JadePuffer, AI ajanlarıyla Azure kiracılarına yönelik yıkıcı fidye yazılımı saldırıları düzenliyor

Storm-3168 olarak izlenen JadePuffer, AI ajanlarıyla Azure ortamlarında keşiften veri şifrelemeye uzanan saldırı zincirini otomatikleştiriyor, yüzlerce bulut kaynağını dakikalar içinde siliyor.

Araştırmacılar, JadePuffer adlı fidye yazılımı operatörünün Azure kiracılarını hedef alan ve uçtan uca otomatikleştirilmiş saldırılar yürüttüğünü bildiriyor. Microsoft’un Storm-3168 adıyla takip ettiği grup, bu saldırılarda ajan tabanlı otomasyon kullanıyor.

Sysdig’e göre JadePuffer, Temmuz ayında ortaya çıktı ve AI ajanlarını kullanarak keşif, kimlik bilgisi hırsızlığı, yatay hareket, kalıcılık ve veri şifreleme adımlarını otomatik hale getiriyor. Grup, EncForge adlı bir araçla eğitim verisetleri ve vektör veritabanları gibi AI varlıklarını da hedeflemeye başlamış durumda.

Microsoft, Haziran ayında gerçekleşen iki saldırıda, saldırganların Azure kaynaklarını haritalamak, depolama hesabı anahtarlarını almak ve ardından Azure Storage hesaplarını silmek için iki ayrı yetkili kimlik kullandığını gözlemledi. Bu saldırılar sırasında yedi dakika içinde 100’den fazla Azure Storage hesabı ve Key Vaults, Function Apps, Virtual Machines, App Services gibi başka hizmetler devre dışı bırakıldı.

Microsoft, bu aktörü Storm-3168 olarak sınıflandırıyor ve aynı kiracıya ait iki yetkili kimliğin kullanıldığını; birinin keşif, diğerinin yıkıcı işlemler ve kimlik bilgisi toplama için ayrıldığını belirtiyor. Saldırılardan önce bu kimliklerden birine ait kimlik bilgilerinin herkese açık bir GitHub tartışmasında yer aldığı görüldü. Microsoft, savunma için kamuya açık depolarda sızıntı taranmasını, en az ayrıcalık ilkesine göre Azure RBAC uygulanmasını ve bulut iş yükü koruma araçlarının etkinleştirilmesini öneriyor.