En trusselaktør sporet som JadePuffer har kapret Microsoft Azure-identiteter og brukt den stjålne tilgangen til å ødelegge skyressurser, ifølge advarsler fra Microsoft. I stedet for å distribuere ...

Hva skjedde i JadePuffer Azure-angrepene

En trusselaktør sporet som JadePuffer har kapret Microsoft Azure-identiteter og brukt den stjålne tilgangen til å ødelegge skyressurser, ifølge advarsler fra Microsoft. I stedet for å distribuere tradisjonelle ransomware-nyttelaster eller skadevarefiler, ser gruppen ut til å overta legitime skykontoer og bruke offerets egne tillatelser til å forårsake skade fra innsiden. Microsoft har flagget atferden som lignende det forskere kaller agentisk ransomware: angrep som handler med et nivå av autonomi og hastighet som overgår eldre, menneskedrevne inntrengningsmetoder.

Dette er viktig fordi det markerer et skifte i hvordan destruktive angrep utføres. I stedet for å snike ondsinnet kode forbi antivirusverktøy eller utnytte en programvaresårbarhet, lener JadePuffers tilnærming seg på noe mye enklere og, i mange organisasjoner, mye svakere: identitet. Hvis en angriper overbevisende kan bli en klarert bruker inne i Azure, arver de den tilgangen brukeren har, ofte inkludert evnen til å slette, endre eller deaktivere skyinfrastruktur i stor skala.

Hvordan stjålne identiteter lar angripere ødelegge skyressurser

Skyplattformer som Azure er bygget rundt identitet som den primære sikkerhetsgrensen. Når en bruker- eller tjenestekonto er autentisert, stoler plattformen generelt på handlingene som utføres under den identiteten. Denne utformingen er effektiv for legitime operasjoner, men den blir en belastning i det øyeblikket legitimasjon stjeles eller misbrukes.

I JadePuffer-saken ga kaprede identiteter angivelig angripere evnen til å "sprenge" skyressurser, en frase som peker på massødeleggelse snarere enn den langsomme, selektive krypteringen som er typisk for klassisk ransomware. Denne typen angrep trenger ikke å plante skadevare på en server fordi angriperen ganske enkelt bruker skyplattformens egne administrasjonsverktøy med gyldig legitimasjon. Det gjør oppdagelse vanskeligere for forsvarere som ser etter mistenkelige filer eller kjente skadevaresignaturer i stedet for uvanlig kontoatferd.

Microsofts advarsel om at dette ser ut som agentisk ransomware, gjenspeiler en bredere trend sikkerhetsforskere har sporet. Tidligere i år dokumenterte forskere hos Sysdig det de beskrev som det første fullt autonome AI-ransomware-angrepet, der en AI-agent utførte en inntrengning med liten eller ingen sanntidsmenneskelig styring. JadePuffers identitetsbaserte ødeleggelse passer inn i samme mønster: angrep som beveger seg raskere og mer uavhengig enn tradisjonelle inntrengninger, ofte fordi automatisering gjør det tunge arbeidet når først innledende tilgang er oppnådd.

Varseltegn på identitetskapring på skykontoer

Fordi disse angrepene er avhengige av legitim legitimasjon snarere enn åpenbart ondsinnet kode, har varseltegnene en tendens til å være atferdsmessige snarere enn tekniske i tradisjonell forstand. Organisasjoner og individuelle skyadministratorer bør se etter:

• Pålogginger fra ukjente steder, enheter eller IP-områder, spesielt for privilegerte kontoer
• Plutselige endringer i kontotillatelser eller opprettelse av nye administratørroller
• Uvanlige utbrudd av ressursletting, konfigurasjonsendringer eller tjenestestans
• Påloggingsforsøk eller vellykkede pålogginger utenfor normal arbeidstid for den brukeren
• Flere mislykkede flerfaktorautentiseringsforespørsler etterfulgt av en vellykket pålogging, et mønster ofte assosiert med MFA-tretthetsangrep

Ingen av disse tegnene garanterer en aktiv kapring alene, men samlet er de nøyaktig den typen aktivitet som identitetsfokuserte overvåkingsverktøy er designet for å fange opp.

