Microsoft: aanvaller sloopt Azure-omgeving in zeven minuten via gekaapte service principals
Microsoft Security Research heeft donderdag een analyse gepubliceerd van een aanval waarbij een Azure-omgeving grotendeels werd leeggeruimd via twee gecompromitteerde service principals. Microsoft volgt de dreigingsactor als Storm-3168 en koppelt die aan JADEPUFFER, een groep die Sysdig in juli 2026 beschreef als de eerste gedocumenteerde ransomware-operatie die met AI-agents werkt.
Anderhalve dag verkennen, zeven minuten slopen
De aanval verliep in twee fases. Begin juni 2026 inventariseerde de eerste gekaapte service principal ruim vijftien uur lang virtuele machines, subscriptions, resource groups en resources, met meer dan driehonderd geslaagde leesoperaties. Anderhalf uur na de start begon een tweede service principal uit dezelfde tenant: die liep in vijf seconden de VM's en resource groups van twee subscriptions langs.
Beide identiteiten gebruikten volgens Microsoft dezelfde infrastructuur, dezelfde netwerkvingerafdruk en de user agent python-requests/2.34.2. Zestien uur later doorzocht de tweede service principal de configuratieopslag van Azure App Service, vermoedelijk op zoek naar achtergelaten credentials.
Zeventig seconden na die laatste inventarisatie begon de vernietiging. In vijfendertig minuten volgden meer dan honderdvijftig destructieve of credential-verzamelende operaties; de eigenlijke sloopreeks duurde ongeveer zeven minuten. Daarin zaten meer dan honderd pogingen om storage accounts te verwijderen, waarvan de meeste slaagden. Ook een Key Vault, een Function App en een App Service-plan gingen eraan.
Microsoft telde vijf afzonderlijke tokens voor de tweede identiteit, waarvan er twee gedurende dezelfde zeventig seconden actief waren. Die overlappende tokenstromen en de taakverdeling tussen beide identiteiten wijzen volgens het bedrijf op geautomatiseerde of gescripte uitvoering.
Wat het wél tegenhield
Twee dingen hielden stand. Azure resource locks en deletion protection op storage account-niveau blokkeerden een deel van de verwijderingen, ook al had de gekaapte identiteit brede beheerdersrechten. Microsoft noemt dat expliciet het bewijs dat onafhankelijke waarborgen werken wanneer de identiteit zelf niet meer te vertrouwen is.
Het tweede was toeval: alle pogingen om Azure SQL-databases te verwijderen mislukten omdat de aanvaller een niet-ondersteunde API-versie gebruikte voor dat resourcetype. Pogingen om locks op Azure Site Recovery weg te halen strandden eveneens.
De operaties bleven binnen de bestaande RBAC-roltoewijzingen van de identiteiten. Een via een groep toegekende rol Storage Account Contributor maakte de storage-verwijderingen mogelijk, directe Contributor-rechten de rest. Dat de actor backup- en recovery-resources aanviel, inclusief storage accounts met namen die naar Terraform en back-ups verwijzen, past volgens Microsoft bij een ransomware-doelstelling. Een losgeldbrief werd niet aangetroffen en geslaagde data-exfiltratie is niet bevestigd.
Aanbevelingen
Microsoft adviseert least privilege voor workload-identiteiten, het vermijden van langlevende secrets in broncode en configuratiebestanden, en het beschermen van back-upinfrastructuur met aparte controls. Eén punt licht het bedrijf er nadrukkelijk uit: een publiek uitgelekte credential blijft bruikbaar tot hij is ingetrokken of geroteerd. Het verwijderen van de oorspronkelijke publicatie helpt niet, omdat kopieën blijven bestaan in bewerkingsgeschiedenis, caches, archieven en logs.