JadePuffer usa agentes de IA para atacar o Azure e apagar recursos
O grupo de ransomware JadePuffer está usando agentes de inteligência artificial para automatizar ataques contra ambientes Microsoft Azure. A operação pode percorrer diferentes etapas – desde o reconhecimento da infraestrutura até o roubo de credenciais, a movimentação entre recursos e a exclusão de dados – em uma sequência rápida e destrutiva.
A empresa de segurança em nuvem Sysdig identificou o malware em julho e informou que, posteriormente, os operadores ampliaram o interesse para ativos relacionados à inteligência artificial. Entre os alvos estão conjuntos de dados usados no treinamento de modelos e bancos de dados vetoriais. Para essas atividades, o grupo recorre a uma ferramenta chamada EncForge.
A Microsoft Security Research observou dois ataques atribuídos ao grupo em junho. Em um deles, os invasores mapearam recursos na nuvem, obtiveram chaves de contas de armazenamento e excluíram contas do Azure Storage. A etapa destrutiva foi concluída em cerca de sete minutos e atingiu mais de 100 contas de armazenamento, além de Key Vaults, Function Apps, máquinas virtuais e App Services.
Nem todos os recursos foram apagados. Algumas contas permaneceram intactas porque estavam protegidas por bloqueios de recursos ou por controles aplicados no nível da própria conta. Esses mecanismos limitaram o alcance do ataque e mostram como barreiras configuradas antecipadamente podem reduzir os danos mesmo quando credenciais são comprometidas.
A Microsoft acompanha o responsável pelas ações sob o identificador Storm-3168. Segundo a empresa, o invasor utilizou duas identidades de serviço comprometidas dentro do mesmo locatário do Azure. Uma delas foi empregada para descobrir e reconhecer recursos; a outra, para executar ações destrutivas e coletar credenciais.
Além de apagar dados, o grupo tentou enfraquecer a capacidade de recuperação da organização. Os operadores removeram proteções de backup e restauração, uma medida que pode prolongar a interrupção dos serviços e dificultar a reconstrução do ambiente após o ataque.
Algumas tentativas, porém, não tiveram êxito. A exclusão de bancos de dados do Azure SQL falhou porque os invasores usaram uma versão de API não suportada. Também não conseguiram remover bloqueios relacionados à recuperação. Cerca de meia hora depois, o grupo voltou ao ambiente e fez mais de 30 solicitações de chaves de contas de armazenamento, a maioria bem-sucedida.
A Microsoft não identificou como ocorreu o acesso inicial. A investigação, no entanto, encontrou credenciais de uma identidade de serviço publicadas anteriormente em uma issue pública do GitHub. Esse caso reforça que segredos expostos em repositórios podem ser aproveitados por criminosos, mesmo quando não estão armazenados diretamente no código principal de um projeto.
Como reduzir o risco de ataques no Azure
Uma das principais medidas é revisar as permissões atribuídas às identidades de serviço e aos usuários no Azure RBAC. Cada conta deve ter apenas os privilégios necessários para executar suas funções. Evitar permissões amplas reduz o que um invasor consegue fazer caso obtenha uma credencial válida.
Também é importante habilitar proteções para cargas de trabalho em nuvem e monitorar atividades incomuns. A criação de alertas para exclusões em massa, solicitações repetidas de chaves, alterações em políticas de backup e modificações de privilégios pode ajudar a equipe de segurança a identificar comportamentos suspeitos antes que a operação seja concluída.
As organizações devem verificar regularmente se há credenciais, chaves ou tokens expostos em repositórios públicos. A busca precisa incluir não apenas os arquivos atuais, mas também o histórico de alterações e áreas de discussão associadas aos projetos. Quando um segredo é encontrado, removê-lo do repositório não basta: é necessário revogá-lo e gerar uma nova credencial.
Bloqueios de recursos e controles de exclusão devem ser aplicados aos ativos mais importantes, especialmente às contas de armazenamento, aos cofres de chaves e aos sistemas necessários para a recuperação. Essas barreiras precisam ser testadas periodicamente para confirmar que continuam ativas e que somente pessoas autorizadas podem alterá-las.
Backups também exigem proteção independente do ambiente principal. Manter cópias isoladas, limitar quem pode apagá-las e testar a restauração são medidas essenciais. Um backup que pode ser removido com as mesmas credenciais usadas para administrar a nuvem pode não oferecer proteção suficiente durante um ataque.
Por fim, equipes de tecnologia devem incluir identidades de serviço e recursos de inteligência artificial nos exercícios de resposta a incidentes. A automação pode acelerar a descoberta e a execução de comandos, diminuindo o tempo disponível para reagir. Procedimentos claros para revogar credenciais, suspender identidades suspeitas e bloquear exclusões ajudam a conter a ameaça e preservar os dados.