Было зафиксировано, что злоумышленник, известный под названием JADEPUFFER, организовывал разрушительные действия в среде Microsoft Azure с использованием скомпрометированных субъектов службы.
Компания Microsoft, отслеживающая эту активность под названием Storm-3168, назвала её эволюцией методов работы этого злоумышленника. Атака произошла в начале июня 2026 года и продолжалась около 18 часов.
«Проведение разрушительных операций стало возможным благодаря взлому учетных записей служб; целями атаки стали учетные записи хранилища Azure, базы данных SQL, хранилища ключей, приложения Function App, блокировки защиты восстановления, виртуальные машины и службы приложений», — заявили исследователи Йосси Вейцман и Тушар Муди совместно с командой Microsoft Security Research.
Впервые о JADEPUFFER сообщила компания Sysdig, охарактеризовав его как первую в истории операцию с использованием программы-вымогателя, полностью реализованную с помощью большой языковой модели (LLM). В ходе этой атаки с использованием агента злоумышленники воспользовались известной уязвимостью в Langflow (CVE-2025-3248) для проникновения в систему, похитили учетные данные, проникли глубже в сеть, зашифровали файлы конфигурации службы Nacos, удалили исходные таблицы базы данных и оставили записку с требованием выкупа в биткойнах.
Хотя было установлено, что при атаке для шифрования использовалась встроенная в MySQL функция AES_ENCRYPT(), впоследствии тот же экземпляр Langflow во второй раз стал целью злоумышленника, который использовал скомпилированный штамм программы-вымогателя на языке Go под кодовым названием ENCFORGE.
ENCFORGE специально разработан для инфраструктуры искусственного интеллекта (ИИ): он сканирует почти 180 расширений файлов, включая контрольные точки моделей, базы данных векторов, обучающие наборы данных и индексы встраивания, а также файлы, характерные для macOS, такие как хранилища Keychain, файлы проектов Xcode и документы Apple Pages и Numbers.
«Автономный агент анализировал свои цели, собирал и повторно использовал учетные данные, перемещался по системе, обеспечивал постоянное присутствие и уничтожал базу данных, при этом на протяжении всего процесса описывая свои собственные намерения», — отмечала тогда компания Sysdig. «Ни одна из отдельных техник не была новой или сложной. Однако примечательно то, что модель ИИ объединила их в полноценную операцию с использованием программ-вымогателей, направленную против заброшенной инфраструктуры, подключенной к Интернету».
В своём анализе компания Microsoft сообщила, что обнаружила два скомпрометированных субъекта службы, связанных с одним и тем же арендатором: один использовался для разведки и обнаружения ресурсов, а второй — для разрушительных операций и сбора учетных данных.
Деятельность по перебору целей была направлена на виртуальные машины Azure, подписки, группы ресурсов и отдельные ресурсы в течение почти 16 часов, при этом за этот период было выполнено более 300 операций чтения. Второй скомпрометированный субъект службы также провел собственную операцию обнаружения 90 минут спустя, перебрав виртуальные машины и группы ресурсов в двух подписках за пять секунд.
Через 16 часов второй субъект службы также успешно провел перебор хранилищ конфигураций службы приложений Azure, вероятно, в попытке найти уязвимые учетные данные. Вскоре после этого, как сообщается, субъект службы за 35 минут выполнил более 150 разрушительных операций или операций, связанных со сбором учетных данных.
В целом эта серия разрушительных действий длилась около семи минут и включала более 100 попыток удаления учетных записей хранилищ. Также под прицелом оказались Azure Key Vault, Function App и план App Service, а также несколько баз данных Azure SQL. Однако каждая из попыток удаления баз данных закончилась неудачей из-за использования неподдерживаемой версии API для типа ресурса базы данных Azure SQL.
«Большинство учетных записей Azure Storage, на которые нацелился злоумышленник, были успешно удалены», — сообщила Microsoft. «Однако блокировки ресурсов Azure и защита от удаления на уровне учетных записей хранения заблокировали попытки удаления нескольких учетных записей хранения, что демонстрирует ценность независимых мер защиты, которые остаются эффективными даже в тех случаях, когда скомпрометированная учетная запись обладает широкими административными правами».
Неясно, как был скомпрометирован субъект службы; Microsoft сообщила, что обнаружила, что его идентификатор клиента, секретный ключ клиента и идентификатор арендатора ранее были раскрыты в виде открытого текста в общедоступной задаче на GitHub одним из сотрудников затронутой организации. Хотя секретный ключ был удален, он оставался доступным через общедоступную историю правок.
Microsoft сообщила, что также обнаружила неоднократные попытки сканирования со стороны инфраструктуры, связанной с Storm-3168, в отношении нескольких служб приложений Azure для разных клиентов, добавив, что атаки, вероятно, были автоматизированы или выполнялись по сценарию, учитывая распределение задач с использованием нескольких субъектов службы и временные интервалы между различными операциями.
Оценивается, что конечная цель атаки связана с вымогательством выкупа, поскольку она привела к удалению многочисленных ресурсов Azure, а также ресурсов, связанных с резервным копированием и восстановлением, что указывает на то, что злоумышленник стремился лишить жертву возможности восстановить данные после разрушительных действий. Однако в связи с этим вторжением не было обнаружено ни требований выкупа, ни успешной экфильтрации данных.
«Эта активность подчеркивает более широкий сдвиг в сторону атак, координируемых с помощью искусственного интеллекта, при которых злоумышленники могут координировать сложные операции после взлома в облачных средах с большей скоростью и в более широких масштабах», — заявила компания Microsoft. «По мере развития этих возможностей специалисты по защите должны аналогичным образом использовать искусственный интеллект для расследования и реагирования в крупных средах».