A Microsoft identificou uma campanha ligada ao grupo JadePuffer, também rastreado como Storm-3168, envolvendo o comprometimento de service principals — identidades utilizadas por aplicações e serviços para acessar recursos dentro do Azure.
Durante o ataque, uma das identidades comprometidas realizou mais de 300 operações de reconhecimento durante aproximadamente 15 horas e meia. Depois, os invasores iniciaram uma sequência destrutiva que durou cerca de sete minutos, com mais de 100 tentativas de exclusão de contas do Azure Storage. A maioria dos recursos de armazenamento visados foi efetivamente apagada.
Os atacantes também conseguiram excluir um Azure Key Vault, uma Function App e um plano do App Service. Bancos de dados Azure SQL também foram alvos, mas as tentativas de exclusão falharam. Recursos relacionados a backup e recuperação também foram atacados, indicando uma tentativa de dificultar a restauração do ambiente.
A Microsoft considera a atividade compatível com táticas utilizadas em operações de ransomware e extorsão, embora não tenha identificado uma nota de resgate nem confirmado o roubo de dados nesse incidente. A campanha mostra como identidades de aplicações comprometidas podem permitir ataques rápidos e destrutivos contra ambientes inteiros de nuvem.
