JadePufferの攻撃、標的Azure Storageアカウントの大半を削除か

二つの侵害済みサービスプリンシパルを使用

報告によると、Microsoftはこの攻撃者をStorm-3168として追跡し、同じテナントに属する侵害済みのAzureサービスプリンシパル2件を攻撃と結び付けた。
一方は偵察に、もう一方はリソース探索、認証情報の収集、破壊操作に使われたとされる。
攻撃者はAzure Storageアカウント、Key Vault、Function Apps、Virtual Machines、App Servicesを標的にしたという。

一部のストレージアカウントは、リソースロックとストレージアカウント側の保護により影響を受けなかった。
Azure SQLデータベースの削除と、復旧保護ロックの解除はいずれも失敗したとされる。
Microsoftは初期侵入の手段を特定できなかったが、攻撃前に一方のサービスプリンシパルの認証情報が公開GitHub issueに掲載されていたと指摘した。

この報告には、Azureテナントや影響を受けたリソースについて比較可能な前後の基準値は示されていない。

報告された事案により、JadePuffer／Storm-3168による破壊的なAzure活動の具体像が新たに示された。
侵害されたサービスプリンシパル（アプリケーションなどがAzureへ認証するためのID）が、リソース探索、ストレージアカウント鍵の取得、標的となったAzure Storageアカウントの大半の削除に使われたとされる。

保護が効いた資源と失敗した削除

この事例は、複数種類のAzureリソースにまたがる、エージェント駆動型の自動化された破壊操作と、バックアップ・復旧保護を弱めようとする試みを記述している。
同時に、一定の保護策は有効であり、一部の削除操作は失敗したという制約も示されている。