Storm-3168: حملات عامل‌محور ابری با استفاده از service principals به‌دست‌آمده
مایکروسافت گزارشی درباره فعالیتی که آن را Storm-3168 می‌نامد منتشر کرده؛ این گروه (مرتبط با JADEPUFFER) از سرویس‌پرنسیپل‌های به‌دست‌آمده در Azure برای انجام بازشناسی، دسترسی به مدارک و حذف منابع استفاده کرده‌اند. این خلاصه براساس پست Microsoft Security Blog تهیه شده است.
اطلاعات این مطلب بر اساس پست Microsoft Security Blog است. مایکروسافت در گزارش خود فعالیتی را که با نام Storm-3168 شناسایی شده و آن را به‌صورت مرتبط با مجموعه‌فعالیت‌هایی که قبلاً با عنوان JADEPUFFER شناخته شده‌اند توصیف می‌کند. بر اساس خلاصه منتشرشده، بازیگران تهدید از سرویس‌پرنسیپل‌های (service principals) به‌دست‌آمده در محیط Azure استفاده کرده‌اند تا به‌صورت عامل‌محور (agentic-driven) عملیات بازشناسی، دسترسی به مدارک/اعتبارات و حذف یا تخریب منابع را انجام دهند.
نکات کلیدی گزارش مایکروسافت که در این بازنویسی آمده است:
- نوع دسترسی: بازیگران از اعتباراتی که مرتبط با service principalها بوده برای عملکردهای خود بهره برده‌اند، که این نوع اعتبارها معمولاً برای سرویس‌ها یا برنامه‌ها در فضای ابری تعریف می‌شوند.
- فعالیت‌ها: موارد گزارش‌شده شامل مراحل بازشناسی (شناسایی منابع و پیکربندی‌ها)، دسترسی به مدارک یا کلیدها و حذف منابع در سطح اشتراک/منابع Azure است. این الگو نشان‌دهنده استفاده از اتوماسیون یا عامل‌هایی است که وظایف را به‌صورت خودکار یا نیمه‌خودکار انجام می‌دهند (عامل‌محور).
- نسبت‌دهی: مایکروسافت این فعالیت‌ها را تحت شناسه Storm-3168 طبقه‌بندی کرده و ارتباطی با مجموعه‌فعالیت‌های شناخته‌شده به‌عنوان JADEPUFFER ذکر شده است.
خلاصه تحلیلی مستقل:
- اهمیت سرویس‌پرنسیپل‌ها: سرویس‌پرنسیپل‌ها نقش کلیدی در ارائه دسترسی برنامه‌ها و سرویس‌ها به منابع ابری دارند؛ در نتیجه، اگر این موجودیت‌ها به‌خطر بیفتند، مهاجم می‌تواند بدون تعامل انسانی ادامه فعالیت دهد و پهنه وسیعی از منابع را هدف قرار دهد.
- عامل‌محور بودن عملیات: توصیف «agentic-driven» نشان می‌دهد مهاجمین از اتوماسیون برای گسترده‌تر و سریع‌تر کردن عملیات خود استفاده کرده‌اند؛ این موضوع هم سرعت آسیب‌پذیری را افزایش می‌دهد و هم نیاز به تشخیص الگوهای غیرعادی در رفتار ماشین‌ها را برجسته می‌کند.
- چالش‌های تشخیص و پاسخ: رفتار طبیعی سرویس‌ها ممکن است تشخیص استفاده مخرب از یک service principal را دشوار کند، خصوصاً اگر مهاجم از مجوزهای معتبر و رفتارهای شبیه‌سازی‌شده بهره ببرد. همچنین حذف منابع توسط مهاجم می‌تواند پیامدهای پایداری برای بازیابی سرویس‌ها داشته باشد.
- پیامدهای راهبردی: این نوع حملات نشان می‌دهد که حفاظت از موجودیت‌های غیر‌انسانی (مانند service principalها و managed identities)، مدیریت چرخه‌عمر اعتبارها و قابلیت مشاهده (visibility) فعالیت‌های خودکار در محیط‌های ابری از اهمیت بالایی برخوردار است.
این بازنویسی اطلاعات توصیف‌شده در پست Microsoft Security Blog را خلاصه و تحلیلی کرده است؛ برای جزئیات فنی، شاخص‌های IOC یا راهنمایی‌های خاص مراجع، باید به متن اصلی مایکروسافت مراجعه شود.