauptziel sind

Dienstprinzipale werden leicht übersehen, weil sie keine menschlichen Benutzerkonten sind. Sie sind die Anmeldeinformationen, die es einem Azure-Dienst oder einer Anwendung ermöglichen, mit einem anderen zu kommunizieren, oft mit erhöhten Berechtigungen und minimaler täglicher Aufsicht. Das macht sie zu einem attraktiven Ziel für Angreifer: Kompromittiert man einen, erbt man möglicherweise umfassenden Zugriff auf Speicher, Datenbanken oder Infrastruktur, ohne jemals einen menschlichen Anmeldebildschirm zu berühren.

Dies ist Teil eines breiteren Musters, das Sicherheitsforscher im gesamten Cloud-Ökosystem von Microsoft festgestellt haben. Angreifer zielen zunehmend auf die Anmeldeinformationen und Vertrauensbeziehungen ab, die im Hintergrund liegen, anstatt direkt Endbenutzer ins Visier zu nehmen. Es ist eine ähnliche Logik wie bei Kampagnen wie der Voice-Phishing-Operation von Storm-3032, die auf BYOD-Geräte für Microsoft 365-Zugriff abzielt, bei der das Ziel nicht darin besteht, eine Person dazu zu bringen, sofort ein Passwort herauszugeben, sondern das schwächste Glied in einer Identitätskette zu finden und damit in eine viel größere Umgebung einzudringen.

Eine verwandte Warnung: Die in einer Datenbank versteckte Lösegeldforderung

Während der Storm-3168 Azure-Vorfall (bisher dokumentiert) nicht zur Erpressung eskaliert ist, zeigt ein separater Fall, der vom Sicherheitsunternehmen Sysdig gemeldet wurde, wohin diese Art von Zugriff führen kann, wenn er nicht kontrolliert wird. In diesem Vorfall, zusammengefasst von SOCFortress, verschlüsselte ein Angreifer, der Zugang zu einer Datenbankumgebung erlangt hatte, Daten, löschte Datenbanktabellen und hinterließ eine Lösegeldforderung. Forscher fanden heraus, dass der Angreifer eine Tabelle namens README_RANSOM erstellt hatte, die eine Bitcoin-Wallet-Adresse und einen Proton Mail-Kontakt für die Aushandlung der Zahlung enthielt.

Die Storm-3168-Aktivität von Microsoft erreichte dieses Stadium nicht, aber die Parallele ist lehrreich. Beide Fälle begannen auf die gleiche Weise: Ein Angreifer erlangte Anmeldeinformationen oder Zugriff, die streng hätten kontrolliert werden müssen, und nutzte diesen Standort, um die Integrität gespeicherter Daten zu bedrohen. Ob das Endergebnis Löschung, Verschlüsselung oder eine Lösegeldforderung ist, die Grundursache ist dieselbe. Jemand gelangte in ein Konto, das nicht erreichbar hätte sein dürfen.

Was das für Sie bedeutet

Wenn Ihre Organisation oder persönliche Projekte auf Azure oder ähnliche Cloud-Plattformen setzen, ist diese Kampagne eine Erinnerung daran, dass Identitätssicherheit und nicht nur Perimeterverteidigung der Bereich ist, in dem diese Angriffe gewonnen oder verloren werden. Einige praktische Schritte gelten, egal ob Sie Unternehmensinfrastruktur oder den Cloud-Speicher eines kleinen Unternehmens verwalten:

• Überprüfen Sie die Berechtigungen von Dienstprinzipalen regelmäßig. Viele Organisationen gewähren bei der Einrichtung von Automatisierung umfassenden Zugriff und überprüfen dies nie. Beschränken Sie Berechtigungen auf das, was benötigt wird.
• Aktivieren Sie Multi-Faktor-Authentifizierung überall, wo sie unterstützt wird, einschließlich für administrative und Dienstkonten, nicht nur für Standard-Benutzeranmeldungen.
• Überprüfen Sie Zugriffsprotokolle auf ungewöhnliche Authentifizierungsmuster, insbesondere Anmeldungen von unerwarteten Standorten oder zu ungewöhnlichen Zeiten im Zusammenhang mit Dienstkonten.
• Sichern Sie Speicherkonten unabhängig von der primären Umgebung, damit Löschung oder Verschlüsselung nicht dauerhaften Verlust bedeuten.
• Rotieren Sie Anmeldeinformationen und Geheimnisse nach einem Zeitplan, anstatt Dienstprinzipal-Schlüssel unbegrenzt gültig zu lassen.

