Microsoft ha advertido que agentes autónomos están atacando entornos de Azure utilizando identidades comprometidas, eliminando recursos en la nube en el proceso. El informe, cubierto por CSO Online, es un recordatorio contundente de que los ataques de compromiso de identidad en Azure no necesitan un exploit de software ingenioso. Necesitan un inicio de sesión válido.

Los detalles a continuación se ciñen a lo que Microsoft ha declarado públicamente. Algunos aspectos, incluida la escala total de la actividad, no se especificaron en el material disponible para nosotros.

Lo que Microsoft observó en los ataques a Azure

Según el informe de CSO Online, Microsoft describió una combinación de comportamientos: eliminación de recursos, intentos de interferir con los mecanismos de recuperación y recolección de credenciales. El informe también hace referencia a una "extensa actividad de destrucción de recursos centrada en Azure utilizando principales de servicio comprometidos y abuso de credenciales en la nube".

Microsoft dijo que esta combinación es "consistente con tácticas que pueden respaldar operaciones de ransomware y extorsión". Esa redacción es cuidadosa. La empresa dijo que no observó una nota de rescate ni confirmó exfiltración de datos. En otras palabras, la destrucción fue real, pero el clásico desenlace de extorsión no se confirmó.

Para más contexto sobre el actor detrás de esta actividad, consulte nuestra cobertura sobre cómo la banda JadePuffer secuestra identidades de Azure para destrozar sistemas en la nube.

Cómo las identidades robadas permitieron la destrucción de recursos

El detalle clave es el punto de entrada. Los atacantes utilizaron identidades comprometidas, incluidos principales de servicio. Un principal de servicio es esencialmente una cuenta no humana que las aplicaciones y herramientas automatizadas utilizan para iniciar sesión en Azure y actuar sobre los recursos. Si alguien roba sus credenciales, puede hacer todo lo que esa identidad tiene permitido hacer, y las plataformas en la nube tratarán esas acciones como legítimas.

Por eso esto importa más allá de los detalles técnicos. No hay malware que necesite pasar desapercibido ante el antivirus ni vulnerabilidad que necesite parchearse. Una credencial válida con permisos amplios puede eliminar máquinas virtuales, almacenamiento y otros recursos a velocidad de máquina. Cuando el actor es un agente autónomo, ese proceso puede ejecutarse continuamente y sin que un humano se detenga a cuestionarlo.

La recolección de credenciales que Microsoft señaló también sugiere un efecto acumulativo: cada secreto robado puede abrir otra puerta. Un atacante que encuentra nuevas credenciales mientras está dentro de un entorno puede ampliar el acceso y causar más daño.

Por qué las tácticas estilo ransomware sin nota de rescate siguen importando

Es fácil leer "no se observó nota de rescate" como una buena noticia. Es mejor leerlo como "aún no confirmado". Eliminar recursos e interferir con los mecanismos de recuperación son los mismos pasos que hacen efectiva la extorsión, porque eliminan la capacidad de la víctima de simplemente restaurar desde copias de seguridad.

Incluso sin una demanda, el impacto es grave. Los recursos perdidos significan tiempo de inactividad, trabajo perdido y posiblemente pérdida permanente de datos si las copias de seguridad también son atacadas. La redacción de Microsoft indica que la actividad podría respaldar extorsión, independientemente de si ese era el objetivo de los operadores en estos casos particulares.

Qué significa esto para usted

Puede que no administre un inquilino empresarial de Azure, pero la lección aplica a cualquiera que tenga datos en la nube, incluidos almacenamiento personal, freelancers y pequeñas empresas. Los atacantes que dependen de inicios de sesión robados atacan la credencial más débil, no el sistema más valioso. Una contraseña olvidada reutilizada en varios servicios, una clave de API pegada en un repositorio de código público o una cuenta de administrador sin autenticación multifactor pueden servir como vía de entrada.

Los equipos pequeños suelen estar más expuestos que los grandes porque carecen de personal dedicado a vigilar la actividad de inicio de sesión, y porque una sola cuenta con frecuencia tiene permisos amplios.

Qué pueden hacer individuos y equipos pequeños para proteger las cuentas en la nube

Ninguno de estos pasos es exótico, y en conjunto elevan considerablemente el costo de un ataque basado en identidad:

  • Active la autenticación multifactor para cada cuenta en la nube, y prefiera métodos basados en aplicaciones o hardware en lugar de SMS cuando sea posible.
  • Use contraseñas únicas almacenadas en un gestor de contraseñas, para que una credencial filtrada no desbloquee otros servicios.
  • Limite los permisos. Dé a las cuentas y herramientas automatizadas solo el acceso que necesitan, y evite usar una cuenta de administrador todopoderosa para el trabajo diario.
  • Proteja los secretos. Mantenga las claves y tokens fuera de repositorios de código, documentos compartidos y mensajes de chat, y rótelos si sospecha que han sido expuestos.
  • Monitoree los inicios de sesión. Revise las alertas de ubicaciones desconocidas, horarios inusuales y dispositivos nuevos, y actúe rápidamente ante cualquier cosa inesperada.
  • Mantenga copias de seguridad recuperables almacenadas por separado de la cuenta que podría verse comprometida, para que la eliminación en un lugar no borre todo.

Puntos clave

La advertencia de Microsoft muestra que los ataques de compromiso de identidad en Azure tienen éxito porque los atacantes pueden usar credenciales legítimas a escala, ahora con agentes autónomos haciendo el trabajo. La defensa se basa en gran medida en la higiene de credenciales: autenticación sólida, permisos estrictos, monitoreo atento y copias de seguridad independientes.

Tómese unos minutos esta semana para revisar sus propias cuentas en la nube, activar la MFA donde falte y verificar la actividad reciente de inicio de sesión. Para más detalle sobre el actor en el centro de esta actividad, lea nuestro informe sobre la campaña JadePuffer que secuestra identidades de Azure.