Ataque JadePuffer no Azure: Cibercriminosos Usam Identidades Sequestradas para Destruir Recursos na Nuvem

A Microsoft revelou detalhes sobre o Storm-3168, grupo por trás do ransomware JadePuffer, e um ataque destrutivo no Azure em junho. Durante um período de 18 horas, os criminosos comprometeram dois 'service principals' do Azure. Um deles foi usado para reconhecimento, coletando informações de VMs, assinaturas e grupos de recursos por cerca de 15 horas e 30 minutos. O outro 'service principal' realizou as operações destrutivas e de coleta de credenciais.

Em apenas 35 minutos, o segundo 'service principal' tentou mais de 150 ações destrutivas ou de roubo de credenciais. Mais de 100 contas de armazenamento foram excluídas, juntamente com um Azure Key Vault, uma Function App e um plano de serviço de aplicativo. A atuação do Storm-3168, incluindo a tentativa de interferir em mecanismos de recuperação como Azure Site Recovery, sugere uma operação de ransomware, mesmo sem a entrega de uma nota de resgate. A suspeita é que a intrusão inicial tenha vindo da exposição de segredos de cliente (IDs de cliente, segredos e IDs de locatário) em uma issue pública do GitHub.

A cobertura anterior do CEVIU em 11 de fevereiro de 2026,

Este incidente sublinha a criticidade da gestão de identidades e acessos na nuvem, especialmente dos 'service principals', que podem atuar com amplos privilégios. A exposição inadvertida de credenciais em plataformas públicas como o GitHub se mantém como um vetor de ataque persistente e perigoso. O caso Storm-3168 mostra como um erro de configuração ou uma falha humana pode ser rapidamente explorado para causar danos significativos, evidenciando a necessidade de políticas rigorosas de segurança de código e credenciais.

Ataques que visam a destruição de dados e a interrupção de mecanismos de recuperação, como vistos neste incidente e em outras matérias do CEVIU, como o ataque à Comissão Europeia em 30 de março de 2026, representam uma ameaça direta à continuidade dos negócios. Empresas precisam de defesas em várias camadas e de resposta rápida a incidentes para mitigar o impacto de acessos não autorizados a seus ambientes de nuvem.