JadePuffer zerstört Azure‑Ressourcen in sieben Minuten mittels Proxy‑Angriff

Ereignisübersicht

Im Juni 2026 veröffentlichte das Microsoft‑Sicherheitsteam in seinem offiziellen Microsoft Security Blog zwei separate Vorfälle, bei denen Azure‑Ressourcen mit Hilfe von kompromittierten Serviceprinzipalen angegriffen wurden. Der Angreifer wurde intern mit dem Codenamen JadePuffer bezeichnet, während die interne Nachverfolgungskennung Storm‑3168 lautet. Beide Vorfälle ereigneten sich in unterschiedlichen Azure‑Mandanten. In beiden Fällen gelang es dem Angreifer zunächst, die Anmeldeinformationen des Serviceprinzips zu erlangen, und anschließend nutzte er diese gestohlenen Anmeldeinformationen, um im Namen des Serviceprinzips massenhafte Lese‑, Schreib‑ und Zerstörungsbefehle gegen die Cloud‑Ressourcen auszuführen. Die Veröffentlichung betonte, dass die Angriffe durch die missbräuchliche Nutzung von Serviceprinzipal‑Zertifikaten ermöglicht wurden, wodurch die Angreifer praktisch dieselben Berechtigungen wie legitime Anwendungen erlangten. Microsoft hob hervor, dass die Angriffe sowohl automatisierte Skripte als auch gezielte API‑Aufrufe umfassten, um die Infrastruktur der betroffenen Mandanten zu kompromittieren.

Angriffsmethoden und Zeitlinie

Im ersten der beiden dokumentierten Vorfälle führte das kompromittierte Serviceprinzipal über einen Zeitraum von etwa 15 Stunden und 30 Minuten kontinuierliche Aufklärungs‑ und Recon‑Aktivitäten durch, wobei mehr als 300 Lese‑Operationen gegen verschiedene Azure‑Ressourcen durchgeführt wurden. Im Gegensatz dazu konzentrierte sich der zweite Vorfall auf eine schnelle und intensive Angriffsphase: Innerhalb von nur 35 Minuten initiierte der Angreifer über 150 Aktionen, die entweder destruktiv waren oder darauf abzielten, weitere Anmeldeinformationen zu sammeln. Der zentrale Zerstörungsabschnitt dieses zweiten Angriffs dauerte lediglich rund sieben Minuten, während dieser kurzen, aber intensiven Zeitspanne versucht wurde, mehr als einhundert Speicherkonten zu löschen. Diese Zahlen verdeutlichen, dass die Angreifer sowohl langfristige Beobachtungsstrategien als auch kurzfristige, hochgradig koordinierte Zerstörungswellen einsetzten, um maximale Wirkung zu erzielen.

Während dieser siebenminütigen Zerstörungsphase begann der Angreifer zunächst damit, die Zielressourcen systematisch aufzulisten, um anschließend die Delete‑API aufzurufen und den Versuch zu unternehmen, sowohl Speicherkonten als auch andere Azure‑Dienste zu entfernen. Obwohl ein Teil der betroffenen Ressourcen bereits mit Ressourcensperren oder einer aktivierten Löschschutzfunktion versehen war, wodurch die jeweiligen Löschanfragen erfolgreich blockiert wurden, wurden dennoch zahlreiche Löschversuche an das System gesendet. Diese hohe Anzahl an Anfragen verdeutlicht, dass das vom Angreifer eingesetzte automatisierte Skript in der Lage war, API‑Aufrufe mit sehr hoher Frequenz zu generieren, was die Belastung der Azure‑Kontroll‑ und Management‑Ebene erheblich erhöhte. Die Tatsache, dass trotz dieser Schutzmechanismen ein signifikanter Teil der Anfragen überhaupt verarbeitet werden konnte, zeigt die Effizienz und Geschwindigkeit der vom Angreifer entwickelten Werkzeuge.

