Co się stało w atakach JadePuffer na Azure

Według ostrzeżeń Microsoftu podmiot zagrożenia śledzony jako JadePuffer przejmował tożsamości Microsoft Azure i wykorzystywał skradziony dostęp do niszczenia zasobów chmurowych. Zamiast wdrażać tradycyjne ładunki ransomware lub pliki malware, grupa zdaje się przejmować legalne konta chmurowe i wykorzystywać uprawnienia ofiary do wyrządzania szkód od środka. Microsoft oznaczył to zachowanie jako przypominające to, co badacze nazywają agentowym ransomware: ataki, które działają z poziomem autonomii i szybkości przewyższającym starsze, sterowane przez człowieka metody intruzji.

Ma to znaczenie, ponieważ oznacza zmianę w sposobie przeprowadzania destrukcyjnych ataków. Zamiast przemykać złośliwy kod obok narzędzi antywirusowych lub wykorzystywać lukę w oprogramowaniu, podejście JadePuffer opiera się na czymś znacznie prostszym i w wielu organizacjach znacznie słabszym: tożsamości. Jeśli atakujący może przekonująco stać się zaufanym użytkownikiem wewnątrz Azure, dziedziczy cały dostęp, jaki ma ten użytkownik, często w tym możliwość usuwania, modyfikowania lub wyłączania infrastruktury chmurowej na dużą skalę.

Jak skradzione tożsamości pozwalają atakującym niszczyć zasoby chmurowe

Platformy chmurowe takie jak Azure są zbudowane wokół tożsamości jako podstawowej granicy bezpieczeństwa. Gdy użytkownik lub konto usługi zostanie uwierzytelnione, platforma generalnie ufa działaniom podejmowanym pod tą tożsamością. Taka konstrukcja jest wydajna dla legalnych operacji, ale staje się obciążeniem w momencie, gdy dane uwierzytelniające zostaną skradzione lub niewłaściwie wykorzystane.

W przypadku JadePuffer przejęte tożsamości podobno dawały atakującym możliwość „wysadzenia" zasobów chmurowych, co wskazuje na masowe zniszczenie, a nie powolne, selektywne szyfrowanie typowe dla klasycznego ransomware. Ten rodzaj ataku nie musi umieszczać malware na serwerze, ponieważ atakujący po prostu używa własnych narzędzi zarządzania platformy chmurowej z ważnymi danymi uwierzytelniającymi. To utrudnia wykrycie obrońcom, którzy wypatrują podejrzanych plików lub znanych sygnatur malware, a nie nietypowych zachowań konta.

Ostrzeżenie Microsoftu, że wygląda to jak agentowe ransomware, odzwierciedla szerszy trend, który badacze bezpieczeństwa śledzą. Wcześniej w tym roku badacze z Sysdig udokumentowali to, co opisali jako pierwszy w pełni autonomiczny atak ransomware oparty na AI, gdzie agent AI przeprowadził intruzję przy niewielkim lub żadnym bieżącym kierowaniu przez człowieka. Oparte na tożsamości niszczenie przez JadePuffer wpisuje się w ten sam wzorzec: ataki, które poruszają się szybciej i bardziej niezależnie niż tradycyjne intruzje, często dlatego, że automatyzacja wykonuje ciężką pracę po uzyskaniu początkowego dostępu.

Sygnały ostrzegawcze przejmowania tożsamości na kontach chmurowych

Ponieważ te ataki opierają się na legalnych danych uwierzytelniających, a nie na oczywiście złośliwym kodzie, sygnały ostrzegawcze mają tendencję do bycia behawioralnymi, a nie technicznymi w tradycyjnym sensie. Organizacje i indywidualni administratorzy chmury powinni obserwować:

