JadePuffer destrói recursos do Azure em sete minutos por ataque de proxy

Visão geral do incidente

Em junho de 2026, a equipe de segurança da Microsoft divulgou, por meio do blog oficial Microsoft Security Blog, duas ocorrências distintas de ataques ao Azure que foram realizados utilizando identidades de serviço comprometidas. Os invasores foram designados internamente como JadePuffer e rastreados sob a designação Storm‑3168. Cada incidente ocorreu em locatários diferentes, mas ambos seguiram um padrão semelhante: os atacantes primeiro obtiveram credenciais válidas de uma identidade de serviço e, em seguida, usando essas credenciais como agente, executaram um grande volume de operações de leitura, gravação e destruição contra recursos hospedados na nuvem Azure. O relato enfatiza que o acesso inicial às credenciais foi o ponto de partida crítico que permitiu a cadeia de ações subsequentes.

Métodos de ataque e cronologia

No primeiro incidente, a identidade de serviço comprometida permaneceu ativa por aproximadamente quinze horas e trinta minutos, período durante o qual os invasores conduziram atividades intensivas de reconhecimento. Foram registradas mais de trezentas solicitações de leitura distintas, nas quais os atacantes consultaram informações de configuração, metadados e outros detalhes dos recursos Azure, a fim de mapear a topologia e identificar alvos de alto valor. Essa fase prolongada de reconhecimento permitiu que os invasores coletassem um panorama detalhado do ambiente, preparando o terreno para as ações de destruição que viriam a seguir. Durante esse intervalo, os invasores também testaram a resposta dos sistemas de monitoramento, mas não obtiveram bloqueios imediatos.

No segundo incidente, a sequência de destruição foi muito mais condensada. Em apenas trinta e cinco minutos, os atacantes lançaram mais de cento e cinquenta operações destinadas a destruir recursos ou a coletar credenciais adicionais. O núcleo da campanha destrutiva durou cerca de sete minutos, período durante o qual foram feitas tentativas de exclusão de mais de cem contas de armazenamento. Essa explosão de atividade em um intervalo tão curto demonstra a capacidade de automação e a alta frequência de chamadas que o script malicioso empregava, enviando um grande número de solicitações de exclusão em rápida sucessão.

• Mais de 100 tentativas de exclusão de contas de armazenamento
• Mais de 150 operações de destruição ou coleta de credenciais
• Mais de 300 solicitações de leitura de reconhecimento (primeiro incidente)
• Mais de 30 chamadas ListKeys (cerca de 30 minutos depois)

Evidências e fontes

A Microsoft classificou esses ataques sob a designação Storm‑3168 e destacou que os invasores utilizaram as credenciais da identidade de serviço obtidas para executar operações em modo de agente, ou seja, agindo em nome da própria identidade comprometida. Uma reportagem do iThome mencionou que algumas das credenciais de identidade de serviço haviam sido expostas anteriormente em um issue público no GitHub, embora a Microsoft não tenha confirmado que essas credenciais específicas fossem a origem da invasão. Essa referência a um possível vazamento de credenciais em repositórios públicos ilustra a importância de monitorar continuamente a exposição de segredos em plataformas de código aberto.

Durante a investigação conduzida pela Microsoft, não foram observados indícios de mensagens de resgate, nem foram detectados sinais claros de exfiltração de dados confidenciais. O único comportamento subsequente registrado ocorreu aproximadamente trinta minutos após a fase de destruição, quando os invasores enviaram mais de trinta solicitações do tipo ListKeys, indicando que ainda estavam tentando obter chaves adicionais ou informações sensíveis que pudessem ser usadas em ataques futuros. Essa continuidade de atividade, mesmo após a tentativa de destruição inicial, evidencia a persistência dos atores maliciosos e a necessidade de monitoramento contínuo.

Impacto e eficácia das defesas

Os mecanismos de bloqueio de recursos (resource lock) e de proteção contra exclusão (delete protection) desempenharam um papel crucial na mitigação dos danos durante este ataque. Graças a essas salvaguardas, a maioria das contas de armazenamento não foi efetivamente removida, apesar das inúmeras solicitações de exclusão enviadas pelos invasores. Por outro lado, as tentativas de excluir recursos do Azure SQL falharam porque a versão da API utilizada pelos atacantes não era suportada para operações de exclusão, o que impediu a remoção desses bancos de dados e reduziu ainda mais o impacto potencial.

Embora as proteções de bloqueio e de exclusão tenham impedido a remoção completa de muitos recursos, os invasores ainda conseguiram enumerar os recursos existentes e obter chaves de acesso, demonstrando que essas medidas, por si só, não são suficientes para impedir totalmente um ataque realizado por meio de identidade de serviço comprometida. A Microsoft recomenda que as locatárias afetadas revisem imediatamente o uso de credenciais de todas as identidades de serviço, ativem políticas de acesso condicional e adotem o princípio do menor privilégio, limitando as permissões concedidas a cada identidade ao estritamente necessário para suas funções operacionais.

Entre as mudanças previstas para melhorar a segurança, a Microsoft anunciou que o serviço de monitoramento do Azure incorporará alertas em tempo real para comportamentos anômalos de identidades de serviço, permitindo que administradores sejam notificados imediatamente quando padrões de uso incomuns forem detectados. Além disso, a empresa pretende reforçar as verificações de compatibilidade de versões de API, de modo a reduzir a superfície de ataque associada ao uso de APIs desatualizadas ou não suportadas, limitando assim a eficácia de técnicas que dependem de chamadas de API obsoletas.

As organizações também foram lembradas da importância de rotacionar regularmente as chaves das identidades de serviço e de aplicar políticas de proteção contra exclusão mais rigorosas a recursos críticos e sensíveis. Ao implementar uma rotação frequente de segredos e ao estender a proteção de exclusão a dados de alta importância, as empresas podem reduzir significativamente o risco de perda de dados ou interrupções operacionais causadas por compromissos semelhantes no futuro.