Le groupe JadePuffer, suivi par Microsoft sous l’identifiant Storm-3168, a mené des opérations destructrices contre un environnement Microsoft Azure en s’appuyant sur des identités applicatives compromises et une automatisation de type agentique.
Microsoft a observé deux service principals appartenant au même tenant. Le premier effectuait la reconnaissance, tandis que le second réalisait la découverte, la collecte d’identifiants et la destruction de ressources.
Une reconnaissance de plus de quinze heures
La première identité compromise a inventorié les machines virtuelles, abonnements, groupes de ressources et autres actifs pendant environ quinze heures et demie, avec plus de 300 lectures réussies. La seconde a ensuite parcouru plusieurs ressources en quelques secondes.
Cette cartographie a préparé une séquence destructrice extrêmement rapide. Plus de 150 opérations de destruction ou de collecte de secrets ont été tentées en 35 minutes.
Plus de 100 comptes de stockage ciblés en sept minutes
La phase principale a duré environ sept minutes. L’attaquant a tenté de supprimer plus de 100 comptes Azure Storage, dont la majorité a effectivement été effacée. Un Key Vault, une Function App et un plan App Service ont aussi été supprimés.
Des tentatives contre des bases Azure SQL ont échoué en raison d’une version d’API non prise en charge. Les attaquants ont également essayé de supprimer des verrous liés à Azure Site Recovery et Azure Backup afin de rendre la restauration plus difficile.
Les verrous ont limité une partie des dégâts
Certaines ressources ont résisté grâce aux resource locks et protections propres aux comptes de stockage. Cette défense indépendante est restée efficace malgré les permissions étendues des identités compromises.
Environ trente minutes après les suppressions, Storm-3168 a exécuté plus de trente requêtes réussies pour obtenir des clés de comptes de stockage. Microsoft n’a toutefois confirmé ni exfiltration effective ni demande de rançon dans les deux cas observés.
Un secret potentiellement exposé dans GitHub
Le vecteur initial exact reste inconnu. Microsoft a néanmoins trouvé les identifiants d’un service principal publiés en clair dans un ticket GitHub public. Le secret avait ensuite été supprimé du texte, mais demeurait accessible dans l’historique des modifications.
- révoquer immédiatement tout secret exposé, même après suppression de la publication ;
- préférer les identités managées aux secrets longue durée ;
- appliquer le moindre privilège aux service principals ;
- protéger sauvegardes et verrous de récupération avec des contrôles distincts ;
- alerter sur les suppressions massives et les requêtes ListKeys ;
- activer les protections Defender for Cloud adaptées aux charges critiques.
Les attaques cloud passent à la vitesse machine
JadePuffer illustre le passage d’une intrusion manuelle à une orchestration rapide et parallèle. Les défenseurs doivent pouvoir détecter des séquences anormales en quelques secondes et suspendre automatiquement une identité avant que l’ensemble d’un environnement soit supprimé.
La sécurité du cloud dépend ici moins d’un malware que de la gouvernance des identités, des permissions et des mécanismes de récupération. Une identité applicative trop puissante peut devenir un outil de destruction massive.