  • Logowania z nieznanych lokalizacji, urządzeń lub zakresów adresów IP, zwłaszcza dla kont uprzywilejowanych
  • Nagłe zmiany uprawnień konta lub tworzenie nowych ról administracyjnych
  • Nietypowe serie usuwania zasobów, zmian konfiguracji lub wyłączania usług
  • Próby logowania lub udane logowania poza normalnymi godzinami pracy danego użytkownika
  • Wiele nieudanych monitów o uwierzytelnianie wieloskładnikowe, po których następuje udane logowanie, wzorzec często związany z atakami zmęczenia MFA

Żaden z tych sygnałów sam w sobie nie gwarantuje aktywnego przejęcia, ale razem wzięte są dokładnie tym rodzajem aktywności, który narzędzia monitorowania skoncentrowane na tożsamości są zaprojektowane wychwytywać.

Praktyczne zabezpieczenia: MFA, higiena danych uwierzytelniających i korzystanie z VPN przez administratorów chmury

Obrona przed przejęciem tożsamości w Azure nie wymaga egzotycznych narzędzi. Zaczyna się od podstaw, których wiele organizacji wciąż nie stosuje konsekwentnie, zwłaszcza w przypadku kont o podwyższonych uprawnieniach.

Włączenie uwierzytelniania wieloskładnikowego na każdym koncie, szczególnie administracyjnym i usługowym, pozostaje pojedynczą najskuteczniejszą barierą przeciwko skradzionym hasłom. Poza MFA higiena danych uwierzytelniających ma równie duże znaczenie: regularna rotacja haseł, eliminowanie współdzielonych lub ponownie używanych loginów oraz usuwanie stałego dostępu administracyjnego, który nie jest aktywnie potrzebny, wszystko to zmniejsza powierzchnię ataku dostępną dla intruza.

Administratorzy chmury łączący się ze zdalnych lokalizacji powinni również używać renomowanego VPN do szyfrowania połączenia podczas zarządzania wrażliwą infrastrukturą, zmniejszając szansę na przechwycenie danych uwierzytelniających w niezaufanych sieciach. W połączeniu z politykami dostępu warunkowego, które ograniczają logowania według lokalizacji lub urządzenia, oraz regularnymi audytami tego, kto posiada role uprzywilejowane, te kroki znacznie utrudniają przejętej tożsamości pozostanie niezauważoną wystarczająco długo, by wyrządzić szkody.

Co to oznacza dla Ciebie

Niezależnie od tego, czy zarządzasz infrastrukturą chmurową dla firmy, czy po prostu polegasz osobiście na kontach połączonych z chmurą, incydent JadePuffer przypomina, że najsłabszym ogniwem często nie są luki w oprogramowaniu, lecz dane uwierzytelniające chroniące Twoją tożsamość. Atakujący nie muszą już włamywać się przez techniczny exploit, jeśli mogą zalogować się jako Ty. Ta rzeczywistość nakłada większą odpowiedzialność na indywidualnych użytkowników i administratorów, aby zabezpieczyć dostęp, zanim atakujący zdąży go wykorzystać przeciwko nim.

Kluczowe wnioski

  • Włącz MFA na wszystkich kontach Azure, zwłaszcza tych z uprawnieniami administracyjnymi
  • Regularnie przeglądaj i usuwaj niepotrzebny stały dostęp do zasobów chmurowych
  • Monitoruj nietypowe lokalizacje logowania, godziny i zmiany uprawnień
  • Używaj VPN podczas zdalnego zarządzania infrastrukturą chmurową
  • Bądź na bieżąco z tym, jak ataki ewoluują od opartych na malware do opartych na tożsamości i coraz bardziej autonomicznych, jak widać w badaniach Sysdig nad ransomware napędzanym przez AI

Ponieważ platformy chmurowe stają się domyślnym środowiskiem operacyjnym dla firm każdej wielkości, tożsamość szybko staje się nowym obwodem. Traktowanie bezpieczeństwa kont z taką samą powagą, jaką kiedyś rezerwowano dla zapór sieciowych, nie jest już opcjonalne — to pierwsza linia obrony.