Microsoft a averti que des agents autonomes attaquent des environnements Azure à l'aide d'identités compromises, supprimant des ressources cloud au passage. Le rapport, relayé par CSO Online, est un rappel cinglant que les attaques par compromission d'identité Azure n'ont pas besoin d'un exploit logiciel astucieux. Elles ont besoin d'un identifiant valide.

Les détails ci-dessous s'en tiennent à ce que Microsoft a déclaré publiquement. Certains aspects, notamment l'ampleur totale de l'activité, n'ont pas été précisés dans les éléments à notre disposition.

Ce que Microsoft a observé dans les attaques Azure

Selon le rapport de CSO Online, Microsoft a décrit une combinaison de comportements : suppression de ressources, tentatives d'entrave aux mécanismes de récupération et collecte d'identifiants. Le rapport fait également référence à une « vaste activité de destruction de ressources ciblant Azure utilisant des principaux de service compromis et l'abus d'identifiants cloud ».

Microsoft a déclaré que cette combinaison est « cohérente avec des tactiques pouvant soutenir des opérations de rançongiciel et d'extorsion ». La formulation est prudente. L'entreprise a indiqué qu'elle n'avait pas observé de note de rançon ni confirmé d'exfiltration de données. Autrement dit, la destruction était réelle, mais le dénouement classique de l'extorsion n'a pas été confirmé.

Pour plus de contexte sur l'acteur derrière cette activité, consultez notre article sur la façon dont le gang JadePuffer détourne des identités Azure pour saccager des systèmes cloud.

Comment des identités volées ont permis la destruction de ressources

Le détail clé est le point d'entrée. Les attaquants ont utilisé des identités compromises, notamment des principaux de service. Un principal de service est essentiellement un compte non humain que les applications et les outils automatisés utilisent pour se connecter à Azure et agir sur les ressources. Si quelqu'un vole ses identifiants, il peut faire tout ce que cette identité est autorisée à faire, et les plateformes cloud traiteront ces actions comme légitimes.

C'est pourquoi cela compte au-delà des détails techniques. Il n'y a pas de logiciel malveillant à faire passer au travers d'un antivirus, ni de vulnérabilité à corriger. Un identifiant valide doté de larges permissions peut supprimer des machines virtuelles, du stockage et d'autres ressources à la vitesse d'une machine. Lorsque l'acteur est un agent autonome, ce processus peut s'exécuter en continu et sans qu'un humain ne s'arrête pour le remettre en question.

La collecte d'identifiants signalée par Microsoft suggère également un effet cumulatif : chaque secret volé peut ouvrir une autre porte. Un attaquant qui découvre de nouveaux identifiants alors qu'il se trouve à l'intérieur d'un environnement peut élargir son accès et causer davantage de dégâts.

Pourquoi des tactiques de type rançongiciel sans note de rançon comptent quand même

Il est facile de lire « aucune note de rançon observée » comme une bonne nouvelle. Il vaut mieux le lire comme « pas encore confirmé ». Supprimer des ressources et entraver les mécanismes de récupération sont les mêmes étapes qui rendent l'extorsion efficace, car elles privent la victime de la possibilité de simplement restaurer à partir de sauvegardes.

Même sans demande, l'impact est grave. Les ressources perdues signifient des interruptions de service, du travail perdu et potentiellement une perte de données définitive si les sauvegardes sont également ciblées. La formulation de Microsoft indique que l'activité pourrait soutenir une extorsion, que tel ait été ou non l'objectif des opérateurs dans ces cas particuliers.

Ce que cela signifie pour vous

Vous n'exploitez peut-être pas un tenant Azure d'entreprise, mais la leçon s'applique à toute personne ayant des données dans le cloud, y compris le stockage personnel, les indépendants et les petites entreprises. Les attaquants qui s'appuient sur des identifiants volés ciblent l'identifiant le plus faible, pas le système le plus précieux. Un mot de passe oublié réutilisé sur plusieurs services, une clé API collée dans un dépôt de code public ou un compte administrateur sans authentification multifacteur peuvent tous servir de voie d'entrée.

Les petites équipes sont souvent plus exposées que les grandes, car elles manquent de personnel dédié à la surveillance de l'activité de connexion, et parce qu'un seul compte dispose fréquemment de larges permissions.

Ce que les particuliers et les petites équipes peuvent faire pour protéger les comptes cloud

Aucune de ces étapes n'est exotique, et ensemble, elles augmentent considérablement le coût d'une attaque basée sur l'identité :

  • Activez l'authentification multifacteur pour chaque compte cloud, et privilégiez les méthodes par application ou matérielles au SMS lorsque c'est possible.
  • Utilisez des mots de passe uniques stockés dans un gestionnaire de mots de passe, afin qu'un identifiant divulgué ne déverrouille pas d'autres services.
  • Limitez les permissions. N'accordez aux comptes et aux outils automatisés que l'accès dont ils ont besoin, et évitez d'utiliser un compte administrateur tout-puissant pour le travail quotidien.
  • Protégez les secrets. Gardez les clés et les jetons hors des dépôts de code, des documents partagés et des messages de discussion, et faites-les tourner si vous suspectez une exposition.
  • Surveillez les connexions. Examinez les alertes pour des localisations inconnues, des horaires inhabituels et de nouveaux appareils, et agissez rapidement face à tout élément inattendu.
  • Conservez des sauvegardes récupérables stockées séparément du compte qui pourrait être compromis, afin qu'une suppression à un endroit n'efface pas tout.

Points clés à retenir

L'avertissement de Microsoft montre que les attaques par compromission d'identité Azure réussissent parce que les attaquants peuvent utiliser des identifiants légitimes à grande échelle, désormais avec des agents autonomes qui font le travail. La défense repose largement sur l'hygiène des identifiants : authentification forte, permissions strictes, surveillance attentive et sauvegardes indépendantes.

Prenez quelques minutes cette semaine pour examiner vos propres comptes cloud, activer l'authentification multifacteur là où elle manque et vérifier l'activité de connexion récente. Pour plus de détails sur l'acteur au centre de cette activité, lisez notre rapport sur la campagne JadePuffer détournant des identités Azure.