Microsoft отслеживает атаку JADEPUFFER на Azure через скомпрометированные субъекты служб
Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.
Microsoft отследила атаку JADEPUFFER, в ходе которой два скомпрометированных субъекта служб использовались для удаления ресурсов Azure в начале июня 2026 года. Разрушительные операции затронули учетные записи хранения, базы данных SQL, хранилища ключей и виртуальные машины в течение примерно 18 часов. По данным Microsoft, атака свидетельствует об эволюции тактики злоумышленника.
Ключевые факты
- Microsoft отслеживала атаку JADEPUFFER под названием Storm-3168 и наблюдала ее в течение примерно 18 часов в начале июня 2026 года.
- Злоумышленники использовали два скомпрометированных субъекта служб из одного клиента: один для разведки, другой для разрушительных операций и сбора учетных данных.
- Субъект службы разведки выполнил более 300 операций чтения в виртуальных машинах Azure, подписках, группах ресурсов и ресурсах в течение почти 16 часов.
- Разрушительный субъект службы перечислил хранилища конфигурации Azure App Service через 16 часов, вероятно, в поисках раскрытых учетных данных.
- JADEPUFFER впервые задокументирована Sysdig как первая сквозная операция вымогательства, управляемая большой языковой моделью, с эксплуатацией CVE-2025-3248 в Langflow.
Хронология атаки
Microsoft наблюдала разрушительные операции в начале июня 2026 года в течение примерно 18 часов. Первый скомпрометированный субъект службы проводил разведку и обнаружение ресурсов почти 16 часов, выполнив более 300 операций чтения. Через девяносто минут после начала работы первого субъекта второй скомпрометированный субъект службы перечислил виртуальные машины и группы ресурсов в двух подписках за пять секунд. Через 16 часов второй субъект службы успешно перечислил хранилища конфигурации Azure App Service, вероятно, для поиска раскрытых учетных данных.
Целевые ресурсы Azure
Разрушительные операции были нацелены на учетные записи хранения Azure, базы данных SQL, хранилища ключей, приложения-функции, блокировки защиты восстановления, виртуальные машины и службы приложений. Исследователи Microsoft Йосси Вайцман и Тушар Муди вместе с командой Microsoft Security Research описали атаку как осуществленную путем компрометации субъектов служб. Злоумышленники использовали один субъект службы для разведки и обнаружения ресурсов, а второй — для разрушительных операций и сбора учетных данных.
Предыстория JADEPUFFER
Sysdig впервые задокументировала JADEPUFFER как первую в истории операцию вымогательства, выполненную от начала до конца с помощью большой языковой модели. Агентная атака использовала известную уязвимость в Langflow, CVE-2025-3248, для первоначального доступа. Тот же экземпляр Langflow позже был атакован во второй раз с использованием скомпилированного штамма вымогателя на Go под кодовым названием ENCFORGE. ENCFORGE сканирует почти 180 расширений файлов, включая контрольные точки моделей, векторные базы данных, наборы обучающих данных и индексы встраивания, а также файлы, характерные для macOS.
4 источника
Время · отставание