// CLUBIC — INTELLIGENZA ARTIFICIALE
Cette attaque pilotée par IA a ravagé un environnement Azure en quelques minutes
Microsoft a reconstitué une attaque attribuée à JadePuffer, acteur déjà connu pour avoir confié à une IA une chaîne de ransomware presque complète. Cette fois, quelques minutes ont suffi pour détruire une grande partie d’un environnement Azure.
JadePuffer avait déjà attiré l’attention cet été avec une opération de ransomware pilotée presque intégralement par un agent IA, capable d’explorer un réseau, de voler des secrets, de progresser d’un service à l’autre et de corriger ses erreurs sans intervention humaine continue. Microsoft révèle désormais l’ampleur de ses activités dans Azure, et décrit cette nouvelle opération comme une attaque agentique, orchestrée par des agents IA. Également suivi sous le nom Storm-3168, le groupe aurait utilisé deux identités applicatives compromises pour inventorier les ressources d’une organisation, lancer des suppressions en parallèle et récupérer des clés d’accès à plusieurs comptes de stockage. La phase de destruction la plus intense n’a duré qu’environ sept minutes.
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Pour mener cette opération, JadePuffer s’est appuyé sur deux identités applicatives compromises, appelées « principaux de service » dans Azure. Elles permettent à une application, un script ou un service automatisé de s’authentifier sans utiliser le compte d’une personne et disposent des droits nécessaires à leur fonctionnement. En récupérant leurs identifiants, les attaquants héritent donc des mêmes autorisations.
Ces droits leur ont d’abord servi à cartographier l’environnement Azure. La première identité y a consacré une quinzaine d’heures, tandis que la seconde a poursuivi cette reconnaissance à un rythme beaucoup plus soutenu, en inventoriant en cinq secondes les machines virtuelles et les groupes de ressources de deux abonnements.
La seconde identité a ensuite inspecté les configurations d’Azure App Service, probablement à la recherche d’identifiants exploitables, puis tenté de récupérer les clés d’un compte de stockage inexistant. L’échec de cette requête a été immédiatement suivi d’une série de suppressions en masse.
Au total, Microsoft a comptabilisé plus de 150 opérations liées à la destruction ou à la collecte d’identifiants en un peu plus d’une demi-heure. La séquence la plus agressive s’est concentrée sur sept minutes, pendant lesquelles JadePuffer a lancé plus de 100 tentatives de suppression contre des comptes Azure Storage, dont la majorité ont effectivement disparu, tout en attaquant d’autres ressources Azure ainsi que plusieurs mécanismes de sauvegarde et de récupération pour empêcher toute possibilité de restauration.
Plusieurs de ces actions ont été menées en parallèle, différentes tâches étant exécutées au même moment. Un mode opératoire cohérent avec les attaques agentiques déjà documentées chez JadePuffer, capables de confier à l’IA une large part de la chaîne d’attaque.
Microsoft ne sait pas comment JadePuffer a obtenu les identifiants utilisés pendant l’attaque. Les chercheurs ont néanmoins découvert que ceux de l’une des deux identités applicatives avaient auparavant été publiés en clair dans une issue GitHub publique par un employé de l’organisation victime. Le message avait ensuite été modifié, mais le secret était toujours accessible dans l’historique des éditions.
Impossible de savoir s’il a servi à l’attaque, mais Microsoft recommande de considérer tout identifiant ainsi exposé comme compromis, de le révoquer ou de le renouveler immédiatement, puis d’examiner son historique d’utilisation.