Storm-3168 löscht Azure-Ressourcen: Microsoft warnt vor agentischen Cloud-Angriffen
Microsoft Security Research warnt vor einer neuen Form automatisierter Cloud-Angriffe. Die als Storm-3168 verfolgte Gruppe, die mit dem Akteur JADEPUFFER in Verbindung gebracht wird, nutzte kompromittierte Azure Service Principals, um Ressourcen auszukundschaften, Zugangsdaten zu sammeln und in kurzer Zeit zahlreiche Löschaktionen auszuführen.
Mehr als 150 destruktive oder credentialbezogene Aktionen
Microsoft beobachtete in einem kompromittierten Azure-Tenant zwei betroffene Service Principals. Eine Identität diente vor allem zur Erkundung, die zweite führte Discovery-, Lösch- und Credential-Aktionen aus. Nach einer längeren Aufklärungsphase startete eine Serie von mehr als 150 destruktiven oder auf Zugangsdaten gerichteten Operationen innerhalb von 35 Minuten.
Betroffen waren unter anderem Storage Accounts, Key Vaults, Function Apps, App Services und Wiederherstellungsressourcen. Auch Löschversuche gegen Azure-SQL-Datenbanken wurden registriert. Microsoft sah keine bestätigte Datenexfiltration und auch keine Lösegeldforderung, ordnet das Muster aber als mit Ransomware- und Erpressungszielen vereinbar ein.
Öffentliches Secret könnte ein Einfallstor gewesen sein
Wie der erste Zugriff gelang, ist nicht abschließend geklärt. Microsoft fand jedoch Client-ID, Client-Secret und Tenant-ID einer betroffenen Identität in einem öffentlichen GitHub-Issue. Das Secret war später aus dem sichtbaren Text entfernt worden, blieb aber über die Bearbeitungshistorie erreichbar. Ob genau dieses Secret für den Angriff verwendet wurde, konnte Microsoft nicht bestätigen.
Was Administratoren jetzt prüfen sollten
- Öffentlich gewordene Secrets sofort widerrufen oder rotieren – bloßes Löschen aus einem Repository reicht nicht.
- Service Principals nach dem Least-Privilege-Prinzip berechtigen.
- Recovery-Ressourcen und Schutzmechanismen getrennt absichern.
- Ungewöhnlich schnelle Abfolgen von Discovery-, ListKeys- und Delete-Operationen überwachen.
Der Fall ergänzt die aktuelle Angriffswelle rund um Identitätsmissbrauch. Zuletzt hatte Microsoft auch den Phishing-Dienst EvilTokens und kompromittierte Cloud-Konten detailliert beschrieben.
