Storm-3168 dùng Azure service principal bị chiếm để phá hủy tài nguyên đám mây
"Microsoft reported that the threat actor tracked as Storm-3168 used compromised Azure service principals to perform extensive reconnaissance, credential collection, and destructive actions against cloud resources over an 18-hour period. The attacker deleted more than 100 Azure Storage accounts and targeted Key Vault, Function App, App Service Plan, and backup/recovery-related resources, but no ransom note was observed and successful data exfiltration was not confirmed."
Ảnh hưởng bảo mật cao do chiếm quyền danh tính máy, xóa hàng loạt tài nguyên Azure và có dấu hiệu chuẩn bị cho ransomware/extortion.
Có thể gây gián đoạn dịch vụ, mất khả năng khôi phục và phát sinh chi phí vận hành lớn do xóa storage account và nhắm vào backup/recovery.
Microsoft cho biết nhóm đe dọa Storm-3168 đã sử dụng Azure service principals bị chiếm quyền để thực hiện trinh sát, thu thập thông tin xác thực và phá hủy tài nguyên đám mây trong khoảng 18 giờ. Hoạt động này diễn ra trên cùng một tenant và bao gồm hơn 300 lần đọc dữ liệu về Azure Virtual Machines, subscriptions, resource groups và các tài nguyên liên quan.
Trong giai đoạn phá hoại, kẻ tấn công đã xóa hơn 100 Azure Storage accounts, đồng thời nhắm tới Azure Key Vault, Function App, App Service Plan và các tài nguyên liên quan đến backup/recovery. Một số thao tác bị chặn bởi resource locks và cơ chế khóa cấp tài khoản lưu trữ, nhưng phần lớn yêu cầu xóa vẫn thành công. Microsoft cũng ghi nhận các yêu cầu ListKeys để lấy khóa truy cập của nhiều storage account.
Theo Microsoft, chuỗi hành vi này phù hợp với chuẩn bị cho ransomware/extortion. Tuy nhiên, hãng không quan sát thấy ransom note và cũng chưa xác nhận việc trích xuất dữ liệu thành công. Khuyến nghị kỹ thuật: rà soát quyền của service principals, xoay vòng client secrets, kiểm tra log Azure Activity, bật resource locks và tăng giám sát các tài nguyên backup/recovery.