Yapay zekâ ajanları kullanan fidye yazılımı operatörü JadePuffer, bulut kaynaklarını haritalandırdığı, kimlik bilgilerini topladığı ve depolama hesaplarını sildiği saldırılarda Azure kiracılarını hedef aldı. Microsoft Security Research bu bilgiyi paylaştı. Microsoft, bu aktörü Storm-3168 olarak izliyor.
Bulut güvenliği şirketi Sysdig'in araştırmacıları, JadePuffer'ın temmuz ayında ortaya çıktığını ve keşif, kimlik bilgisi hırsızlığı, yanal hareket, kalıcılık ve veri şifreleme adımlarını otomatikleştirmek için yapay zekâ ajanları kullandığını söyledi. Sysdig daha sonra operatörün odağını EncForge adlı bir araçla yapay zekâ varlıklarına, eğitim veri kümelerine ve vektör veri tabanlarına genişlettiğini bildirdi.
Microsoft haziranda iki saldırı gözlemledi. Aktör, aynı kiracıya ait ele geçirilmiş iki hizmet sorumlusunu kullandı: biri keşif ve kaynak tespiti, diğeri keşif, yıkıcı işlemler ve kimlik bilgisi toplama için kullanıldı. Yıkıcı faaliyet yedi dakika sürdü ve 100'den fazla depolama hesabının yanı sıra Key Vaults, Function Apps, Virtual Machines ve App Services kaynaklarını hedef aldı. Azure kaynak kilitleri ve hesap düzeyindeki korumalar bazı depolama hesaplarının etkilenmesini önledi.
Aktör ayrıca yedekleme ve kurtarmayı koruyan Azure Site Recovery kilitlerini kaldırdı. Saldırgan desteklenmeyen bir API sürümü kullandığı için Azure SQL veri tabanlarını silme girişimleri başarısız oldu; kurtarma koruma kilitlerini kaldırma girişimleri de başarısız oldu. Silme girişimlerinden yaklaşık yarım saat sonra Storm-3168, depolama hesabı anahtarları için 30'dan fazla istekte bulundu ve bunların çoğu başarılı oldu.
Microsoft, aktörün ilk erişimi nasıl sağladığını belirleyemedi. Şirket, hizmet sorumlularından birine ait kimlik bilgilerinin saldırılardan önce herkese açık bir GitHub sorununda yer aldığını söyledi. Microsoft, gözlemlenen vakalarda veri hırsızlığını doğrulamadı ve mali talepler bildirmedi.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.