Storm-3168 атакует Azure: как за семь минут удаляли облачные ресурсы

Microsoft Security Research сообщила 25 сентября об облачной атаке группы Storm-3168, также связываемой с названием JADEPUFFER. Злоумышленники использовали две скомпрометированные служебные учетные записи Azure: одна изучала инфраструктуру, другая искала учетные данные и удаляла ресурсы.

Исследователи относят активность к более широкому переходу к автоматизированным и управляемым ИИ атакам. Однако в опубликованном разборе подтверждена именно автоматизация действий; Microsoft не утверждает, что каждую операцию автономно выбирала модель ИИ.

Как развивалась атака Storm-3168

Первая служебная учетная запись около 15 часов 30 минут перечисляла виртуальные машины, подписки, группы и другие ресурсы. Microsoft зафиксировала более 300 успешных операций чтения. Вторая учетная запись смогла просмотреть виртуальные машины и группы ресурсов в двух подписках всего за пять секунд.

После дополнительного поиска конфигураций и ключей началась разрушительная фаза. За 35 минут злоумышленник попытался выполнить более 150 операций удаления или сбора учетных данных. Самая плотная последовательность разрушительных действий длилась примерно семь минут и включала более 100 попыток удалить учетные записи Azure Storage.

Большая часть выбранных хранилищ была удалена. Также исчезли Key Vault, Function App и план App Service из одной группы ресурсов. Попытки удалить несколько баз Azure SQL не удались из-за неподдерживаемой версии API.

Почему удаление секрета из GitHub не решает проблему

Microsoft обнаружила, что идентификатор приложения, секрет клиента и идентификатор арендатора одной из учетных записей ранее были опубликованы открытым текстом в публичной задаче GitHub. Позднее сотрудник удалил секрет из текста, однако он остался в истории изменений.

Исследователи не смогли подтвердить, что именно этот секрет использовался в описанной атаке. Но практический вывод однозначен: опубликованный ключ нужно считать скомпрометированным. Редактирование страницы не отзывает ключ и не стирает его из кешей, архивов, журналов и истории.

Какие средства защиты сработали

Блокировки ресурсов и защита хранилищ от удаления остановили часть запросов, хотя атакованная учетная запись имела широкие административные права. Неудачные попытки удалить Azure SQL были следствием ошибки атакующего, а не защитной политики, поэтому считать такой сбой надежным барьером нельзя.

Microsoft рекомендует немедленно отзывать и менять раскрытые секреты, сокращать права служебных учетных записей, отдельно защищать резервное копирование и восстановление, а также отслеживать необычные массовые операции. Долгоживущие секреты по возможности следует заменять механизмами управляемой идентификации.

Что проверить организации прямо сейчас

1. Найти секреты в коде, задачах, конфигурациях и истории репозитория.
2. Отозвать ключи, которые когда-либо были публичными, а не просто удалить текст.
3. Проверить роли служебных учетных записей по принципу минимальных полномочий.
4. Поставить независимые блокировки на критические данные и резервные копии.
5. Настроить оповещения о массовом перечислении, удалении и запросах ключей.

В исследовании не подтверждены записка с требованием выкупа и успешное извлечение данных. Поэтому корректнее говорить о разрушительной активности, совместимой с целями вымогательства, а не о доказанной завершенной атаке программы-вымогателя.

Источник

• Microsoft Security Research: технический разбор Storm-3168

Технические цифры и последовательность событий приведены по отчету Microsoft от 25 сентября 2026 года.