Praktiske forsvar: MFA, legitimasjonshygiene og VPN-bruk for skyadministratorer

Forsvar mot Azure-identitetskapring krever ikke eksotiske verktøy. Det starter med det grunnleggende som mange organisasjoner fortsatt ikke anvender konsekvent, spesielt for kontoer med forhøyede privilegier.

Å aktivere flerfaktorautentisering på hver konto, spesielt administrative kontoer og tjenestekontoer, forblir den enkeltstående mest effektive barrieren mot stjålet passordlegitimasjon. Utover MFA er legitimasjonshygiene like viktig: å rotere passord regelmessig, eliminere delte eller gjenbrukte pålogginger og fjerne stående administrativ tilgang som ikke er aktivt nødvendig, krymper alle angrepsflaten tilgjengelig for en inntrenger.

Skyadministratorer som kobler til fra eksterne steder, bør også bruke et anerkjent VPN for å kryptere tilkoblingen når de administrerer sensitiv infrastruktur, noe som reduserer sjansen for at legitimasjon avskjæres på ikke-klarerte nettverk. Kombinert med betingede tilgangspolicyer som begrenser pålogginger etter plassering eller enhet, og regelmessige revisjoner av hvem som har privilegerte roller, gjør disse trinnene det betydelig vanskeligere for en kapret identitet å forbli ubemerket lenge nok til å forårsake skade.

Hva dette betyr for deg

Enten du administrerer skyinfrastruktur for en bedrift eller bare er avhengig av skyttilkoblede kontoer personlig, er JadePuffer-hendelsen en påminnelse om at det svakeste leddet ofte ikke er programvaresårbarheter, men legitimasjonen som beskytter identiteten din. Angripere trenger ikke lenger å bryte seg inn gjennom en teknisk utnyttelse hvis de kan logge inn som deg. Denne virkeligheten legger mer ansvar på individuelle brukere og administratorer for å låse ned tilgang før en angriper får sjansen til å bruke den mot dem.

Viktige punkter

• Aktiver MFA på alle Azure-kontoer, spesielt de med administrative privilegier
• Gjennomgå og fjern regelmessig unødvendig stående tilgang til skyressurser
• Overvåk for uvanlige påloggingssteder, tidspunkter og tillatelsesendringer
• Bruk VPN når du administrerer skyinfrastruktur eksternt
• Hold deg informert om hvordan angrep utvikler seg fra skadevarebaserte til identitetsbaserte og stadig mer autonome, som sett i Sysdig-forskningen om AI-drevet ransomware

Ettersom skyplattformer blir standard driftsmiljø for bedrifter i alle størrelser, blir identitet raskt den nye perimeteren. Å behandle kontosikkerhet med samme alvor som en gang var forbeholdt nettverksbrannmurer, er ikke lenger valgfritt, det er frontlinjen i forsvaret.

FAQ: Q1: Hva gjør JadePuffer med Azure-kontoer? A1: JadePuffer har kapret Microsoft Azure-identiteter og brukt den stjålne tilgangen til å ødelegge skyressurser. Q2: Bruker JadePuffer tradisjonell ransomware eller skadevare? A2: Nei, i stedet for å distribuere tradisjonelle ransomware-nyttelaster eller skadevarefiler, overtar gruppen legitime skykontoer og bruker offerets egne tillatelser til å forårsake skade fra innsiden. Q3: Hva er agentisk ransomware? A3: Agentisk ransomware refererer til angrep som handler med et nivå av autonomi og hastighet som overgår eldre, menneskedrevne inntrengningsmetoder. Q4: Hvorfor er identitet et så svakt punkt i skyangrep? A4: Skyplattformer som Azure stoler på handlinger utført under en autentisert identitet, så når legitimasjon er stjålet, arver angripere den tilgangen brukeren har, inkludert evnen til å slette, endre eller deaktivere skyinfrastruktur i stor skala. Q5: Hvorfor er denne typen angrep vanskeligere for forsvarere å oppdage? A5: Fordi angriperen bruker gyldig legitimasjon og skyplattformens egne administrasjonsverktøy i stedet for skadevare, er oppdagelse vanskeligere for forsvarere som ser etter mistenkelige filer eller kjente skadevaresignaturer i stedet for uvanlig kontoatferd. ---END---