Nhóm JADEPUFFER dùng service principal bị chiếm quyền để xóa tài nguyên Azure
"JADEPUFFER-linked attackers, tracked by Microsoft as Storm-3168, used two compromised Azure service principals to perform reconnaissance, credential collection, and destructive actions across a tenant over roughly 18 hours in June 2026. The activity resulted in the deletion of many Azure Storage accounts and attempts against Key Vaults, Function Apps, App Services, and SQL databases; resource locks and storage account deletion protection blocked some deletions, and no ransom note or confirmed exfiltration was observed."
Tác động bảo mật cao do chiếm quyền danh tính máy, xóa tài nguyên hàng loạt và có dấu hiệu chuẩn bị cho ransomware. Các lớp bảo vệ như resource locks đã giúp giảm thiểu một phần thiệt hại.
Có thể gây gián đoạn đáng kể vì mất tài nguyên Azure, ảnh hưởng khả năng khôi phục và làm tăng rủi ro ngừng dịch vụ. Việc phát hiện sớm và xoay vòng bí mật là then chốt để hạn chế tác động.
Microsoft cho biết nhóm đe dọa JADEPUFFER (theo dõi là Storm-3168) đã sử dụng hai service principal bị chiếm quyền để thực hiện trinh sát, thu thập thông tin xác thực và các hành động phá hoại trong một tenant Azure trong khoảng 18 giờ vào đầu tháng 6/2026. Hoạt động này nhắm vào Azure Storage Accounts, Key Vault, Function Apps, App Services, Azure SQL databases và các cơ chế bảo vệ khôi phục.
Theo phân tích, một service principal được dùng cho reconnaissance và khám phá tài nguyên trong gần 16 giờ, với hơn 300 thao tác đọc. Service principal còn lại sau đó thực hiện các bước khám phá bổ sung rồi tiến hành hơn 150 thao tác liên quan đến thu thập thông tin xác thực và phá hủy trong 35 phút. Tổng cộng có hơn 100 lần thử xóa storage account; phần lớn đã thành công, nhưng một số bị chặn bởi resource locks và storage account-level deletion protection.
Microsoft cho biết chưa ghi nhận ransom note hay data exfiltration được xác nhận. Nguồn lộ lọt ban đầu có thể liên quan đến client ID, client secret và tenant ID bị đăng công khai trong một GitHub issue. Khuyến nghị các tổ chức rà soát service principals, xoay vòng bí mật, bật resource locks, và giám sát hoạt động xóa hàng loạt trên Azure.