Anmeldeinformationsdiebstahl bleibt einer der häufigsten Wege in Cloud-Umgebungen, und starke Authentifizierung in Kombination mit sorgfältigem Zugriffsmanagement leistet mehr zur Abwehr dieser Angriffe als jedes einzelne Werkzeug. Die Nutzung eines VPN zum Schutz der Netzwerke, von denen aus sich Ihre Administratoren und Remote-Mitarbeiter verbinden, fügt eine weitere Ebene hinzu, funktioniert aber am besten neben und nicht anstelle solider Identitätshygiene.

Erkenntnisse

Der Storm-3168 Azure-Angriff zeigt, dass Angreifer keine Daten exfiltrieren müssen, um Schaden anzurichten; das Löschen von Speicherkonten über kompromittierte Dienstprinzipale ist für sich genommen bereits störend genug. In Kombination mit dem Detail der Lösegeldforderung aus dem Sysdig-Fall ist es ein klares Signal, dass Cloud-Identitätsmanagement dieselbe Prüfung verdient, die Organisationen Firewalls und Endpunktsicherheit widmen. Die Überprüfung, wer und was Zugriff auf Ihren Cloud-Speicher hat, die Verschärfung von Berechtigungen und die Aktivierung von Multi-Faktor-Authentifizierung für jede Kontenart sind praktische Schritte, die Sie heute unternehmen können, um das Risiko zu verringern, der nächste Fallbericht zu werden.

FAQ: Q1: Was taten die Storm-3168-Angreifer, nachdem sie Azure-Dienstprinzipale kompromittiert hatten? A1: Sie nutzten den Zugriff, um Speicherkonten zu löschen. Microsoft beschreibt die Aktivität als eher Ransomware-Vorbereitung oder aktive Störung denn als Datendiebstahl. Q2: Hat Microsoft eine Datenexfiltration oder Erpressung im Storm-3168-Vorfall bestätigt? A2: Nein, Microsoft hat nicht bestätigt, dass in diesem speziellen Vorfall Erpressung oder Datenexfiltration stattgefunden hat. Die Taktiken ähneln den frühen Phasen eines Ransomware-Angriffs, aber dieses Stadium wurde nicht erreicht. Q3: Was sind Azure-Dienstprinzipale und warum werden sie ins Visier genommen? A3: Dienstprinzipale sind Identitätsobjekte, die Anwendungen und automatisierte Dienste zur Authentifizierung bei Azure verwenden. Angreifer zielen auf sie ab, weil sie oft erhöhte Berechtigungen und minimale tägliche Aufsicht haben, sodass die Kompromittierung eines einzigen umfassenden Zugriff gewähren kann, ohne eine menschliche Anmeldung zu berühren. Q4: Was war der separate Datenbank-Lösegeldvorfall, der von Sysdig gemeldet wurde? A4: Ein Angreifer erlangte Zugang zu einer Datenbankumgebung, verschlüsselte Daten, löschte Datenbanktabellen und hinterließ eine Lösegeldforderung. Forscher fanden eine Tabelle namens README_RANSOM, die eine Bitcoin-Wallet-Adresse und einen Proton Mail-Kontakt für Verhandlungen enthielt. Q5: Was ist die zentrale Lehre aus dem Storm-3168 Azure-Angriff? A5: Ein Angreifer muss keine Daten stehlen, um ernsthaften Schaden anzurichten – die Kontrolle über die richtige Identität zu erlangen kann ausreichen. Das Löschen von Speicherkonten kann ebenso schädlich sein wie deren Verschlüsselung, insbesondere ohne Backups. ---END---