• Über 100 Löschversuche von Speicherkonten
• Mehr als 150 Zerstörungs‑ oder Anmeldeinformations‑Sammelaktionen
• Über 300 Lese‑Recon‑Anfragen (erster Vorfall)
• Mehr als 30 ListKeys‑Aufrufe (etwa 30 Minuten später)

Beweise und Quellen

Microsoft klassifiziert diese Art von Angriffen unter der internen Kennzeichnung Storm‑3168 und stellt fest, dass der Angreifer die erlangten Serviceprinzipal‑Anmeldeinformationen verwendet hat, um im Namen des Serviceprinzips proxy‑artige Operationen durchzuführen. In einem begleitenden Bericht von iThome wird zudem erwähnt, dass einige der betroffenen Serviceprinzipal‑Zertifikate zuvor in einem öffentlichen GitHub‑Issue veröffentlicht worden waren. Microsoft hat jedoch ausdrücklich betont, dass es nicht bestätigt hat, dass genau diese veröffentlichten Anmeldeinformationen die Quelle des Einbruchs waren. Die Veröffentlichung dieser Information dient dazu, die Community auf die Gefahr aufmerksam zu machen, dass sensible Anmeldeinformationen unbeabsichtigt in öffentlichen Repositories landen können, und unterstreicht die Notwendigkeit, solche Geheimnisse streng zu schützen.

Während der forensischen Untersuchung stellte Microsoft fest, dass keinerlei Erpressungs‑ oder Ransomware‑Nachrichten beobachtet wurden und dass keine eindeutigen Anzeichen für einen Datenverlust oder eine Datenexfiltration erkennbar waren. Das einzige nachfolgende Verhalten, das dokumentiert wurde, war ein erneuter Versuch des Angreifers, etwa 30 Minuten nach dem Abschluss der Löschaktionen, mehr als 30 ListKeys‑Anfragen zu stellen. Diese wiederholten Anfragen deuten darauf hin, dass der Angreifer weiterhin bestrebt war, zusätzliche Schlüssel‑ und Geheimnisinformationen aus den betroffenen Azure‑Ressourcen zu extrahieren. Die Tatsache, dass keine weiteren schädlichen Aktivitäten unmittelbar nach diesen Anfragen festgestellt wurden, lässt vermuten, dass das Hauptziel des Angreifers in diesem Fall die Beschaffung von Schlüsseln und nicht die direkte Erpressung oder Datenexfiltration war.

Auswirkungen und Abwehrwirksamkeit

Die in Azure verfügbaren Sicherheitsmechanismen, insbesondere die Ressourcensperre (resource lock) und der Löschschutz (delete protection), spielten in diesem Angriff eine entscheidende Rolle, indem sie die tatsächliche Löschung der Mehrheit der betroffenen Speicherkonten verhinderten. Zusätzlich scheiterten die Versuche, Azure‑SQL‑Instanzen zu löschen, weil die dafür verwendete API‑Version diese Operation nicht unterstützte. Dieses technische Detail trug weiter dazu bei, den potenziellen Schaden zu begrenzen und die Integrität der SQL‑Dienste zu bewahren. Diese Ergebnisse zeigen, dass die Kombination aus konfigurierten Schutzmechanismen und der korrekten Auswahl von API‑Versionen einen wirksamen Schutz gegen bestimmte Arten von massiven Löschangriffen bieten kann.

Obwohl die genannten Verteidigungsmechanismen einen Teil der Zerstörung erfolgreich abwehren konnten, gelang es dem Angreifer dennoch, Ressourcen zu enumerieren und Schlüssel zu erlangen, was deutlich macht, dass alleinige Ressourcensperren nicht ausreichen, um einen proxy‑basierten Einbruch vollständig zu verhindern. Microsoft empfiehlt den betroffenen Mandanten, unverzüglich sämtliche Serviceprinzipal‑Anmeldeinformationen zu überprüfen, um festzustellen, ob unautorisierte Zugriffe stattgefunden haben, und gleichzeitig die Implementierung von Conditional Access sowie das Prinzip der minimalen Berechtigungen (least‑privilege) zu aktivieren. Durch die konsequente Anwendung dieser Sicherheitsprinzipien können Unternehmen das Risiko reduzieren, dass gestohlene Anmeldeinformationen für weiterführende Angriffe missbraucht werden.

Für die Zukunft plant Microsoft, in den Azure‑Monitoring‑Diensten Echtzeit‑Warnungen einzuführen, die ungewöhnliches Verhalten von Serviceprinzipalen sofort melden. Gleichzeitig wird die Kompatibilitätsprüfung von API‑Versionen weiter verstärkt, um Angriffsflächen zu verringern, die auf der Nutzung veralteter oder nicht unterstützter API‑Versionen beruhen. Unternehmen werden zudem aufgefordert, die Schlüssel ihrer Serviceprinzipale regelmäßig zu rotieren und besonders sensible Ressourcen in strengere Löschschutz‑Richtlinien zu integrieren, um ein höheres Schutzniveau zu gewährleisten. Durch diese proaktiven Maßnahmen soll die Widerstandsfähigkeit der Azure‑Umgebung gegenüber ähnlichen Angriffen in der Zukunft deutlich erhöht werden.