Storm-3168 během útoku mazala úložiště a služby v Microsoft Azure

Skupina Storm-3168 získala kontrolu nad dvěma strojovými identitami v prostředí Microsoft Azure jednoho zákazníka. Během 18 hodin zmapovala jeho cloud a mazala úložiště, aplikace i trezor klíčů.

Strojová identita, kterou Microsoft Azure označuje jako service principal, umožňuje aplikaci přistupovat ke cloudovým prostředkům bez přihlášení člověka. Útočníci použili jednu identitu k průzkumu a druhou k mazání prostředků a získávání přístupových údajů.

Průzkum trval přibližně 15 hodin a 30 minut. Storm-3168 během něj provedla přes 300 úspěšných čtecích operací. Získala přehled o virtuálních serverech, předplatných, skupinách prostředků a dalších částech prostředí.

Druhá identita během následujících 35 minut provedla více než 150 pokusů o smazání prostředků nebo získání přístupových údajů. Za sedm minut se pokusila odstranit přes 100 účtů služby Azure Storage. Většina pokusů uspěla, část zastavily zámky prostředků a ochrana před smazáním.

Útočníci smazali také Azure Key Vault, Azure Function App a související plán služby. Pokusy o odstranění databází Azure SQL selhaly kvůli nepodporované verzi rozhraní. Později získali klíče k více než 30 úložištím a pokoušeli se zasáhnout prostředky spojené se zálohováním a obnovou.

Microsoft neví, jak Storm-3168 obě identity ovládla. Zaměstnanec napadené organizace však dříve zveřejnil jejich identifikátory a tajné klíče ve veřejně přístupném vlákně na GitHubu. Není potvrzeno, že tento únik vedl k útoku.

Storm-3168 je spojována také s případem JadePuffer, při kterém jazykový model řídil jednotlivé kroky vyděračského útoku. V popsaném útoku na Azure Microsoft nezaznamenal požadavek na výkupné ani nepotvrdil odcizení dat.

Případ neodhalil novou chybu v Microsoft Azure. Rozsah škod umožnila oprávnění napadených strojových identit. Riziko podobného útoku omezuje pravidelná kontrola jejich oprávnění, vyhledávání tajných klíčů ve veřejných úložištích a ověřování, zda zámky chrání před smazáním produkční data i zálohy.