JadePuffer يدمّر موارد Azure عبر هجوم وكيل في سبع دقائق

نظرة عامة على الحادث

في شهر يونيو من عام 2026، قامت فرق الأمن في مايكروسوفت بنشر بيان تفصيلي على مدونة الأمن الرسمية التابعة لها (Microsoft Security Blog) يكشف عن وقوع حادثتين منفصلتين استُخدمتا فيهما هوية خدمة (Service Principal) مخترقة للوصول إلى موارد Azure. وقد تم الإشارة إلى المهاجمين بالاسم الرمزي JadePuffer، بينما تم تصنيف هذه الهجمات داخليًا تحت الرمز المتتبع Storm‑3168. كلتا الحادثتين حدثتا في مستأجرين (tenants) مختلفين داخل سحابة Azure، حيث تمكن المهاجمون أولاً من الحصول على بيانات اعتماد هوية الخدمة المخترقة، ثم استخدموها كوكيل (proxy) لتنفيذ عدد كبير من أوامر القراءة والكتابة والدمار على الموارد السحابية المستهدفة.

طريقة الهجوم والجدول الزمني

في الحادثة الأولى، استمر هوية الخدمة المتضررة في تنفيذ عمليات استكشافية مستمرة لمدة تقارب 15 ساعة و30 دقيقة، حيث تم تسجيل أكثر من 300 عملية قراءة على موارد مختلفة داخل المستأجر. أما الحادثة الثانية فكانت أكثر تركيزًا وزمنًا؛ ففي غضون 35 دقيقة فقط، أطلق المهاجمون أكثر من 150 عملية تهدف إما إلى إتلاف الموارد أو جمع بيانات الاعتماد. وقد تركزت السلسلة الأساسية للدمار في هذه الحادثة على فترة زمنية قصيرة لا تتجاوز سبع دقائق، وخلال هذه الدقائق السبع تم توجيه محاولات حذف لأكثر من مائة حساب تخزين (storage accounts) في بيئة Azure.

خلال مرحلة الدمار التي استمرت سبع دقائق، بدأ المهاجمون أولاً بعملية استعراض (enumeration) شاملة للموارد المستهدفة لتحديد المواقع الدقيقة التي يمكن أن يتسببوا فيها في حذف أو تعديل. بعد ذلك، قاموا باستدعاء واجهة برمجة التطبيقات الخاصة بالحذف (Delete API) في محاولة لإزالة حسابات التخزين وغيرها من الخدمات المرتبطة. وعلى الرغم من أن بعض الموارد كانت محمية مسبقًا عبر تفعيل قفل الموارد (resource lock) أو حماية الحذف (delete protection)، إلا أن هذه الآليات نجحت في رفض طلبات الحذف لتلك الموارد. ومع ذلك، استمر المهاجمون في إرسال عدد كبير من طلبات الحذف، ما يدل على أن السكريبتات الآلية التي استخدموها كانت قادرة على تنفيذ استدعاءات API بوتيرة عالية جدًا.

• أكثر من 100 محاولة حذف لحسابات التخزين
• أكثر من 150 عملية إتلاف أو جمع بيانات اعتماد
• أكثر من 300 طلب قراءة استكشافية (في الحادثة الأولى)
• أكثر من 30 استدعاء ListKeys (بعد حوالي 30 دقيقة)

الأدلة والمصادر

صنفت مايكروسوفت هذه السلسلة من الهجمات تحت الرمز Storm‑3168، وأوضحت أن المهاجمين استغلوا بيانات اعتماد هوية الخدمة التي حصلوا عليها للقيام بعمليات وكيل (proxy operations) على موارد Azure. وفي الوقت نفسه، أشارت تقارير موقع iThome إلى أن بعض بيانات اعتماد هوية الخدمة التي استُخدمت في الهجوم ظهرت في إحدى القضايا العامة على منصة GitHub، إلا أن مايكروسوفت لم تؤكد أن هذه الاعتمادات هي المصدر الفعلي للاختراق.

خلال عملية التحقيق، لم تلاحظ مايكروسوفت أي رسائل فدية (ransom notes) موجهة إلى الضحايا، كما لم يتم اكتشاف أي دلائل واضحة على تسرب بيانات حساسة. ومع ذلك، تم رصد سلوك لاحق للمهاجمين بعد مرور حوالي 30 دقيقة من بدء الهجوم، حيث نجحوا في إرسال أكثر من 30 طلبًا من نوع ListKeys، ما يشير إلى استمرار محاولاتهم للحصول على مفاتيح إضافية ومعلومات حساسة قد تُستغل في هجمات مستقبلية.

التأثير وفعالية الدفاع

لعبت آلية قفل الموارد (resource lock) وحماية الحذف (delete protection) دورًا حاسمًا في تقليل الأضرار خلال هذا الهجوم، حيث نجحت في منع حذف معظم حسابات التخزين المستهدفة. من ناحية أخرى، فشلت محاولات حذف قواعد بيانات Azure SQL لأن نسخة واجهة برمجة التطبيقات (API) المستخدمة لم تكن مدعومة، مما أدى إلى إلغاء تلك المحاولات وتخفيف الخسائر المحتملة.

على الرغم من أن هذه الآليات الدفاعية نجحت في إيقاف جزء كبير من عمليات الحذف، إلا أن المهاجمين ما زالوا قادرين على استعراض الموارد واستخراج المفاتيح، ما يوضح أن الاعتماد على قفل الموارد وحده لا يكفي لمنع اختراقات الوكيل بالكامل. بناءً على ذلك، أوصت مايكروسوفت المستأجرين المتأثرين بالتحقق الفوري من جميع هويات الخدمات المستخدمة، ومراجعة سجلات استخدامها، وتفعيل الوصول المشروط (conditional access) وتطبيق مبدأ الحد الأدنى من الامتيازات (least privilege) على جميع الأذونات.

في المستقبل، تخطط مايكروسوفت لإدخال تحسينات على خدمات المراقبة في Azure لتشمل تنبيهات فورية عند اكتشاف سلوك غير عادي لهويات الخدمات، بالإضافة إلى تعزيز فحص توافق إصدارات واجهات برمجة التطبيقات (API version compatibility checks) لتقليل فرص نجاح الهجمات التي تعتمد على استدعاءات API قديمة أو غير مدعومة. كما تُنبه الشركات إلى ضرورة تدوير مفاتيح هوية الخدمات بانتظام، وتطبيق سياسات حماية حذف أكثر صرامة على الموارد الحساسة لضمان مستوى أعلى من الأمان.