Ação destrutiva em nuvem
Em junho de 2026, o grupo de ameaças conhecido como JADEPUFFER orquestrou um ataque que resultou na exclusão de recursos dentro da plataforma Microsoft Azure. Utilizando chaves de serviço que já estavam comprometidas, os invasores conseguiram remover máquinas virtuais, bancos de dados e outros ativos, gerando interrupções significativas para as organizações afetadas. A operação foi detectada pela equipe de segurança da Microsoft, que a registrou sob o identificador Storm-3168, e durou aproximadamente 18 horas antes de ser contida.
Contexto do ataque
A escolha de chaves de serviço como vetor de ataque reflete uma tendência observada nos últimos anos, em que credenciais de alto privilégio são alvo de roubo em larga escala. O grupo JADEPUFFER, ainda pouco conhecido, tem histórico de explorar credenciais em ambientes de nuvem para conduzir ações de destruição ou extorsão. Segundo a Microsoft, a técnica empregada neste incidente representa uma evolução em relação a ataques anteriores, que se limitavam a movimentação lateral ou exfiltração de dados. Ao comprometer chaves de serviço, os invasores obtêm acesso direto a APIs de gerenciamento da nuvem, permitindo a execução de comandos administrativos sem necessidade de autenticação adicional.
Impacto nas organizações
Empresas que dependem da infraestrutura da Azure foram diretamente afetadas, com perda de recursos críticos que demandaram restauração a partir de backups ou reimplantação de serviços. Embora a Microsoft não tenha divulgado números precisos sobre o número de clientes impactados, a extensão da operação indica que múltiplas contas foram alvo. O risco para o setor inclui interrupções de negócios, custos de recuperação e potenciais perdas de dados sensíveis. Além disso, a exposição de chaves de serviço pode facilitar ataques subsequentes, caso as credenciais não sejam revogadas imediatamente.
Detalhes técnicos do vetor
As chaves de serviço comprometidas funcionam como credenciais de aplicação que permitem a interação programática com recursos da nuvem. Quando um invasor obtém essas chaves, ele pode invocar a API da Azure para criar, modificar ou excluir recursos, como máquinas virtuais, bancos de dados SQL e redes virtuais. No caso do ataque do JADEPUFFER, a sequência de comandos foi automatizada, aproveitando scripts que enviavam solicitações de exclusão em massa. A ausência de monitoramento adequado de uso de chaves e a falta de rotação periódica facilitaram a exploração. A Microsoft recomenda a habilitação de políticas de identidade gerenciada e a implementação de alertas para atividades incomuns envolvendo chaves de serviço.
Desdobramentos e recomendações
Até o momento, a Microsoft está trabalhando com clientes afetados para restaurar os recursos perdidos e reforçar as práticas de segurança de credenciais. A empresa também está atualizando suas diretrizes de uso de chaves de serviço, enfatizando a necessidade de limitar permissões ao mínimo necessário e de adotar mecanismos de autenticação baseada em identidade gerenciada. Organizações que utilizam a Azure devem revisar imediatamente suas políticas de gerenciamento de credenciais, revogar chaves suspeitas e habilitar a autenticação multifator para contas privilegiadas. O incidente reforça a importância de monitorar continuamente o uso de credenciais de alto privilégio e de aplicar boas práticas de segurança em ambientes de nuvem.
Fonte: The Hacker News