Microsoft a reconstitué une attaque attribuée à JadePuffer, acteur déjà connu pour avoir confié à une IA une chaîne de ransomware presque complète. Cette fois, quelques minutes ont suffi pour détruire une grande partie d’un environnement Azure.
JadePuffer avait déjà attiré l’attention cet été avec une opération de ransomware pilotée presque intégralement par un agent IA, capable d’explorer un réseau, de voler des secrets, de progresser d’un service à l’autre et de corriger ses erreurs sans intervention humaine continue. Microsoft révèle désormais l’ampleur de ses activités dans Azure, et décrit cette nouvelle opération comme une attaque agentique, orchestrée par des agents IA. Également suivi sous le nom Storm-3168, le groupe aurait utilisé deux identités applicatives compromises pour inventorier les ressources d’une organisation, lancer des suppressions en parallèle et récupérer des clés d’accès à plusieurs comptes de stockage. La phase de destruction la plus intense n’a duré qu’environ sept minutes.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Deux identités compromises pour explorer puis détruire Azure
Pour mener cette opération, JadePuffer s’est appuyé sur deux identités applicatives compromises, appelées « principaux de service » dans Azure. Elles permettent à une application, un script ou un service automatisé de s’authentifier sans utiliser le compte d’une personne et disposent des droits nécessaires à leur fonctionnement. En récupérant leurs identifiants, les attaquants héritent donc des mêmes autorisations.
Ces droits leur ont d’abord servi à cartographier l’environnement Azure. La première identité y a consacré une quinzaine d’heures, tandis que la seconde a poursuivi cette reconnaissance à un rythme beaucoup plus soutenu, en inventoriant en cinq secondes les machines virtuelles et les groupes de ressources de deux abonnements.
La seconde identité a ensuite inspecté les configurations d’Azure App Service, probablement à la recherche d’identifiants exploitables, puis tenté de récupérer les clés d’un compte de stockage inexistant. L’échec de cette requête a été immédiatement suivi d’une série de suppressions en masse.
Au total, Microsoft a comptabilisé plus de 150 opérations liées à la destruction ou à la collecte d’identifiants en un peu plus d’une demi-heure. La séquence la plus agressive s’est concentrée sur sept minutes, pendant lesquelles JadePuffer a lancé plus de 100 tentatives de suppression contre des comptes Azure Storage, dont la majorité ont effectivement disparu, tout en attaquant d’autres ressources Azure ainsi que plusieurs mécanismes de sauvegarde et de récupération pour empêcher toute possibilité de restauration.
Plusieurs de ces actions ont été menées en parallèle, différentes tâches étant exécutées au même moment. Un mode opératoire cohérent avec les attaques agentiques déjà documentées chez JadePuffer, capables de confier à l’IA une large part de la chaîne d’attaque.
Limiter ce qu’une identité compromise peut détruire
Microsoft ne sait pas comment JadePuffer a obtenu les identifiants utilisés pendant l’attaque. Les chercheurs ont néanmoins découvert que ceux de l’une des deux identités applicatives avaient auparavant été publiés en clair dans une issue GitHub publique par un employé de l’organisation victime. Le message avait ensuite été modifié, mais le secret était toujours accessible dans l’historique des éditions.
Impossible de savoir s’il a servi à l’attaque, mais Microsoft recommande de considérer tout identifiant ainsi exposé comme compromis, de le révoquer ou de le renouveler immédiatement, puis d’examiner son historique d’utilisation.
Les dégâts dépendent ensuite directement des droits associés à l’identité compromise. JadePuffer a pu supprimer de nombreuses ressources parce que les autorisations dont il avait hérité le permettaient, d'où l'importance d'appliquer le principe du moindre privilège. Plusieurs comptes Azure Storage ont par ailleurs résisté grâce à des protections de ressources et des mécanismes empêchant leur suppression.
Il est enfin conseillé d’activer des protections capables de détecter rapidement les suppressions massives, les demandes inhabituelles de clés ou les accès suspects, Microsoft citant notamment les modules Defender for Cloud adaptés aux ressources concernées.
